Datenschutzhinweise für die Apps

1. Verantwortlicher und Kontakt

Anbieter der Apps ist Andre Prochiner, Eichenweg 34b, 9581 Ledenitzen, Österreich, handelnd unter der Bezeichnung AppHighway. Kontakt für Datenschutzanfragen: support@apphighway.com. Ein Datenschutzbeauftragter ist nicht bestellt, weil die gesetzlichen Voraussetzungen dafür nicht vorliegen.

2. Wer ist für welche Daten verantwortlich?

Daten von Kundinnen und Kunden eines Shops (Käufer) verarbeiten wir ausschließlich im Auftrag des Händlers, der die App installiert hat. Verantwortlicher im Sinne der DSGVO ist der Händler; wir sind Auftragsverarbeiter nach Art. 28 DSGVO. Grundlage ist der Auftragsverarbeitungsvertrag, der mit der Installation zustande kommt. Käufer, die Auskunft oder Löschung wünschen, wenden sich an den Händler, bei dem sie bestellt haben; wir unterstützen den Händler bei der Beantwortung.

Für Daten des Händlers selbst und seiner Mitarbeiterinnen und Mitarbeiter (Shop-Sitzung, Einstellungen, Support-Anfragen, Mitteilungen) sind wir Verantwortlicher. Die Abrechnung der Apps erfolgt über Shopify; Zahlungsdaten erhalten wir nicht.

3. Welche Daten die Apps verarbeiten

Alle Apps speichern eine Shop-Sitzung: Shop-Domain, Zugriffstoken für die Shopify-API, Name, E-Mail-Adresse und Sprache des Shopify-Nutzers, der die App installiert oder öffnet. Diese Daten brauchen wir, um die App im Shopify-Admin anzuzeigen und mit Ihrem Shop zu verbinden.

Support und Mitteilungen: Schreiben Sie uns, verarbeiten wir Ihre Angaben (Name, E-Mail-Adresse, Shop-Domain, Nachricht) zur Bearbeitung der Anfrage. Bei Vertragsende sendet E-Rechnung & GoBD eine Mitteilung mit Download-Links an die Rechnungs-E-Mail-Adresse Ihres Shops.

4. Zwecke und Rechtsgrundlagen

Käuferdaten verarbeiten wir nur zur Erbringung der App-Funktion für den Händler auf Grundlage des Auftragsverarbeitungsvertrags (Art. 28 DSGVO); die Rechtsgrundlage für die Verarbeitung selbst bestimmt der Händler, in der Regel die Vertragserfüllung gegenüber dem Käufer und die gesetzliche Pflicht zur Rechnungsstellung und Aufbewahrung (Art. 6 Abs. 1 lit. b und c DSGVO).

Händlerdaten verarbeiten wir zur Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO), zur Erfüllung gesetzlicher Pflichten, etwa der Mitwirkung bei Datenschutz-Webhooks (Art. 6 Abs. 1 lit. c DSGVO), und aus berechtigtem Interesse an einem sicheren und nachvollziehbaren Betrieb, etwa für Protokolle und die Abwehr von Missbrauch (Art. 6 Abs. 1 lit. f DSGVO).

5. Empfänger und Verarbeitungsort

Die Apps laufen in Rechenzentren der Hetzner Online GmbH in Deutschland. Rechnungsdokumente, Archiv- und Übergabepakete sowie Exportdateien liegen im Objektspeicher von Amazon Web Services EMEA SARL in der Region Frankfurt. Transaktions-E-Mails (Rechnungsversand an Käufer, sofern aktiviert; Mitteilungen an den Händler) versenden wir über Brevo (Sendinblue SAS, Frankreich). Mit diesen Dienstleistern bestehen Auftragsverarbeitungsverträge; sie sind im Auftragsverarbeitungsvertrag als Unterauftragsverarbeiter genannt.

Shopify International Ltd. (Irland) ist die Plattform, über die Sie die Apps nutzen; den Datenaustausch mit Shopify steuern Sie über die Zugriffsrechte der App. Weitere Empfänger gibt es nur, wenn Sie sie selbst bestimmen, zum Beispiel Ihre Kanzlei, der Sie Exporte übergeben, oder Käufer, denen die App Rechnungen zustellt.

Eine Übermittlung in Drittländer außerhalb der EU und des EWR findet nicht statt. Sollte ein Dienstleister künftig Daten in einem Drittland verarbeiten, stellen wir vorher geeignete Garantien nach Kapitel V DSGVO sicher und informieren die Händler.

6. Speicherdauer

Shop-Sitzungen löschen wir, sobald Shopify uns die Deinstallation meldet (Webhook app/uninstalled). Alle übrigen Shop-Daten von Address Guard und DATEV Abgleich löschen wir mit dem Webhook shop/redact, den Shopify 48 Stunden nach der Deinstallation sendet.

E-Rechnung & GoBD bewahrt Rechnungen und Archiv auf, solange die App installiert ist. Nach der Deinstallation bleiben der Archivexport und das Übergabepaket bis zum 28. Tag abrufbar; ab dem 29. Tag löschen wir Entwürfe, Übergabepakete, Sitzungen und Einstellungen, spätestens am 30. Tag ist diese Löschung abgeschlossen. Ausgestellte Rechnungen samt Prüfkette löscht die App nicht von sich aus: Sie bleiben, solange wir den Dienst betreiben, bis zum Ablauf ihrer gesetzlichen Aufbewahrungsfrist gespeichert, oder bis der Händler ihre Löschung anweist. Die gesetzliche Aufbewahrung der Rechnungen (Deutschland acht Jahre, Österreich sieben Jahre, jeweils mit Ablaufhemmung) obliegt dem Händler, der dafür den Archivexport herunterlädt; eine Aufbewahrung durch uns ist nicht zugesagt.

Support-Korrespondenz bewahren wir auf, solange es zur Bearbeitung der Anfrage und zur Erfüllung gesetzlicher Aufbewahrungspflichten erforderlich ist. Protokolle des Betriebs (Server-Logs) werden nach höchstens 30 Tagen überschrieben.

7. Datenschutz-Webhooks von Shopify

Alle Apps setzen die verpflichtenden Webhooks von Shopify um. customers/data_request: Verlangt ein Käufer Auskunft, zeigt E-Rechnung & GoBD dem Händler, welche Rechnungen betroffen sind; Address Guard und DATEV Abgleich halten keine Käuferdaten, die herauszugeben wären. customers/redact: Daten eines Käufers werden gelöscht, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht; ausgestellte Rechnungen bleiben bis zum Ablauf der Aufbewahrungsfrist erhalten (Art. 17 Abs. 3 lit. b DSGVO). shop/redact: Alle verbliebenen Daten eines Shops werden gelöscht.

8. Sicherheit

Die Übertragung erfolgt ausschließlich verschlüsselt (TLS). Zugriffstoken werden serverseitig gespeichert, Datenbanken sind nicht öffentlich erreichbar, jede App hat eine eigene Datenbank, und Download-Links zu Dokumenten sind signiert und zeitlich begrenzt. Die vollständigen technischen und organisatorischen Maßnahmen stehen in Anlage 2 des Auftragsverarbeitungsvertrags.

9. Keine Cookies, keine Analyse in den Apps

Die Apps laufen eingebettet im Shopify-Admin und verwenden für die Anmeldung die Sitzungstoken von Shopify (App Bridge). Eigene Cookies, Analyse- oder Werbe-Tracker setzen die Apps nicht ein. Die Checkout-Erweiterung von Address Guard speichert keine Daten im Browser der Käufer.

10. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen aus berechtigtem Interesse (Art. 21). Wenden Sie sich dafür an support@apphighway.com. Käufer eines Shops richten ihre Anfrage an den Händler; soweit wir für diese Daten Auftragsverarbeiter sind, leiten wir Anfragen an den Händler weiter.

Sie haben außerdem das Recht auf Beschwerde bei einer Aufsichtsbehörde. Für uns zuständig ist die österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, dsb.gv.at; Sie können sich auch an die Aufsichtsbehörde Ihres Aufenthaltsorts wenden.

11. Änderungen dieser Hinweise

Wir passen diese Hinweise an, wenn sich die Apps, unsere Dienstleister oder die Rechtslage ändern. Die aktuelle Fassung mit Fassungsnummer und Datum finden Sie auf dieser Seite; wesentliche Änderungen teilen wir Händlern im Dashboard der App oder per E-Mail mit.