Cartful

Cartful setzt persistente First Party Cookies und Local Storage Einträge, um einen Käufer über Sitzungen hinweg zu erkennen, den Chat Verlauf zu merken und das abgeleitete Präferenzprofil zu speichern. Erfasst werden IP Adresse, Geräte und Browser Fingerprint, Seiten URL, Referrer, UTM Parameter, Klick und Scroll Ereignisse, angesehene Produkte, Verweildauer, Add to Cart und Checkout Ereignisse, der Händlerkatalog (Produkt IDs, Attribute, Preise) sowie die Antworten des Besuchers an den Assistenten. Mit optionalen Funktionen kann Cartful außerdem eine eingeloggte Kunden ID oder eine im Anmeldeformular erfasste E-Mail erhalten. Alle Daten fließen an Cartful APIs auf AWS US.

Ja. Cartful ist ein nicht notwendiger Dienst, der persistente Cookies und Local Storage zu Analyse und Profiling Zwecken setzt. Artikel 5 Absatz 3 ePrivacy Richtlinie und Paragraph 25 TDDDG verlangen daher eine vorherige, freiwillige, spezifische und informierte Einwilligung. Die Verarbeitung umfasst zudem systematisches Profiling im Sinne von Artikel 4 Nummer 4 DSGVO; nach EDSA Leitlinien 03/2022 ist deshalb eine ausdrückliche und granulare Einwilligung der richtige Ansatz. Das Widget darf nicht laden und es darf kein Ereignis an Cartful APIs gesendet werden, bevor die Consent Management Platform eine positive Einwilligung erfasst hat. Die Ablehnung muss ebenso einfach sein wie die Annahme.

Auf einer europäischen Website ist die Einwilligung nach Artikel 6 Absatz 1 lit. a DSGVO die einzige realistische Rechtsgrundlage für Cartful. Berechtigtes Interesse ist schwer haltbar, da die Verarbeitung persistentes sitzungsübergreifendes Profiling, Beeinflussung von Kaufentscheidungen durch Empfehlungen und einen Transfer in die USA kombiniert. Vertragserfüllung passt nicht, da der Käufer den Kauf ohne Empfehlungs Engine abschließen kann. Die Einwilligung muss mit der ePrivacy Einwilligung für Cookies und Local Storage kombiniert sein, zweckgebunden (personalisierte Empfehlungen), informiert (Verantwortlicher, Auftragsverarbeiter, Transfer, Aufbewahrung) und jederzeit widerrufbar.

Ja. Cartful Solutions Inc. ist in den USA ansässig und verarbeitet Ereignisse auf AWS US Infrastruktur. Transfers aus dem EWR stützen sich auf das EU US Data Privacy Framework, sofern die empfangende Stelle zertifiziert ist, mit EU Standardvertragsklauseln (2021/914) als Fallback und einem Transfer Impact Assessment, das FISA 702 und Executive Order 12333 nach dem Schrems II Urteil adressiert. Der Händler muss den DPF Status des Importeurs prüfen, ergänzende Maßnahmen dokumentieren (Verschlüsselung in Transit und At Rest, pseudonymisierte Kennungen, Zugriffskontrollen, Verfahren für Behördenzugriffe) und das Assessment bei Wechsel der Unterauftragsverarbeiter aktualisieren.

Eine DSFA nach Artikel 35 DSGVO wird empfohlen und ist häufig verpflichtend, da Cartful ein systematisches und umfangreiches Verhaltensprofiling von Online Shoppern durchführt, ein abgeleitetes Präferenzprofil erstellt, dieses zur Beeinflussung von Kaufentscheidungen nutzt und Daten in ein Drittland überträgt. Die DSFA muss Datenkategorien, Profiling Logik, Rechtsgrundlage, Aufbewahrungsdauer für Profil und Ereignishistorie, ergänzende Maßnahmen, das Restrisiko, das Recht aus Artikel 22 DSGVO bei signifikanten Auswirkungen und die Wege zur Wahrnehmung von Auskunfts , Berichtigungs , Lösch und Widerspruchsrechten beschreiben.

Den Cartful Auftragsverarbeitungsvertrag unterzeichnen, das DPF Zertifikat des Importeurs prüfen, eine DSFA zu Profiling und US Transfer durchführen und die Consent Management Platform so konfigurieren, dass das Cartful Tag erst nach einer positiven Einwilligung lädt. Optionale Funktionen (E-Mail Erfassung, Cross Device, Anreicherung eingeloggter Nutzer) bis zur Einwilligung deaktivieren und nach Widerruf erneut deaktivieren. Aufbewahrung von Profil und Ereignishistorie dokumentieren und Löschungen inaktiver Profile über die Cartful Admin API anstossen. Datenschutzerklärung (Rechtsgrundlage, Transfermechanismus, Aufbewahrung) und Cookie Hinweis (namentlich genannte Cartful Cookies) aktualisieren.

Mehrere in der EU gehostete Empfehlungs und On Site Assistenten Tools sind prüfenswert: Nosto (EU Regionen), Algolia Recommend (EU Residenz), Klevu, Crobox, Findologic, Recombee (EU Server), Dynamic Yield (mit EU Residenz) sowie Open Source Ansätze wie Recommendations API auf einem selbst betriebenen Stack. Für Chat Assistenten reduzieren HubSpot ChatSpot oder selbst gehostete Rasa oder Botpress Instanzen auf EU Infrastruktur sowohl Einwilligungs als auch Transferrisiko. Die Auswahl hängt von Katalogtiefe, Latenz, Conversion Lift, Vertragsbedingungen (Auftragsverarbeitung, Unterauftragsverarbeiter, Transfermechanismen) und dem in der CMP rechtfertigbaren Profiling Niveau ab.

Im Cookie Hinweis die Cartful Cookies namentlich aufführen (cartful_session, cartful_visitor, cartful_profile) mit Dauer und Kategorie und sie in der CMP dem Cartful Zweck zuordnen. In der Datenschutzerklärung Cartful Solutions Inc. als Auftragsverarbeiter (oder gemeinsam Verantwortlichen je nach Vertrag) benennen, Datenkategorien aufführen (IP, Gerätedaten, Verhaltensereignisse, Chat Antworten, abgeleitetes Profil, optional E-Mail), Zielland nennen (USA), auf das EU US Data Privacy Framework und die EU Standardvertragsklauseln verweisen, die Aufbewahrungsdauer und Rechtswege angeben. Nach jeder Cartful Konfigurationsänderung erneut auditieren.