Schritt 1: Verstehen, was die GDPR für die Fotoverarbeitung vorschreibt
Wenn ein Käufer ein Foto von sich hochlädt, verarbeiten Sie personenbezogene Daten – insbesondere Bilddaten, die gemäß GDPR Artikel 9 als biometrische Daten eingestuft werden können, wenn sie dazu dienen, eine „natürliche Person eindeutig zu identifizieren“. Gerichte und Aufsichtsbehörden in der EU haben widersprüchliche Leitlinien dazu abgegeben, ob Fotos der virtuellen Anprobe die biometrische Schwelle von Artikel 9 überschreiten. Die konservative und sicherste Interpretation besteht darin, Käuferfotos als biometrische Daten besonderer Kategorien zu behandeln und vor der Verarbeitung eine ausdrückliche Einwilligung einzuholen.
Die Architektur von Photta extrahiert keine biometrischen Templates (Gesichts-Embeddings, Körpermaße oder Fingerabdrücke). Die KI verwendet das Foto rein für das Image-Compositing – sie speichert oder analysiert keine Identität. Die Definition der GDPR ist jedoch prozessorientiert, nicht ergebnisorientiert: Wenn Sie ein Foto verarbeiten, aus dem technisch biometrische Daten abgeleitet werden könnten, befinden Sie sich in der Risikozone. Ihr Rechtsbeistand sollte Ihre Klassifizierung bestätigen. Die Hinweise in diesem Dokument dienen der Information und stellen keine Rechtsberatung dar.
Schritt 2: Die Datenlöschfristen von Photta kennen
Photta arbeitet standardmäßig mit zwei Lösch-Timern. Von Käufern hochgeladene Fotos (das Original-Selfie oder Körperfoto) werden innerhalb von 1 Stunde nach dem Upload von den Servern von Photta gelöscht, unabhängig davon, ob eine Anprobe abgeschlossen wurde. Generierte Anprobe-Ergebnisbilder (die zusammengesetzte Ausgabe) werden innerhalb von 24 Stunden gelöscht. Weder der Upload noch das Ergebnis werden jemals mit Dritten geteilt oder für das Training von KI-Modellen verwendet. Diese kurzen Zeitfenster sind ein bewusstes Compliance-Feature, nicht nur eine Entscheidung zur Reduzierung von Speicherkosten.
Händler haben über das Business Dashboard keinen Zugriff auf die Fotos der Käufer – das ist so gewollt. Sie können aggregierte Analysen sehen (Anzahl der Anproben, Konversionsraten, Fehlerraten), aber nicht die tatsächlichen Bilder. Dies bedeutet, dass Sie für GDPR-Anfragen auf Löschung im Zusammenhang mit Anprobefotos keinen separaten Workflow zur Datenlöschung aufbauen müssen; die automatische Löschung von Photta deckt diese innerhalb von 24 Stunden ab.
Schritt 3: Implementierung einer Einwilligung (Consent UX) vor der Anprobe
Bevor der Käufer sein Foto hochlädt, zeigen Sie einen klaren Einwilligungsschritt an. Der integrierte Consent-Screen des Widgets (aktiviert durch Hinzufügen von data-consent="true" zu Ihrem Script-Tag) zeigt eine kurze Erklärung: „Ihr Foto wird nur zur Erstellung eines Anprobebildes verwendet und innerhalb von 1 Stunde gelöscht.“ Der Käufer muss ein Kontrollkästchen mit der Aufschrift „Ich willige in die Verarbeitung meines Fotos für die virtuelle Anprobe ein“ aktivieren, bevor er fortfahren kann. Diese Einwilligung wird mit einem Zeitstempel im System von Photta protokolliert.
Wenn Sie es vorziehen, Ihre eigene Consent-UI zu erstellen, deaktivieren Sie den integrierten Bildschirm des Widgets mit data-consent="custom" und präsentieren Sie Ihr eigenes Modal, bevor Sie photta.open() aus Ihrem JavaScript aufrufen. Stellen Sie sicher, dass Ihre benutzerdefinierte Consent-UI den Zeitstempel und den Zweck der Einwilligung in Ihrer eigenen Datenbank aufzeichnet. Die GDPR verlangt, dass die Einwilligung freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich erfolgt – ein vorab angekreuztes Kästchen ist nicht zulässig.
Schritt 4: Unterzeichnung eines Auftragsverarbeitungsvertrags mit Photta
Gemäß GDPR Artikel 28 müssen Sie, wenn Sie einen Drittverarbeiter (Photta) mit der Verarbeitung personenbezogener Daten in Ihrem Auftrag beauftragen, einen schriftlichen Auftragsverarbeitungsvertrag (AVV) abschließen. Melden Sie sich im Photta Business Dashboard an, navigieren Sie zu Einstellungen → Rechtliches und klicken Sie auf „AVV unterzeichnen“. Der AVV ist ein Standarddokument, das den EU-Standardvertragsklauseln entspricht und die verarbeiteten Datenkategorien, die Verarbeitungszwecke, die Unterauftragsverarbeiter von Photta sowie die Löschpflichten festlegt.
Der AVV ist auf Englisch verfügbar. Die Unterzeichnung ist ein Ein-Klick-Prozess über DocuSign. Nach der Unterzeichnung wird eine PDF-Kopie an Ihre registrierte Adresse gesendet und für Ihre Unterlagen unter Einstellungen → Rechtliches gespeichert. Falls Ihr AVV spezifische Unterauftragsverarbeiter benennen muss, die von Photta verwendet werden (AWS S3 für die Speicherung, KieAI für die Generierung), sind diese im Anhang des AVV aufgeführt. Aktualisieren Sie nach der Unterzeichnung Ihr eigenes Verzeichnis von Verarbeitungstätigkeiten (VVT), um Photta als Auftragsverarbeiter aufzuführen.
Schritt 5: Aktualisierung Ihrer Datenschutzerklärung
Die Datenschutzerklärung Ihres Shops muss die Verarbeitungstätigkeit der virtuellen Anprobe offenlegen. Fügen Sie einen Abschnitt mit dem Titel „Virtuelle Anprobe-Funktion“ hinzu, der Folgendes enthält: (1) welche Daten erhoben werden (vom Nutzer hochgeladene Fotos), (2) den Zweck (Erstellung eines virtuellen Anprobebildes), (3) die Rechtsgrundlage (ausdrückliche Einwilligung, Art. 6(1)(a) GDPR), (4) wer die Daten verarbeitet (Photta, ein KI-Dienst eines Drittanbieters), (5) die Aufbewahrungsfrist (Fotos werden innerhalb von 1 Stunde gelöscht, Ergebnisse innerhalb von 24 Stunden) und (6) die Betroffenenrechte (Recht auf jederzeitigen Widerruf der Einwilligung).
Eine vorgeschlagene Musterklausel: „Wenn Sie unsere virtuelle Anprobe-Funktion nutzen, wird das von Ihnen hochgeladene Foto an Photta (photta.app) ausschließlich zum Zweck der Erstellung eines virtuellen Anprobebildes übermittelt. Photta löscht Ihr Foto innerhalb von 1 Stunde und das generierte Bild innerhalb von 24 Stunden. Es werden keine biometrischen Templates gespeichert. Sie können Ihre Einwilligung jederzeit widerrufen, indem Sie die Funktion nicht nutzen; bereits hochgeladene Fotos können nach Abschluss der Verarbeitung nicht mehr abgerufen werden. Bei Fragen wenden Sie sich an privacy@[ihrshop].com.“ Passen Sie dies an Ihre juristische Person und Ihren Gerichtsstand an.