Nutzt Ihre Website Drittanbieter-Dienste? Werden Sie in wenigen Minuten DSGVO-konform.
FlowConsent testenmobileCta.note
Segmentify ist eine Personalisierungs- und Verhaltensanalyse-Plattform für E-Commerce-Händler. Das JavaScript SDK erfasst Produktaufrufe, Warenkorbaktionen, Suchanfragen und Sitzungssignale, um Besucherprofile aufzubauen, und betreibt KI gestützte Produktempfehlungen, E-Mail-Trigger, Push-Benachrichtigungen und verhaltensbasiertes Targeting entlang der gesamten Customer Journey. Die Plattform nutzt First Party und Third Party Cookies, die Hauptverarbeitung erfolgt in der EU (Irland) und die analytische Verarbeitung in der Türkei, was spezifische Fragen zu Drittlandübermittlungen nach Kapitel V DSGVO aufwirft.
Segmentify ist eine Personalisierungs- und Verhaltensanalyse-Plattform, die primär für Online-Händler entwickelt wurde. Betreiber binden auf jeder Seite ihres Shops ein leichtgewichtiges JavaScript-Snippet (segmentify.js) ein und stellen serverseitig einen Produktkatalog-Feed bereit. Das Skript beobachtet das Besucherverhalten in Echtzeit: Seitenaufrufe, Produktimpressionen, Warenkorbereignisse, Checkout-Schritte, interne Suchanfragen, Scrolltiefe und Sitzungsdauer. Jeder Besucher erhält eine persistente Kennung, die in First Party Cookies und im localStorage des Browsers gespeichert wird; das resultierende Verhaltensprofil wird mit Attributen wie abgeleiteten Produktaffinitäten, prognostizierter Kaufabsicht, Abwanderungsrisiko und Customer Lifetime Value angereichert. Diese Profile speisen KI generierte Produktempfehlungen, personalisierte Kategoriensortierung, On Site Banner, Trigger E-Mails, Push-Benachrichtigungen sowie Audience-Segmente, die in Werbeplattformen exportiert werden können.
Segmentify verarbeitet eine breite Palette an Kennungen und Verhaltenssignalen. Persistente First Party Cookies auf der Betreiberdomäne, etwa sgf_uid und sgf_session, speichern Besucher- und Sitzungskennungen, typischerweise für 13 Monate. Third Party Cookies, die auf segmentify.com gesetzt werden (z. B. sgf_cs und sgf_tg), unterstützen domänenübergreifende Analysen und Audience-Syndication, wenn der Betreiber mehrere Properties betreibt. Weitere erfasste Daten umfassen: gekürzte IP-Adresse, User Agent, Geräteklasse, Referrer URL, aufgerufene Produkt-SKUs, Suchanfragen, Warenkorbinhalt und E-Mail-Hash (wenn sich der Besucher anmeldet oder einen Newsletter abonniert). Wenn der Betreiber Segmentify mit seinem CRM integriert, können gehashte E-Mail oder Kunden-ID an Segmentify übergeben werden, um Sitzungen geräteübergreifend abzugleichen. Alle diese Kennungen fallen in den Anwendungsbereich personenbezogener Daten nach Art. 4(1) DSGVO und erfordern vor jedem Zugriff auf das Endgerät eine Einwilligung nach Art. 5(3) ePrivacy.
Segmentify betreibt die primäre Erfassungsinfrastruktur in der EU (AWS Irland), übermittelt Daten jedoch routinemäßig in die Türkei für analytische Verarbeitung, Modelltraining, Kundensupport und bestimmte administrative Funktionen. Die Türkei ist nicht durch einen Angemessenheitsbeschluss der Europäischen Kommission nach Art. 45 DSGVO abgedeckt, sodass jede Übermittlung durch einen Mechanismus nach Art. 46 abgesichert sein muss. Segmentify stützt sich auf die Standardvertragsklauseln von 2021 (Durchführungsbeschluss EU 2021/914), Modul 2 (Verantwortlicher an Auftragsverarbeiter) oder Modul 3 (Auftragsverarbeiter an Auftragsverarbeiter), abhängig von der konkreten Beauftragung. Betreiber sind nach den EDSA-Empfehlungen 01/2020 im Anschluss an das Schrems II Urteil verpflichtet, ein Transfer Impact Assessment durchzuführen, das türkische Geheimdienst- und elektronische Kommunikationsüberwachungsgesetze, die praktische Wirksamkeit der zusätzlichen Maßnahmen (Verschlüsselung im Ruhezustand mit vom Betreiber verwalteten Schlüsseln wird derzeit nicht standardmäßig angeboten) und die Möglichkeit von Segmentify berücksichtigt, rechtswidrige Zugriffsersuchen türkischer Behörden anzufechten.
Get GDPR compliant in 10 minutes
Free plan available · No credit card required
Segmentify erzeugt Prognosen (Kaufneigung, Abwanderungswahrscheinlichkeit, empfohlene Produkte, optimaler E-Mail-Versandzeitpunkt) mit Hilfe maschineller Lernmodelle, die auf aggregierten Kundendaten trainiert werden. In den meisten E-Commerce-Anwendungsfällen ist das Ergebnis ein Produktvorschlag und keine rechtlich bindende Entscheidung, sodass Art. 22(1) DSGVO nicht ausgelöst wird. Sofern Segmentify jedoch dynamische Preise, die Berechtigung zu Aktionen oder eine differenzierte Behandlung mit ähnlich erheblichen Auswirkungen auf die betroffene Person steuert, verlangt Art. 22(2)(c) eine ausdrückliche Einwilligung sowie die Umsetzung von Schutzmaßnahmen: aussagekräftige Informationen über die involvierte Logik, die Tragweite und die angestrebten Auswirkungen (Art. 13(2)(f) und Art. 15(1)(h)), das Recht auf menschliches Eingreifen, auf Darlegung des eigenen Standpunkts und auf Anfechtung der Entscheidung (Art. 22(3)). Betreiber müssen außerdem Widersprüche nach Art. 21(2) gegen Profiling zu Direktwerbungszwecken befolgen, was eine sofortige Beendigung des Profilings vorschreibt.
Da Segmentify eine nicht essenzielle Personalisierungs- und Analysetechnologie ist, die auf persistenten Kennungen beruht, muss der Betreiber eine vorherige, freiwillige, spezifische, informierte und unmissverständliche Einwilligung (Art. 4(11) DSGVO und Art. 5(3) ePrivacy) einholen, bevor das Skript segmentify.js geladen wird. Die Ablehnung muss ebenso einfach möglich sein wie die Zustimmung (EDSA Leitlinien 05/2020), mit einem granularen Schalter in der Consent Management Platform, der der Kategorie Personalisierung oder Empfehlungen zugeordnet ist. Die CMP muss das Skript in einem pausierten Zustand halten (script type=text/plain mit Attribut data category oder eine gleichwertige serverseitige Blockade), bis die Einwilligung erfasst ist. Widerrufe müssen über die API von Segmentify oder über einen dokumentierten Event-Handler innerhalb der von der Datenschutzerklärung des Betreibers angegebenen Frist an Segmentify weitergegeben werden. Berechtigtes Interesse scheidet als Rechtsgrundlage angesichts der Granularität des Profilings, der Persistenz der Kennungen und der Speicherung auf dem Endgerät aus, die ausschließlich in den Anwendungsbereich von Art. 5(3) ePrivacy fällt.
Betreiber bleiben für die an Segmentify übermittelten Besucherdaten Verantwortliche und müssen Betroffenenrechte durchgängig erfüllen können. Dazu gehört: Segmentify in der Datenschutzerklärung klar auszuweisen (Identität des Auftragsverarbeiters, Datenkategorien, Aufbewahrung, Übermittlung in die Türkei, Verweis auf SCC), eine wirksame Opt out Möglichkeit anzubieten, Profile auf Anfrage über die Segmentify API zu löschen und Auskunftsersuchen nach Art. 15 unter Einschluss der von den Modellen abgeleiteten Attribute zu beantworten. Das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 muss Segmentify als Unterauftragsverarbeiter ausweisen, und der mit Segmentify abgeschlossene Auftragsverarbeitungsvertrag muss den Anforderungen von Art. 28(3), den Auditrechten, den Benachrichtigungen über Unter Unterauftragsverarbeiter und Meldefristen entsprechen, die mit den Pflichten des Betreibers nach Art. 33 vereinbar sind.
Websites using Segmentify must obtain user consent under GDPR regulations.
DPIA considerations
Eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO ist vor dem Einsatz zwingend erforderlich. Segmentify führt eine systematische, umfangreiche Profilbildung über das Online-Verhalten in Verbindung mit automatisierten Empfehlungsentscheidungen durch, was mehrere EDSA-Kriterien für die Auslösung der DSFA-Pflicht erfüllt (Bewertung/Scoring, automatisierte Entscheidung mit erheblicher Auswirkung, systematische Überwachung, innovative KI-Technologie, umfangreiche Verarbeitung). Die DSFA muss adressieren: (1) Rechtsgrundlage (Einwilligung nach Art. 6(1)(a) und Art. 22(2)(c) bei Profiling); (2) Rechtmäßigkeit und Verhältnismäßigkeit des Aufbaus dauerhafter Verhaltensprofile aus Produkt-, Warenkorb-, Such- und Engagement-Ereignissen; (3) EU Türkei Übermittlung nach Art. 46(2)(c) auf Basis von SCC, einschließlich eines Transfer Impact Assessment der türkischen Überwachungsgesetzgebung (Gesetz Nr. 2937 über den türkischen Nachrichtendienst, Gesetz Nr. 5651 zur Internetregulierung); (4) Betroffenenrechte einschließlich Widerspruch gegen Profiling nach Art. 21(2), Auskunft nach Art. 15, Löschung nach Art. 17 und das Recht, nicht einer ausschließlich automatisierten Entscheidung unterworfen zu werden, nach Art. 22; (5) zusätzliche Maßnahmen (Pseudonymisierung, Verschlüsselung, vertragliche Beschränkungen bei Auskunftsersuchen türkischer Behörden); (6) Aufbewahrung der Besucherprofile (typischerweise 13 bis 24 Monate) und ihre Verhältnismäßigkeit gegenüber dem Personalisierungszweck; (7) Analyse gemeinsame Verantwortlichkeit vs. Auftragsverarbeitung nach Art. 26 und 28, da Segmentify häufig als Auftragsverarbeiter handelt, aber bei Benchmarking und Modelltraining Zwecke mitbestimmen kann; (8) Zusammenspiel mit der Consent Management Platform, um sicherzustellen, dass Skripte bis zur Einwilligungserfassung blockiert sind und Widerrufe innerhalb einer dokumentierten Frist an Segmentify weitergegeben werden.
Sample consent text
Wir nutzen Segmentify, um Produktempfehlungen zu personalisieren und unsere Kommunikation an Ihre Interessen anzupassen. Mit Ihrer Einwilligung setzt Segmentify Cookies auf Ihrem Gerät und verarbeitet Informationen über die von Ihnen angesehenen Produkte, Ihre Suchanfragen, Ihren Warenkorb und Ihre Interaktionen mit unserer Website, um ein Profil zu erstellen und vorherzusagen, was Sie interessieren könnte. Ein Teil dieser Verarbeitung findet in der Türkei statt, die außerhalb des Europäischen Wirtschaftsraums liegt und nicht von einem Angemessenheitsbeschluss der Europäischen Kommission abgedeckt ist; wir stützen uns auf Standardvertragsklauseln und zusätzliche Schutzmaßnahmen, die in unserer Datenschutzerklärung beschrieben sind. Sie können Ihre Auswahl jederzeit über den Link Cookie-Einstellungen annehmen, ablehnen oder ändern. Eine Ablehnung hindert Sie nicht an der Nutzung der Website, die Empfehlungen werden jedoch nicht personalisiert.
Third-party domains contacted
segmentify.comcdn.segmentify.comapi.segmentify.comtr.segmentify.comeu.segmentify.comcollect.segmentify.comrecommend.segmentify.compush.segmentify.comCookies placed
| Name | Type | Duration | Purpose |
|---|---|---|---|
| sgf_uid | first_party | 13 months | Persistent visitor identifier stored on the operator domain. Used by Segmentify to recognise returning visitors across sessions, link behavioural events to a single profile and serve personalised recommendations. Treated as personal data under GDPR art. 4(1) and requires prior consent under ePrivacy art. 5(3). |
| sgf_session | first_party | 30 minutes | Session identifier set on the operator domain. Groups events (product views, search queries, cart actions) into a single visit context for behavioural analytics and within session personalisation. Requires consent under ePrivacy art. 5(3). |
| sgf_recs | first_party | 6 months | Records which recommendation slots and items have been shown to the visitor. Used to avoid repeating identical recommendations, to measure click through and to attribute conversions to specific recommendation strategies. Personal data given the link to sgf_uid; requires consent. |
| sgf_visitor | first_party | 13 months | Stores derived visitor segment attributes (e.g., inferred purchase intent, audience tags, lifecycle stage) for fast lookup on subsequent pageviews. Drives audience targeting and segment based campaigns. Requires consent under GDPR art. 6(1)(a) and ePrivacy art. 5(3). |
| sgf_cs | third_party | 13 months | Cross site identifier set on segmentify.com. Used when the operator runs multiple properties or when Segmentify reconciles visitors across separate Segmentify tenants. Constitutes a third-party cookie under EDPB Guidelines 05/2020 and is subject to strict consent. |
| sgf_tg | third_party | 13 months | Targeting cookie set on segmentify.com that supports audience syndication and the export of behavioural segments to advertising platforms. Subject to consent for advertising under ePrivacy art. 5(3) and GDPR art. 6(1)(a). |
| sgf_consent | first_party | 12 months | Stores the visitor consent state communicated by the operator Consent Management Platform to Segmentify (e.g., personalization_granted=true/false, advertising_granted=true/false). Strictly necessary for the operation of the consent mechanism and exempt from prior consent under ePrivacy art. 5(3) recital 17. |
| sgf_email_hash | first_party | 13 months | When the visitor logs in or subscribes to a newsletter, stores a SHA 256 hash of the email address to reconcile the visitor profile across devices via Segmentify Email and Push modules. Constitutes personal data (pseudonymous identifier) under GDPR; requires consent and a documented retention policy. |
Segmentify erhebt Analyse-Daten — Sie benötigen rechtlich ein Cookie-Banner. Testen Sie FlowConsent kostenlos.
Segmentify ist eine Personalisierungs- und Verhaltensanalyse-Plattform für Online-Händler. Sie stellt ein JavaScript SDK auf der Betreiberseite bereit, das das Verhalten der Besucher beobachtet (Produktaufrufe, Warenkorbaktionen, Suchanfragen, Sitzungssignale) und persistente Besucherprofile aufbaut. Diese Profile betreiben KI-gestützte Produktempfehlungen, personalisierte On Site Banner, Trigger E-Mails, Push-Benachrichtigungen und Audience-Segmente, die in Werbeplattformen exportiert werden können. Segmentify hat seinen Hauptsitz im Vereinigten Königreich, betreibt umfangreiche Tätigkeiten in der Türkei und bedient Kunden überwiegend in Europa, dem Nahen Osten und Lateinamerika.
Ja. Segmentify ist für die Bereitstellung des Dienstes nicht zwingend erforderlich und liest von bzw. schreibt auf das Endgerät des Besuchers über persistente Cookies und localStorage. Sowohl Art. 5(3) der ePrivacy Richtlinie als auch Art. 6(1)(a) DSGVO verlangen eine vorherige, freiwillige, spezifische, informierte und unmissverständliche Einwilligung, bevor das Skript segmentify.js geladen wird und bevor personenbezogene Daten verarbeitet werden. Berechtigtes Interesse ist als Rechtsgrundlage für das Speichern auf dem Endgerät nicht verfügbar, und das granulare Profiling durch Segmentify würde in jedem Fall die Interessenabwägung für die nachgelagerte Verarbeitung nicht bestehen.
Segmentify setzt mehrere First Party Cookies auf der Betreiberdomäne, darunter sgf_uid (persistente Besucherkennung, in der Regel 13 Monate), sgf_session (Sitzungskennung, in der Regel 30 Minuten), sgf_recs (Protokoll der Empfehlungsanzeigen, in der Regel 6 Monate) und sgf_visitor (Attribute des Besuchersegments, in der Regel 13 Monate). Außerdem werden Third Party Cookies auf segmentify.com gesetzt, etwa sgf_cs (domänenübergreifende Kennung) und sgf_tg (Targeting). Die Plattform schreibt Besucherkennungen zusätzlich in den Browser localStorage, der zwar kein Cookie ist, aber nach Art. 5(3) ePrivacy identisch behandelt wird und einer Einwilligung bedarf.
Ja. Die primäre Erfassung läuft in der EU (AWS Irland, eu-west-1), aber Segmentify übermittelt personenbezogene Daten routinemäßig an seine Betriebe in der Türkei für analytische Verarbeitung, Modelltraining und Kundensupport. Die Türkei ist nicht durch einen Angemessenheitsbeschluss nach Art. 45 DSGVO abgedeckt, sodass sich jede Übermittlung auf die Garantien nach Art. 46 stützen muss. Segmentify nutzt die Standardvertragsklauseln von 2021 (EU 2021/914), und Betreiber müssen ein Transfer Impact Assessment durchführen, das türkische Überwachungsgesetze (Gesetz Nr. 2937 und Gesetz Nr. 5651) sowie die praktische Wirksamkeit zusätzlicher Maßnahmen wie Pseudonymisierung und Transportverschlüsselung berücksichtigt.
Segmentify erzeugt Vorhersagen und Empfehlungen mit Hilfe maschinellen Lernens. In den meisten E-Commerce-Einsatzszenarien ist das Ergebnis ein Produktvorschlag, der keine rechtlichen oder ähnlich erheblichen Auswirkungen entfaltet, sodass Art. 22(1) nicht ausgelöst wird. Wird Segmentify für dynamische Preise, die Berechtigung zu Aktionen oder differenzierte Dienste eingesetzt, die erhebliche Auswirkungen entfalten, verlangt Art. 22(2)(c) eine ausdrückliche Einwilligung sowie Schutzmaßnahmen: aussagekräftige Informationen über die zugrunde liegende Logik (Art. 13(2)(f), Art. 15(1)(h)), menschliche Überprüfung, das Recht auf Darlegung des eigenen Standpunkts und auf Anfechtung der Entscheidung (Art. 22(3)). Betreiber müssen dies pro Anwendungsfall bewerten.
Standardmäßig speichert Segmentify rohe Verhaltensereignisse 13 Monate, abgeleitete Besucherprofile bis zu 24 Monate ab der letzten Interaktion und aggregierte Reporting-Daten bis zu 38 Monate. Die Aufbewahrung ist mandantenspezifisch konfigurierbar und Betreiber sollten sie mit der in der Datenschutzerklärung und im Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO dokumentierten Aufbewahrung abgleichen. Betreiber müssen außerdem sicherstellen, dass Löschanfragen (Art. 17) durch Aufruf der Lösch-API von Segmentify erfüllt werden, die das Profil und die pseudonymen Kennungen innerhalb eines dokumentierten Service Level entfernt.
Die Consent Management Platform muss das segmentify.js Tag in einem nicht ausführenden Zustand halten, bis die Einwilligung für die Kategorie Personalisierung oder Empfehlungen erteilt wird. Üblicherweise wird das Tag mit script type=text/plain und einem von der CMP erkannten Attribut data category ausgeliefert, ein Tag-Manager-Trigger verwendet, der erst nach Einwilligung auslöst, oder alle Anfragen werden über einen serverseitigen Container geleitet, der ausgehende Aufrufe filtert. Die CMP muss außerdem Widerrufe über die Consent API von Segmentify oder über einen dokumentierten Event-Handler innerhalb der in der Datenschutzerklärung des Betreibers angegebenen Frist an Segmentify weitergeben.
Der Betreiber ist Verantwortlicher und Segmentify handelt als Auftragsverarbeiter im Rahmen eines Auftragsverarbeitungsvertrags nach Art. 28(3) DSGVO. Der Betreiber muss: Segmentify im Verzeichnis von Verarbeitungstätigkeiten und in der Datenschutzerklärung aufführen; eine DSFA nach Art. 35 durchführen; ein Transfer Impact Assessment für die Türkei-Übermittlung erstellen; eine wirksame Einwilligung vor dem Skriptladen einholen; Betroffenenrechte (Art. 15, 17, 21 und 22) über die Segmentify API erfüllen; die Aufbewahrungsfrist konfigurieren; die Genehmigung von Unter Unterauftragsverarbeitern dokumentieren; und die Meldefristen bei Datenpannen (Art. 33) mit den Pflichten von Segmentify im Rahmen des AVV abstimmen.