Apptus (Voyado Elevate)

Was Apptus (Voyado Elevate) ist

Apptus, heute bekannt als Voyado Elevate, ist eine europäische Plattform für Suche, Merchandising und Personalisierung im E-Commerce mit Ursprung in Schweden. Sie steuert die Onsite-Suche, Produktlisten und Empfehlungen für Online-Händler. Indem sie beobachtet, wie Besucher suchen und navigieren, ordnet Elevate Produkte und Inhalte nach der wahrscheinlichsten Absicht.

Da die Plattform Verhaltenssignale zur Personalisierung nutzt, verarbeitet Apptus Aktivitätsdaten und fällt damit in den Anwendungsbereich der europäischen Datenschutz- und ePrivacy-Regeln, sobald sie auf Websites für Nutzer in der EU und im EWR eingesetzt wird.

Welche Daten und Cookies sie erfasst

Apptus setzt Erstanbieter-Cookies, um einen Besucher und eine Sitzung wiederzuerkennen. Das Cookie customerKey enthält eine zufällig erzeugte Kennung, die Aktivitäten über Besuche hinweg verknüpft, während das Cookie sessionKey eine einzelne Sitzung über Seitenaufrufe hinweg identifiziert. Diese Werte sind pseudonym und geben für sich allein nicht die Identität einer Person preis.

Neben diesen Kennungen erfasst die Plattform Suchanfragen, Klicks, aufgerufene Produktseiten und weitere Onsite-Interaktionen. Diese Verhaltensdaten dienen dem Aufbau des Personalisierungsprofils. Kennungsdaten werden in der Regel etwa ein Jahr gespeichert und dann automatisch entfernt.

DSGVO- und ePrivacy-Auswirkungen

Die an einen Browser gebundenen pseudonymen Kennungen gelten als personenbezogene Daten im Sinne der DSGVO, und die Personalisierungscookies sind für die Grundfunktion des Dienstes nicht unbedingt erforderlich. Nach der ePrivacy-Richtlinie erfordert das Speichern oder Auslesen solcher Cookies die vorherige informierte Einwilligung des Besuchers.

Als Betreiber der Website sind Sie für die von Ihnen konfigurierte Personalisierung Verantwortlicher, während der Anbieter im Rahmen eines Auftragsverarbeitungsvertrags als Auftragsverarbeiter handelt. Sie müssen transparent informieren und die Betroffenenrechte wahren.

Anforderungen an die Einwilligung

Personalisierungscookies sollten erst geladen werden, nachdem der Besucher eine freiwillige, spezifische, informierte und unmissverständliche Einwilligung über Ihre Consent-Management-Plattform erteilt hat. Sie müssen standardmäßig blockiert sein, bis die Einwilligung erfasst ist, und Besucher müssen ebenso leicht ablehnen oder widerrufen können, wie sie zustimmen.

Wird die Einwilligung verweigert, sollte die Suchfunktion weiterhin in einem nicht personalisierten Modus arbeiten, sodass das grundlegende Stöbern niemals von der Annahme des Trackings abhängt.

Internationale Datenübermittlungen

Als europäischer Anbieter betreibt Voyado seine Unternehmens- und Datenserver innerhalb der EU und des EWR, was die Exposition gegenüber Drittlandübermittlungen begrenzt. Unter bestimmten Umständen kann der Anbieter dennoch personenbezogene Daten außerhalb des EWR übermitteln müssen, wofür geeignete Garantien wie die Standardvertragsklauseln gelten.

Sie sollten die aktuelle Hosting-Region und etwaige Unterauftragsverarbeiter in Ihrem Auftragsverarbeitungsvertrag bestätigen und die Übermittlungsmechanismen in Ihrem Verarbeitungsverzeichnis abbilden.

Praktische Compliance-Schritte

Führen Sie die Cookies customerKey und sessionKey in Ihrer Cookie-Richtlinie auf, klassifizieren Sie sie als Personalisierung und binden Sie sie in Ihrer Plattform an die Einwilligung. Schließen Sie einen Auftragsverarbeitungsvertrag mit dem Anbieter und prüfen Sie Hosting-Standort und Speicherfristen.

Dokumentieren Sie die Verarbeitung in Ihrem Verzeichnis, führen Sie eine Datenschutz-Folgenabschätzung durch, wenn das Profiling erheblich ist, und stellen Sie sicher, dass Ihr Support Auskunfts-, Übertragbarkeits- und Löschanfragen mithilfe der DSGVO-Werkzeuge des Anbieters bearbeiten kann.