Ist virtuelle Anprobe DSGVO-konform? Was EU-Händler wissen müssen

Die virtuelle Anprobe ist eine der wenigen E-Commerce-Funktionen, die einen Kunden um ein Foto von sich selbst bitten. Für einen Händler, der in die EU oder das Vereinigte Königreich verkauft, bringt dieser Umstand die DSGVO ins Spiel, noch bevor die Funktion überhaupt eingeführt wird. Die meisten Compliance-Fragen lassen sich auf zwei Punkte reduzieren: was das Tool tatsächlich mit dem Foto macht und ob die Dokumentation zwischen Händler und Anbieter dies ehrlich widerspiegelt.

Ist ein Foto aus der virtuellen Anprobe ein personenbezogenes Datum gemäß DSGVO?

Ja, ohne große Debatte. Die DSGVO definiert personenbezogene Daten weit: alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Ein Foto, das das Gesicht oder den Körper eines Kunden zeigt, qualifiziert sich in dem Moment, in dem es diesem Kunden zugeordnet werden kann, selbst wenn das zugrunde liegende Unternehmen es einmal verarbeitet und eine Sekunde später verwirft. Kurze Aufbewahrungsfristen reduzieren das Risiko. Sie entziehen das Foto jedoch nicht dem Anwendungsbereich der DSGVO.

Das ist wichtig, denn Händler gehen manchmal davon aus, dass eine Funktion, die „nichts speichert“, automatisch konform ist. Sie löst dennoch die Kernpflichten der DSGVO aus: eine rechtmäßige Grundlage für die Verarbeitung, eine klare Information an den Kunden und, da die eigentliche Verarbeitung in der Regel an einen Anbieter ausgelagert wird, eine ordnungsgemäße Vereinbarung, die die Rolle dieses Anbieters abdeckt.

Zählt virtuelle Anprobe als biometrisches Datum?

Hier liegt die eigentliche rechtliche Nuance, und es ist wichtiger, dies richtig zu verstehen, als es zu übergehen. Artikel 9 der DSGVO hebt biometrische Daten als besondere Kategorie hervor, definiert in Artikel 4(14) als Daten, die aus einer spezifischen technischen Verarbeitung von physikalischen, physiologischen oder Verhaltensmerkmalen einer natürlichen Person resultieren und die eindeutige Identifizierung dieser natürlichen Person ermöglichen oder bestätigen. Die Verarbeitung von Daten besonderer Kategorie erfordert eine stärkere Rechtsgrundlage als gewöhnliche personenbezogene Daten, in der Regel eine ausdrückliche Einwilligung.

• Tools, die die Gesichtsgeometrie kartieren, um Brillen oder Lippenstift präzise zu platzieren (üblich bei Anproben von Brillen und Make-up), extrahieren Messungen zur Identifizierung von Gesichtsmerkmalen, was genau die Aktivität ist, für die Artikel 9 geschrieben wurde.
• Tools, die ein Kleidungsstück auf einen Körper in einem Foto rendern, ohne Gesichtsmerkmale zu extrahieren, tun etwas strukturell anderes: Sie passen Pose und Proportionen an, identifizieren aber nicht, wem das Gesicht gehört.
• Die behördliche Leitlinie zu dieser Unterscheidung ist noch nicht vollständig geklärt. Kommentare des britischen ICO und mehrerer EU-Anwaltskanzleien haben geraten, Kundenfotos vorsorglich als Daten besonderer Kategorie zu behandeln, selbst für die Anprobe von Kleidung, während andere den Eindeutigkeits-Identifikationstest gemäß Artikel 4(14) enger auslegen.

Die praktische Schlussfolgerung für einen Händler ist, sich nicht auf die engere Auslegung zu verlassen. Egal, auf welche Seite dieser Debatte sich eine Aufsichtsbehörde schließlich schlägt: die Einholung einer ausdrücklichen, spezifischen Einwilligung vor dem Hochladen eines Fotos und die Wahl eines Anbieters, der Gesichtsanalysen von Design her vermeidet, halten unter beiden Interpretationen stand.

Wer ist der Verantwortliche und wer der Auftragsverarbeiter?

Gemäß DSGVO ist der Händler, der das Geschäft betreibt, fast immer der Datenverantwortliche: Das Geschäft entscheidet, warum eine Anprobefunktion existiert, bietet sie den Kunden an und pflegt die Kundenbeziehung. Der Anbieter der Anprobe-Technologie, einschließlich Corlen, ist der Datenverarbeiter, der streng nach den dokumentierten Anweisungen des Händlers handelt und nicht für eigene Zwecke.

Artikel 28 der DSGVO erfordert einen schriftlichen Vertrag zwischen Verantwortlichem und Auftragsverarbeiter, der den Gegenstand der Verarbeitung, deren Dauer, Art und Zweck, die Kategorien personenbezogener Daten und betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen abdeckt. Dieser Vertrag ist der Datenverarbeitungsvertrag (DPA), und ein Händler sollte eine Anprobefunktion nicht aktivieren, ohne dass ein solcher Vertrag unterzeichnet und archiviert ist.

Was müssen EU-Händler tatsächlich implementiert haben?

1. Eine unterzeichnete DPA mit dem Anbieter, in der jeder beteiligte Unterauftragsverarbeiter (Cloud-Hosting, der KI-Modellanbieter, E-Mail-Zustellung usw.) benannt wird, nicht nur ein generischer Verweis auf „Dritte“.
2. Ein klarer, spezifischer Einwilligungsschritt vor dem Hochladen des Fotos, getrennt von den allgemeinen Geschäftsbedingungen, der angibt, wofür das Foto verwendet wird und wie lange es aufbewahrt wird.
3. Ein festgelegtes Aufbewahrungsfenster, in klaren Zahlen: „nach Bedarf“ ist keine Aufbewahrungsrichtlinie, die eine Aufsichtsbehörde oder ein Kunde bewerten kann.
4. Ein dokumentierter Prozess für Anfragen von betroffenen Personen, da ein Kunde an jeder Stelle der Kette, ob Händler oder Anbieter, die Löschung seines Fotos verlangen oder eine Erklärung dazu einfordern kann.
5. Schutzmaßnahmen für internationale Transfers (typischerweise Standardvertragsklauseln), wenn ein Unterauftragsverarbeiter Infrastruktur außerhalb der EU oder des Vereinigten Königreichs betreibt, was bei KI-basierten Tools, die auf großen Cloud-Anbietern laufen, üblich ist.

Wie Corlen die DSGVO für virtuelle Anproben handhabt

Corlens Datenverarbeitungsvertrag besagt dies direkt, anstatt es Rückschlüssen zu überlassen: Corlen verarbeitet keine Daten besonderer Kategorien oder biometrische Daten und führt niemals Gesichtserkennung oder Gesichtsanalyse an Fotos durch, die es verarbeitet. In einem Shopify-Storefront wird ein Foto, das über den „Anprobieren“-Button übermittelt wird, für die einzelne Anfrage, die eine Vorschau generiert, im Arbeitsspeicher verarbeitet und niemals in eine Datenbank oder einen Dateispeicher geschrieben. An einem In-Store-Kiosk werden Fotos innerhalb von 2 Stunden automatisch gelöscht oder sofort, wenn der Kunde die Löschung beantragt.

Die DPA benennt auch jeden beteiligten Unterauftragsverarbeiter (Google Cloud für die KI-Generierung selbst, Supabase für die Speicherung, Resend für E-Mails, Stripe für die Abrechnung, Vercel für das Hosting), verpflichtet sich zu Standardvertragsklauseln für jeden internationalen Transfer und gibt Händlern einen direkten Kontakt für Anfragen von betroffenen Personen. Ein Händler, der einen beliebigen Anprobieranbieter, nicht nur Corlen, evaluiert, sollte das gleiche Maß an Spezifität erwarten, bevor er sich anmeldet. Sehen Sie, wie der gleiche Datenschutzansatz aus Kundensicht in Ist virtuelle Anprobe sicher gelesen wird, oder probieren Sie Corlen mit Ihrem eigenen Foto aus, um den gesamten Ablauf aus erster Hand zu erleben.