Datenschutzerklärung
Stockaro – Shopify App
1. Verantwortlicher und Rollenmodell
Für diese App-Seiten verantwortlich:
Manuel Heithus
Im Mühlengarten 12a
33428 Harsewinkel
Deutschland
E-Mail: info@stockaro.de
Stockaro ist eine B2B-App für Shopify-Händler. Im WMS-Betrieb verarbeiten wir Bestelldaten und Lagerdaten im Auftrag des jeweiligen Händlers (Auftragsverarbeitung gem. Art. 28 DSGVO). Der Händler ist Verantwortlicher für die Daten seiner Kunden. Für Anfragen zu Endkundendaten wenden Sie sich an den jeweiligen Händler.
2. Welche Daten wir verarbeiten
- Shop-Daten: Shopify-Domain, App-Zugriffstoken (Übertragung via TLS, Speicherung in der verschlüsselten Hosting-Datenbank bei Railway/Postgres), Abo-Status
- Bestelldaten: Bestellnummer, Kundenname (Vor-/Nachname), Lieferadresse (Adresszeile 1+2, PLZ, Ort, Land, optional Firma), Bestellpositionen (SKU, Titel, Menge), Bestellstatus, optionale Bestell-Notiz
- Produktdaten: Produkt- und Variantentitel, SKUs, Variant-IDs
- Lagerdaten: Bestandsmengen, Buchungshistorie (Eingang/Ausgang), Zeitstempel
- App-Protokoll: Fehler- und Warnmeldungen (SKU und Referenz-ID, kein Personenbezug)
- Support- und Feedbackdaten: vom Händler eingegebene Antwort-E-Mail-Adresse, Meldungstyp, Betreff, Nachricht, Ticketnummer, technischer Kontext (Hub-Route, Browser/User-Agent, Sprache, Zeitstempel, App-Version) sowie optional ausgewählte Fehlerprotokoll-Auszüge
Zweck der Endkundendaten: Name für Pickliste/Pack-Workflow, Lieferadresse ausschließlich für den Lieferschein.
Nicht gespeichert aus Shopify-Endkundendaten: E-Mail-Adressen, Telefonnummern von Endkunden, Rechnungsadressen, Zahlungsdaten, Kreditkarteninformationen, Kamera-Bilder. Händler-E-Mail-Adressen können für Benachrichtigungen und Supportantworten verarbeitet werden.
3. Zweck der Verarbeitung und Rechtsgrundlagen
Alle Daten werden ausschließlich für die Lagerverwaltung (Bestandsführung, Auftragsabwicklung, Statistiken), den Betrieb der App sowie die Bearbeitung von Support- und Feedbackanfragen des jeweiligen Händlers genutzt. Es findet keine Nutzung für Werbezwecke, kein Profiling und keine händlerübergreifende Auswertung statt.
Endkundendaten verarbeiten wir ausschließlich im Auftrag des Händlers; die Rechtsgrundlage dafür verantwortet der Händler als Verantwortlicher (Art. 28 DSGVO).
Für die Verarbeitungen in eigener Verantwortung gilt:
- Shop-Daten, Zugriffstoken, Abo-Status — Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags mit dem Händler)
- Support- und Feedbackdaten — Art. 6 Abs. 1 lit. b DSGVO (Bearbeitung der Anfrage) und lit. f DSGVO (Verbesserung und sicherer Betrieb der App)
- App-Protokoll (Fehler- und Warnmeldungen) — Art. 6 Abs. 1 lit. f DSGVO (Betriebssicherheit und Fehleranalyse)
3a. Herkunft der Daten
Endkundendaten erhalten wir nicht von der betroffenen Person selbst, sondern aus den Bestelldaten des Händlers, die Shopify per Webhook an die App übermittelt (Art. 14 DSGVO). Verantwortlicher für diese Daten ist der jeweilige Händler; Betroffenenanfragen richten Sie bitte an ihn.
4. Datenspeicherung und Hosting
Daten werden in einer PostgreSQL-Datenbank bei Railway Corp. gespeichert. Das Hosting der Anwendungs- und Datenbankdaten erfolgt in der Region EU-West (Amsterdam, Niederlande) innerhalb der EU/des EWR; eine Drittlandübermittlung im Rahmen des Hostings ist nicht vorgesehen. Railway ist SOC 2 Type II zertifiziert. Transaktionale E-Mails und Support-Ticket-Benachrichtigungen werden über Resend, Inc. (USA) verarbeitet; die Übermittlung erfolgt auf Basis von EU-Standardvertragsklauseln (SCC) gemäß Resend DPA.
5. Datenlöschung und Speicherdauer
Die Löschung wird durch die GDPR-Webhooks von Shopify ausgelöst; den Zeitpunkt der Auslösung bestimmt Shopify, die Löschung selbst erfolgt bei uns unverzüglich nach Eingang des jeweiligen Webhooks.
- Deinstallation der App: sofortige Deaktivierung und Token-Revokation. Die vollständige Löschung aller Shop-Daten erfolgt unverzüglich nach Eingang des Webhooks
shop/redact, den Shopify typischerweise rund 48 Stunden nach der Deinstallation sendet. - Löschung einzelner Endkundendaten: unverzüglich nach Eingang des Webhooks
customers/redact. Name und Rohdatensatz der betroffenen Bestellungen werden dabei entfernt. - Support- und Feedbackdaten: werden für die Bearbeitung und Nachvollziehbarkeit der Anfrage vorgehalten und spätestens mit der Löschung des Shops entfernt; eine gesonderte Frist besteht nicht.
- Datenbank-Backups werden im regulären Zyklus des Hosting-Dienstleisters überschrieben; die längste Aufbewahrung beträgt einen Monat. Erst danach sind gelöschte Daten auch dort nicht mehr vorhanden.
Datenexport (CSV) auf Anfrage möglich.
Anfragen: info@stockaro.de
6. Ihre Rechte (DSGVO)
- Auskunft über gespeicherte Daten (Art. 15)
- Berichtigung unrichtiger Daten (Art. 16)
- Löschung (Art. 17) — durch Deinstallation oder schriftliche Anfrage
- Einschränkung der Verarbeitung (Art. 18)
- Datenübertragbarkeit (Art. 20) — CSV-Export verfügbar
Kontakt: info@stockaro.de
Widerspruchsrecht: Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch gegen die Verarbeitung Sie betreffender personenbezogener Daten einzulegen, die wir auf Art. 6 Abs. 1 lit. f DSGVO stützen (Support- und Feedbackdaten, App-Protokoll). Wir verarbeiten diese Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen (Art. 21 Abs. 1 DSGVO).
Es besteht ein Beschwerderecht bei der zuständigen Datenschutz-Aufsichtsbehörde; für uns ist das die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW).
Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO findet nicht statt. Ein Datenschutzbeauftragter ist nicht bestellt, da die Voraussetzungen des Art. 37 DSGVO nicht vorliegen.
7. Cookies
Die App setzt einen technisch notwendigen Session-Cookie (lagerwms_session) für die Authentifizierung. Es werden keine Tracking-, Analytics- oder Marketing-Cookies eingesetzt.
8. Auftragsverarbeitungsvertrag (AVV)
Mit jedem Händler besteht ein AVV gemäß Art. 28 DSGVO: Auftragsverarbeitungsvertrag ansehen. Anlagen: Technische und organisatorische Maßnahmen · Unterauftragsverarbeiter
Letzte Aktualisierung: 2026-08-12