Auf einen Blick
Datenschutzhinweis im Widget
Der Datenschutzhinweis ist pro Shop einstellbar und standardmäßig ausgeschaltet. Das Widget zeigt also von sich aus kein Consent-Banner — du entscheidest selbst, ob ein Hinweis erscheinen soll. Das passt zu Setups, in denen die Einwilligung bereits über das Consent-/Cookie-Banner deiner Website abgedeckt ist.
Den Schalter findest du im Dashboard unter Einbindung. Aktivierst du ihn, verlangt das Widget vor der ersten Nachricht eine Zustimmung; bis dahin antwortet die KI nicht.
Editierbare Datenschutz-URL
Die Datenschutz-URL ist frei wählbar und zeigt typischerweise auf deine eigene Datenschutzerklärung. Aus Sicherheitsgründen werden ausführbare Schemata wie javascript:, data: oder vbscript: beim Speichern verworfen — erlaubt sind reguläre https://-Links.
# Beispiel für eine gültige Datenschutz-URL
https://dein-shop.de/datenschutzAuftragsverarbeitung (AVV/DPA)
Alpheris verarbeitet Daten in deinem Auftrag. Den Auftragsverarbeitungsvertrag (AVV) — englisch Data Processing Agreement (DPA) — findest du unter alpheris.com/avv. Er bildet die rechtliche Grundlage nach Art. 28 DSGVO für die Verarbeitung der über Alpheris laufenden Daten.
Mit den eingesetzten Sub-Auftragsverarbeitern (Subprozessoren) bestehen ebenfalls Art.-28-Verträge. Die aktuelle Liste der Subprozessoren ist auf der Alpheris-Website einsehbar.
Datenstandort
Speicherung und Verarbeitung finden in Deutschland und der EU statt. Es findet keine Verarbeitung außerhalb der EU als Standard statt. Damit bleiben die über das Widget und die Inbox laufenden Daten im europäischen Rechtsraum.
Speicherdauer und Löschfristen
Ein Aufräumlauf löscht jede Nacht um 03:40 Uhr automatisch, was seine Frist überschritten hat. Diese Fristen gelten — du brauchst sie für deine eigene Datenschutzerklärung:
| Daten | Frist | Grund |
|---|---|---|
| Chat-Verläufe aus dem Widget | 365 Tage | Betrieb und Nachvollziehbarkeit |
| E-Mails in der Inbox | 6 Jahre | Handelsbriefe, HGB §257 Abs. 4 / AO §147 Abs. 3 |
| Kundenstamm (Kontakte) | 6 Jahre | dieselbe gesetzliche Frist |
| Anmelde-Sitzungen | 90 Tage | enthalten IP und Gerätekennung |
| Protokoll geblockter Vertriebsanfragen | 90 Tage | personenbezogen |
Bei den gesetzlichen Sechsjahresfristen beginnt die Frist erst mit Ablauf des Kalenderjahres, in dem der Vorgang entstanden ist — so schreibt es das Gesetz vor. Ein 2026 gestartetes Konto verliert also frühestens 2033 die ersten Mails. Löschen darfst du jederzeit selbst; die Fristen sind Obergrenzen, keine Mindesthaltbarkeit.
Technische Schutzmechanismen
Das Widget und die KI-Laufzeit sind mit mehreren Schutzschichten abgesichert:
| Mechanismus | Was er bewirkt |
|---|---|
| Session-Token | Jede Chat-Sitzung läuft über ein eigenes Token statt über frei manipulierbare Parameter. |
| Domain-Bindung | Der Einbindungsschlüssel ist an deine verifizierte Domain gebunden; Anfragen von fremden Hosts werden abgewiesen. |
| Rate-Limits | Anfragen pro Quelle sind begrenzt, um Missbrauch und Lastspitzen abzufangen. |
| Upload-Filterung | Datei-Uploads in die Wissensbasis werden auf erlaubte Typen geprüft und auf Schadsoftware gescannt. |
Domain-Bindung
Der Schlüssel im Einbindungs-Snippet (data-alpheris-key) ist an die in deinem Konto verifizierte Domain gebunden. Im aktiven Strict-Mode prüft Alpheris bei jeder Widget- und Chat-Anfrage den Ursprung der Einbettung gegen diese Domain. Lädt jemand dein Snippet auf einer fremden Seite, wird die Anfrage abgelehnt.
<!-- Alpheris Chat Widget -->
<script src="https://alpheris.com/widget.js" data-alpheris-key="INSTALL_ID" crossorigin="anonymous" async></script>
<!-- End Alpheris Chat Widget -->Die Domain-Verifizierung und das Verhalten bei mehreren Domains sind unter Domains beschrieben.
Keine skriptfähigen Uploads
Für die Wissensbasis akzeptiert Alpheris ausschließlich Dokument- und Bildformate — etwa .pdf, .txt, .md, .csv, .docx, .xlsx sowie gängige Bildtypen. Skriptfähige oder ausführbare Dateien werden abgelehnt: .html und .svg stehen nicht auf der Whitelist, ebenso wenig aktive Typen wie .exe, .js oder .sh. Zusätzlich läuft auf jeden Upload ein Malware-Scan (ClamAV).
.html- oder .svg-Datei lassen sich nicht direkt hochladen. Lass solche Seiten stattdessen über den Crawl erfassen oder exportiere den Inhalt als PDF.Textbausteine statt freier Erfindung
Für wiederkehrende rechtlich oder geschäftlich heikle Aussagen — Widerruf, Versandbedingungen, Datenschutzformulierungen — solltest du Textbausteine hinterlegen, statt die KI frei formulieren zu lassen. So gibt die KI immer den von dir freigegebenen Wortlaut wieder und erfindet keine abweichenden Bedingungen. Textbausteine pflegst du im Bereich des KI-Agenten.