Datenschutzerklärung der App

Diese Datenschutzerklärung gilt für die Shopify-App „effware: Inventur & Stock Take“. Verantwortlicher im Sinne dieser Erklärung, Ihre Rechte und die Kontaktmöglichkeiten stehen in unserer allgemeinen Datenschutzerklärung.

1. Rollen

Die App wird von Händlern in ihrem Shopify-Shop installiert.

Für die Zähldaten und die Namen der Zählenden ist der Händler Verantwortlicher. Wir verarbeiten diese Daten in seinem Auftrag (Art. 28 DSGVO). Den Vertrag dazu finden Sie unter Auftragsverarbeitungsvertrag.
Für die Bereitstellung der App gegenüber dem Händler, die Nutzungsstatistik (Abschnitt 8) und die Server-Logs (Abschnitt 9) sind wir selbst Verantwortlicher.
Installation, Abrechnung und das Shopify-Konto des Händlers verarbeitet Shopify (Shopify International Limited, Irland) in eigener Verantwortung. Dafür gilt die Datenschutzerklärung von Shopify.

2. Keine Kundendaten

Die App fragt bei Shopify nur diese Berechtigungen an: Produkte lesen, Bestand lesen und schreiben, Standorte lesen. Sie hat keinen Zugriff auf Kunden- oder Bestelldaten und speichert keine.

3. Welche personenbezogenen Daten die App verarbeitet

Namen der Zählenden: frei wählbar, ein Kürzel reicht. Gespeichert je Zähleintrag, je Gerät und je Zählung.
Shopify-Nutzerkennung und -name der Person, die eine Zählung anlegt, prüft oder abschließt, sowie die Zuordnung eines Zählernamens zur Shopify-Nutzerkennung.
Zeitstempel je Eintrag (Serverzeit und Gerätezeit) und je Zählung.
Zufällige Geräte-Kennung je Browser. Sie wird im Browser des Geräts (localStorage) erzeugt, unterscheidet Geräte derselben Person und erlaubt keine Wiedererkennung außerhalb der App.
Freitexte: Notizen, Abbruchgründe und Differenzgründe.
Adresse des Standorts (Straße, Ort), wie in Shopify hinterlegt.
Shop-Domain des Händlers.
Firmenname, wenn der Händler ihn in den Einstellungen angibt (erscheint auf den Berichten), und die Zeitzone des Shops.

4. Zwecke und Rechtsgrundlagen

Durchführung und Dokumentation der Inventur (Zähldaten, Namen, Zeitstempel, Geräte-Kennung, Freitexte, Berichte, Firmenname): Verarbeitung im Auftrag des Händlers nach Art. 28 DSGVO. Die Rechtsgrundlage bestimmt der Händler als Verantwortlicher; für die Namen seiner Mitarbeitenden ist das in der Regel die Durchführung des Beschäftigungsverhältnisses und die Erfüllung seiner Inventurpflicht (Art. 6 Abs. 1 lit. b und c DSGVO).
Bereitstellung der App (Shop-Domain, Shopify-Sitzung, Shopify-Nutzerkennung): Art. 6 Abs. 1 lit. b DSGVO, Vertrag mit dem Händler über die Nutzung der App.
Nutzungsstatistik und Server-Logs: Art. 6 Abs. 1 lit. f DSGVO; unsere berechtigten Interessen sind die Produktsteuerung ohne Drittanbieter sowie der sichere und stabile Betrieb.

Hinweis für Händler: Wenn Mitarbeitende mit ihrem Namen zählen, informieren Sie diese als Verantwortlicher über die Verarbeitung (Art. 13 DSGVO), zum Beispiel mit einem Aushang oder in Ihrer Datenschutzinformation für Beschäftigte. Weil das Protokoll zeigt, wer wann was gezählt hat, kann die Einführung der App mitbestimmungspflichtig sein, wenn es in Ihrem Betrieb einen Betriebsrat gibt (§ 87 Abs. 1 Nr. 6 BetrVG). Ein Kürzel statt des vollen Namens reicht der App.

5. Speicherort

Alle Daten liegen auf einem eigenen Server bei der Hetzner Online GmbH im Rechenzentrum Nürnberg; die täglichen Sicherungen liegen verschlüsselt im Hetzner Object Storage in Falkenstein. Alle Daten bleiben in Deutschland.

6. Kamera-Scan-Seite

Personen ohne Zugang zum Shopify-Admin können über einen Link oder QR-Code mit dem Handy mitzählen. Der Link enthält einen zufälligen Zugangsschlüssel, gilt 12 Stunden und kann vom Händler jederzeit widerrufen werden. Abgelaufene oder widerrufene Links werden nach 7 Tagen gelöscht.

7. Gespeicherte Berichte und Exporte

Beim Abschluss einer Zählung erzeugt die App die Inventurliste, die Differenzliste und auf Wunsch eine bewertete Liste als PDF und speichert sie mit einer Prüfsumme. Die Berichte enthalten je Position, wer gezählt hat und wann, Unterschriftszeilen für Zählende und Prüfer, wer die Zählung abgeschlossen hat, Bemerkungen und Differenzgründe, den Standort mit Adresse und den Shop-Namen. Sie dienen dem Händler als Beleg seiner Inventur und bleiben gespeichert, solange die App installiert ist.

CSV-Exporte (Inventurliste, Protokoll) werden auf Abruf erzeugt und nicht gespeichert.

8. Nutzungsstatistik

Um die App ohne Drittanbieter weiterzuentwickeln, zählen wir je Shop wenige Schritte: Installation, erste Zählung, Buchung, Deinstallation.

Nach der Löschung der Shop-Daten (Abschnitt 10) bleibt je Shop eine Zeile, in der die Shop-Domain durch einen Hashwert (HMAC-SHA256 mit geheimem Schlüssel) ersetzt ist; Zeitangaben sind auf den Tag gerundet. Das ist eine Pseudonymisierung, keine Anonymisierung. Diese Zeilen werden 24 Monate nach der Deinstallation gelöscht.

9. Server-Logs

Die Server-Logs enthalten Sitzungs-Kennungen, die Shop-Domain, Schritte der Nutzungsstatistik und Fehlermeldungen von Shopify, nie Namen der Zählenden oder Freitexte. Adressen werden ohne Parameter geschrieben, Zugangsschlüssel in Pfaden maskiert. Der Proxy auf unserem Server schreibt kein Zugriffsprotokoll. Die Logs rotieren nach Größe (3 × 10 MB je Container) und werden dabei überschrieben; je nach Aufkommen sind das wenige Tage bis Wochen.

10. Speicherdauer und Löschung

Solange die App installiert ist, löscht sie nichts automatisch. Händler haben eigene Aufbewahrungspflichten für Inventurunterlagen.

Nach einer Deinstallation meldet Shopify das der App. 48 Stunden später löscht die App alle Daten des Shops aus der Datenbank, einschließlich der gespeicherten Berichte. In den verschlüsselten Sicherungen bleiben die Daten danach noch bis zu 30 Tage, weil die Sicherungen gegen Veränderung und vorzeitiges Löschen gesperrt sind; danach sind sie auch dort gelöscht. Laden Sie die PDF-Berichte vor der Deinstallation herunter, wenn Sie sie für Ihre Unterlagen brauchen.

Einträge, die ein Gerät ohne Netz erfasst, liegen bis zur Übertragung nur auf diesem Gerät.

11. Sicherungen

Datenbank und gespeicherte Berichte werden täglich gesichert, vor dem Hochladen mit einem eigenen Schlüssel verschlüsselt und im Hetzner Object Storage in Falkenstein 30 Tage unveränderbar aufbewahrt.

12. Rechte der Zählenden

Zählende wenden sich mit Anfragen zu ihren Daten an den Händler, für den sie gezählt haben; er ist Verantwortlicher. Wir unterstützen den Händler auf seine Weisung: bei der Auskunft (der Händler kann das Protokoll je Person filtern) sowie bei der Berichtigung und Löschung von Namen (Pseudonymisierung aller Namensfelder; Mengen und Zeiten bleiben erhalten). Gespeicherte PDF-Berichte bleiben standardmäßig unverändert, weil der Händler sie aufbewahren muss (Art. 17 Abs. 3 lit. b DSGVO); auf ausdrückliche Weisung des Händlers löschen wir sie.

13. Unterauftragsverarbeiter

Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen – Server (Nürnberg) und Sicherungen (Falkenstein).
Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland – E-Mail (Google Workspace), nur soweit Händler uns im Support personenbezogene Daten per E-Mail schicken.

Einzelheiten stehen im Auftragsverarbeitungsvertrag.

14. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich die App oder die Rechtslage ändern. Es gilt die jeweils hier veröffentlichte Fassung.