Datenschutzerklärung

1. Datenschutz auf einen Blick

Allgemeine Hinweise

Die folgenden Hinweise geben einen einfachen Überblick darüber, was mit Ihren personenbezogenen Daten passiert, wenn Sie diese Website besuchen oder die Shopify-App „zrapp" nutzen. Personenbezogene Daten sind alle Daten, mit denen Sie persönlich identifiziert werden können.

Diese Datenschutzerklärung gilt für zwei Bereiche:

• Marketing-Website zrapp.de – die Informations- und Kontaktseite
• Shopify-App „zrapp" – die im Shopify App Store erhältliche Integrationsanwendung

Datenerfassung auf dieser Website

Wer ist verantwortlich für die Datenerfassung auf dieser Website?
Die Datenverarbeitung auf dieser Website erfolgt durch den Websitebetreiber. Dessen Kontaktdaten können Sie dem Abschnitt „Hinweis zur Verantwortlichen Stelle" in dieser Datenschutzerklärung entnehmen.

2. Verantwortliche Stelle

Die verantwortliche Stelle für die Datenverarbeitung auf dieser Website ist:

Hinweis zur Rolle bei der Shopify-App: Im Rahmen der App „zrapp" handelt der jeweilige Shopify-Händler als Verantwortlicher (Controller) für die Verarbeitung der Endkundendaten. zrapp (Artur Hoffmann) handelt als Auftragsverarbeiter (Processor) im Sinne von Art. 28 DSGVO bzw. Art. 9 nDSG (Schweiz).

3. Hosting

Marketing-Website (zrapp.de)

Anbieter ist Lovable (betrieben über Netlify, Inc., 512 2nd Street, Suite 200, San Francisco, CA 94107, USA). Details entnehmen Sie der Datenschutzerklärung von Netlify: https://www.netlify.com/privacy/.

Die Verwendung von Lovable/Netlify erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Wir haben ein berechtigtes Interesse an einer möglichst zuverlässigen Darstellung unserer Website.

Shopify-App (zrapp)

Die Shopify-App „zrapp" wird vollständig (Frontend, Backend und PostgreSQL-Datenbank) auf einem dedizierten Server der IONOS SE, Elgendorfer Straße 57, 56410 Montabaur, Deutschland in einem deutschen Rechenzentrum betrieben. Mit IONOS besteht ein Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO. Es erfolgt keine Datenübertragung in Drittländer durch zrapp selbst. Die Kommunikation mit Shopify-Servern (Kanada/USA), sevdesk-Servern (Deutschland) und Lexware-Office-Servern (Deutschland) erfolgt ausschließlich über verschlüsselte HTTPS-Verbindungen.

Weitere Informationen zur Datenverarbeitung bei IONOS finden Sie unter: https://www.ionos.de/terms-gtc/terms-privacy/.

4. Allgemeine Hinweise und Pflichtinformationen

Datenschutz

Die Betreiber dieser Seiten nehmen den Schutz Ihrer persönlichen Daten sehr ernst. Wir behandeln Ihre personenbezogenen Daten vertraulich und entsprechend den gesetzlichen Datenschutzvorschriften sowie dieser Datenschutzerklärung.

SSL- bzw. TLS-Verschlüsselung

Diese Seite nutzt aus Sicherheitsgründen und zum Schutz der Übertragung vertraulicher Inhalte eine SSL- bzw. TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennen Sie daran, dass die Adresszeile des Browsers von „http://" auf „https://" wechselt und an dem Schloss-Symbol in Ihrer Browserzeile.

5. Datenerfassung auf der Marketing-Website (zrapp.de)

Cookies

Unsere Internetseiten verwenden so genannte „Cookies". Cookies sind kleine Datenpakete und richten auf Ihrem Endgerät keinen Schaden an. Sie werden entweder vorübergehend für die Dauer einer Sitzung (Session-Cookies) oder dauerhaft (permanente Cookies) auf Ihrem Endgerät gespeichert. Die Speicherung von und der Zugriff auf Informationen in der Endeinrichtung des Nutzers erfolgt nur mit dessen Einwilligung gemäß § 25 Abs. 1 TDDDG, sofern es sich nicht um unbedingt erforderliche Cookies handelt (§ 25 Abs. 2 TDDDG). Die Rechtsgrundlage für technisch notwendige Cookies ist Art. 6 Abs. 1 lit. f DSGVO. Für alle anderen Cookies holen wir Ihre Einwilligung über unseren Cookie-Banner ein (Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG). Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft über den Cookie-Banner widerrufen.

Kontaktformular

Wenn Sie uns per Kontaktformular Anfragen zukommen lassen, werden Ihre Angaben aus dem Anfrageformular inklusive der von Ihnen dort angegebenen Kontaktdaten zwecks Bearbeitung der Anfrage und für den Fall von Anschlussfragen bei uns gespeichert. Diese Daten geben wir nicht ohne Ihre Einwilligung weiter. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bearbeitung Ihrer Anfrage). Ihre Daten aus dem Kontaktformular werden nach Abschluss der Bearbeitung gelöscht, spätestens jedoch nach 6 Monaten.

E-Mail-Versand über EmailJS

Für den Versand von Kontaktformular-Nachrichten verwenden wir den Dienst EmailJS (EmailJS, 4023 Kennett Pike #50063, Wilmington, DE 19807, USA). Wenn Sie uns über das Kontaktformular kontaktieren, werden Ihre eingegebenen Daten (Name, E-Mail-Adresse, Nachricht) über die Server von EmailJS an uns weitergeleitet. Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der effizienten Bearbeitung von Kontaktanfragen). Weitere Informationen finden Sie in der Datenschutzerklärung von EmailJS: https://www.emailjs.com/legal/privacy-policy/.

Schutz vor Spam (Honeypot)

Zum Schutz vor automatisierten Spam-Einsendungen über das Kontaktformular setzen wir ein technisches Honeypot-Verfahren ein. Dabei wird ein für Menschen unsichtbares Formularfeld eingeblendet; wird dieses Feld ausgefüllt (was nur durch Bots geschieht), verwerfen wir die Anfrage automatisch. Es werden hierbei keine zusätzlichen personenbezogenen Daten erfasst. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Schutz unserer Systeme vor missbräuchlicher Nutzung).

6. Datenverarbeitung in der Shopify-App „zrapp"

6.1 Rolle und Durchleitungs-Prinzip

zrapp ist ein Durchleitungs-Service (Data Processor). Bestelldaten werden von Shopify abgerufen, in das Format der vom Händler gewählten Buchhaltungssoftware (sevdesk oder Lexware Office) transformiert und direkt an diese weitergeleitet. zrapp speichert keine Bestelldaten, Kundendaten oder Rechnungsinhalte in der eigenen Datenbank.

Die Rechtsgrundlage für die Datenverarbeitung ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) in Verbindung mit Art. 28 DSGVO (Auftragsverarbeitung).

6.2 Daten die in zrapp gespeichert werden

zrapp speichert ausschließlich die für den Betrieb der App technisch erforderlichen Daten:

• Shop-Stammdaten: Domain, Name, E-Mail des Shop-Inhabers, Währung, Zeitzone, Shopify-Tarif
• Shop-Einstellungen: Steuer-Status, Rechnungstexte, Automations-Konfiguration, Zahlungsarten-Zuordnungen (keine PII)
• Sessions: Vorname, Nachname und E-Mail-Adresse von Staff-Mitgliedern des Shops (Lebensdauer: 24 Stunden)
• API-Tokens: Shopify Access Token, sevdesk API-Token sowie Lexware-Office-Zugangsdaten/Tokens, jeweils AES-256-GCM-verschlüsselt
• Webhook-Deduplizierung: Event-IDs und Zeitstempel zur Vermeidung doppelter Verarbeitung (48h, keine PII)
• Produkt-Sync-Status: Zuordnung von Shopify-Varianten-IDs zu Artikel-IDs in sevdesk bzw. Lexware Office (keine PII)
• Billing-Daten: Shopify Charge-ID, Status, Betrag und Aktivierungsdatum (keine Zahlungsdaten)

6.3 Daten die NICHT in zrapp gespeichert werden

zrapp speichert ausdrücklich keine der folgenden Daten in der eigenen Datenbank:

• Bestelldaten (Bestellnummer, Positionen, Preise, Rabatte)
• Kundendaten (Namen, Adressen, E-Mail-Adressen, Telefonnummern von Endkunden)
• Rechnungsinhalte (nur Referenz-IDs zu sevdesk-Rechnungen)
• Zahlungsdaten (Kreditkarten, Bankdaten, Zahlungsmethoden)
• Versanddaten (Tracking-Nummern, Lieferadressen)

6.4 Personenbezogene Daten die an die Buchhaltungssoftware weitergeleitet werden

Bei der Rechnungserstellung werden folgende personenbezogene Daten der Endkunden von Shopify abgerufen und an die vom Händler gewählte Buchhaltungssoftware (sevdesk oder Lexware Office) übertragen (Durchleitung, ohne lokale Speicherung):

• Vorname, Nachname
• Firma (falls vorhanden)
• E-Mail-Adresse
• Telefonnummer (falls vorhanden)
• Rechnungsadresse (Straße, PLZ, Ort, Land)
• Lieferadresse (bei E-Rechnungen)
• USt-ID (falls vorhanden, aus Steuerbefreiungen der Bestellung)

Die Rechtsgrundlage für die Weitergabe ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

7. Cookies in der Shopify-App

Die Shopify-App „zrapp" verwendet ausschließlich einen funktionalen Session-Cookie:

Eigenschaften: HttpOnly, Secure, SameSite=none (erforderlich für eingebettete Shopify-Apps). Es werden kein Tracking, keine Analytics und keine Third-Party-Cookies in der App verwendet.

8. Datenweitergabe an Dritte

8.1 Shopify Inc.

8.2 sevdesk GmbH

8.3 Haufe-Lexware GmbH & Co. KG (Lexware Office)

8.4 Weitere Empfänger und Hinweis zur Marketing-Website

In der Shopify-App „zrapp" selbst werden keine Daten an Analytics-Plattformen, Marketing-Tools, CDN-Anbieter, Logging-Dienste oder Zahlungsabwickler weitergegeben. Sämtliche App-Assets werden auf eigenen Servern gehostet. Die Zahlungsabwicklung für das App-Abonnement erfolgt ausschließlich über Shopify.

Auf der Marketing-Website zrapp.de kommen zusätzlich die in dieser Datenschutzerklärung gesondert beschriebenen Dienste zum Einsatz: Lovable/Netlify (Hosting, Abschnitt 3) und EmailJS(Versand von Kontaktformular-Nachrichten, Abschnitt 5). Eine vollständige Übersicht aller Auftragsverarbeiter finden Sie in Abschnitt 18.

9. Automatische Synchronisierung (Webhooks)

zrapp empfängt Webhooks von Shopify, um auf Ereignisse wie neue Bestellungen, Stornierungen oder Erstattungen zu reagieren. Die automatische Synchronisierung ist standardmäßig deaktiviert. Der Händler muss sie explizit in den Einstellungen aktivieren und kann einzelne Aktionen (z. B. Auto-Rechnung, Auto-Storno, Auto-Gutschrift) separat ein- und ausschalten.

Alle Webhooks werden mit HMAC-SHA256 signiert und mittels Timing-Safe-Vergleich validiert. Eine Deduplizierung über Event-IDs (48h Aufbewahrung) verhindert doppelte Verarbeitung.

10. E-Mail-Versand über die Buchhaltungssoftware

zrapp versendet keine E-Mails direkt. Wenn der Händler den automatischen E-Mail-Versand aktiviert hat, wird die Rechnung über die API der angebundenen Buchhaltungssoftware (sevdesk; bei Lexware Office abhängig vom unterstützten Funktionsumfang) an die in der Shopify-Bestellung hinterlegte E-Mail-Adresse des Kunden gesendet. Der Betreff und Text der E-Mail werden vom Händler in den zrapp-Einstellungen konfiguriert.

11. Datensicherheit

Wir setzen umfangreiche technische und organisatorische Maßnahmen ein, um Ihre Daten zu schützen:

• Verschlüsselung in Ruhe: API-Tokens werden mit AES-256-GCM (256-Bit-Schlüssel) verschlüsselt gespeichert
• Verschlüsselung bei Übertragung: Alle Verbindungen erfolgen über TLS/HTTPS
• Webhook-Validierung: HMAC-SHA256 mit Timing-Safe-Vergleich
• Session-Cookies: HttpOnly, Secure, SameSite-Flags
• Zugriffsschutz: Rate Limiting (100 Req/Min API, 15 Req/15Min Auth), CORS, Content Security Policy (CSP), Helmet.js
• Logging-Sicherheit: Authorization-Header, Cookies, API-Tokens und Kunden-E-Mails werden nie in Logs erfasst (E-Mails werden maskiert)
• Input-Validierung: Domain-Format-Prüfung, Charge-ID-Sanitierung, SQL-Injection-Schutz (TypeORM)

12. Datenlöschung und Aufbewahrungsfristen

Bei App-Deinstallation

Bei Deinstallation der App werden sofort (innerhalb von Sekunden) gelöscht:

• Alle Sessions (Online und Offline)
• sevdesk API-Token und sensible Konfigurationsdaten
• Shop-Einstellungen (Steuerkonfiguration, Rechnungstexte, Webhook-Konfiguration, Zahlungsarten-Zuordnungen)

48 Stunden nach Deinstallation sendet Shopify einen shop/redact-Webhook. Daraufhin werden sämtliche verbleibenden Shop-Daten hart gelöscht (Hard Delete).

Aufbewahrungsfristen

13. DSGVO-Compliance-Webhooks

zrapp implementiert die von Shopify vorgeschriebenen DSGVO-Webhooks:

• Datenauskunft (customers/data_request, Art. 15 DSGVO): Alle gespeicherten Daten werden zusammengestellt. Da keine Endkundendaten lokal gespeichert werden, wird dokumentiert, dass ausschließlich Durchleitungsdaten an sevdesk übertragen wurden.
• Kundenlöschung (customers/redact, Art. 17 DSGVO): Alle mit dem Kunden verknüpften Sessions und Cache-Einträge werden hart gelöscht. Rechnungsdaten in sevdesk unterliegen der gesetzlichen Aufbewahrungspflicht und werden nicht gelöscht.
• Shop-Löschung (shop/redact, Art. 17 DSGVO): 48 Stunden nach Deinstallation werden sämtliche Shop-Daten, Einstellungen und Sessions hart gelöscht.

Alle DSGVO-Aktionen werden protokolliert (Zeitstempel, Typ, anonymisierte Kunden-ID, durchgeführte Aktionen, Ergebnis).

14. Ihre Rechte als betroffene Person

Sie haben gegenüber uns folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten:

• Recht auf Auskunft (Art. 15 DSGVO / Art. 25 DSG): Sie können Auskunft über Ihre von uns verarbeiteten personenbezogenen Daten verlangen.
• Recht auf Berichtigung (Art. 16 DSGVO / Art. 32 DSG): Sie können die Berichtigung unrichtiger oder die Vervollständigung Ihrer bei uns gespeicherten personenbezogenen Daten verlangen.
• Recht auf Löschung (Art. 17 DSGVO / Art. 32 DSG): Sie können die Löschung Ihrer bei uns gespeicherten personenbezogenen Daten verlangen, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO): Sie können die Einschränkung der Verarbeitung Ihrer personenbezogenen Daten verlangen.
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO / Art. 28 DSG): Sie können verlangen, dass wir Ihnen Ihre personenbezogenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format übermitteln.
• Widerspruchsrecht (Art. 21 DSGVO / Art. 30 DSG): Sie können der Verarbeitung Ihrer personenbezogenen Daten jederzeit widersprechen, sofern die Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO basiert.
• Recht auf Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO): Sie können Ihre einmal erteilte Einwilligung jederzeit widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt hiervon unberührt.

Zur Ausübung Ihrer Rechte wenden Sie sich bitte an: support@zrapp.de

15. Beschwerderecht bei einer Aufsichtsbehörde

Unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs steht Ihnen das Recht auf Beschwerde bei einer Aufsichtsbehörde zu, wenn Sie der Ansicht sind, dass die Verarbeitung der Sie betreffenden personenbezogenen Daten gegen die DSGVO verstößt (Art. 77 DSGVO).

Die für uns zuständige Aufsichtsbehörde ist:

Für Nutzer in Österreich: Österreichische Datenschutzbehörde, Barichgasse 40-42, 1030 Wien, https://www.dsb.gv.at

Für Nutzer in der Schweiz: Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB), Feldeggweg 1, 3003 Bern, https://www.edoeb.admin.ch

16. Rechtsgrundlagen der Verarbeitung

Die Verarbeitung personenbezogener Daten erfolgt auf folgenden Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG (Einwilligung): Setzen optionaler Cookies auf der Marketing-Website (nur nach ausdrücklicher Einwilligung über den Cookie-Banner)
• Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung): Nutzung der Shopify-App, Rechnungserstellung, Datenweitergabe an Shopify und sevdesk
• Art. 6 Abs. 1 lit. c DSGVO (Rechtliche Verpflichtung): Aufbewahrung von Rechnungsdaten gemäß HGB §257, AO §147 (10 Jahre)
• Art. 6 Abs. 1 lit. f DSGVO (Berechtigtes Interesse): Technischer Betrieb der App, Sicherheitsmaßnahmen, Kontaktformular auf der Website, Hosting

Hinweis für die Schweiz: Soweit das Schweizer Datenschutzgesetz (DSG) Anwendung findet, erfolgt die Verarbeitung auf Grundlage der jeweils einschlägigen Bestimmungen des DSG (insbesondere Art. 6, Art. 30, Art. 31 DSG).

17. Internationaler Datentransfer

Die zrapp-App und -Datenbank werden in Deutschland betrieben. Ein Datentransfer in Drittländer erfolgt ausschließlich in folgenden Fällen:

• Shopify Inc. (Kanada/USA): Bestelldaten, OAuth, Billing. Kanada verfügt über einen Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO). Zusätzlich besteht ein Data Processing Agreement (DPA) mit Shopify.
• EmailJS (USA): Kontaktformular-Nachrichten auf der Marketing-Website. Absicherung über Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Alle übrigen Datenverarbeitungen (sevdesk, App-Server, Datenbank) erfolgen ausschließlich in Deutschland/EU.

18. Auftragsverarbeitung

Wir haben mit folgenden Dienstleistern Auftragsverarbeitungsverträge (AVV) bzw. Data Processing Agreements (DPA) abgeschlossen:

Den vollständigen Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO für die Nutzung der Shopify-App „zrapp" finden Sie hier: AVV ansehen →

Stand: Mai 2026