Billinski · Rechtliches

Datenschutzerklärung für billinski.de und app.billinski.de

Entwurf, vor Veröffentlichung anwaltlich prüfen lassen. Stand: 2026-10-14.

Diese Erklärung gilt für die Website billinski.de (Produktseite) und die Anwendung app.billinski.de (die Billinski Shopify-App, nachfolgend „App“). Eckige Klammern […] sind vom Betreiber auszufüllen. Technische Grundlagen: README.md, concept/DOMAIN.md §7 und §8, docs/Verfahrensdokumentation.md, infra/terraform/README.md, infra/deploy/.

1. Verantwortlicher

[Name/Firma des Betreibers] [Straße, Hausnummer] [PLZ, Ort], Deutschland E-Mail: [[email protected]] Vertretungsberechtigt: [Name]

Ein Datenschutzbeauftragter ist [nicht benannt, da die gesetzlichen Voraussetzungen nicht vorliegen / benannt: Name, Kontakt]. [Prüfen: § 38 BDSG.]

2. Zwei Rollen: Verantwortlicher und Auftragsverarbeiter

2.1 Für die Website, für Ihre Daten als Händler (Vertrag, Konto, Support) und für die Betriebsdaten der App sind wir Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO. Dafür gilt diese Erklärung unmittelbar.

2.2 Wenn ein Händler die App installiert, verarbeiten wir die Bestell- und Kundendaten seines Shops in seinem Auftrag (Art. 28 DSGVO), um Rechnungen und Gutschriften zu erzeugen, zu archivieren und zu versenden. Verantwortlicher für diese Daten ist der Händler; Grundlage ist der Auftragsverarbeitungsvertrag (AVV.md). Abschnitt 6 beschreibt diese Verarbeitung, damit Händler ihre eigene Datenschutzerklärung darauf stützen können, und Abschnitt 13 erklärt, an wen sich Endkunden wenden.

3. Website billinski.de

3.1 Hosting und Auslieferung: Die Website ist eine statische Seite und wird über das Netz von Cloudflare ausgeliefert [Festlegen: Cloudflare Pages oder Auslieferung vom eigenen Server über den Cloudflare-Tunnel]. Cloudflare (Cloudflare, Inc., San Francisco, USA, mit Cloudflare Germany GmbH, München) betreibt DNS, TLS-Verschlüsselung und Proxy. Beim Aufruf verarbeitet Cloudflare technisch notwendig Ihre IP-Adresse und Verbindungsdaten. Rechtsgrundlage ist unser berechtigtes Interesse an einer sicheren, schnellen Auslieferung (Art. 6 Abs. 1 lit. f DSGVO). Für Übermittlungen in die USA gelten die EU-Standardvertragsklauseln und die Zertifizierung von Cloudflare unter dem EU-US Data Privacy Framework [prüfen].

3.2 Cookies: Die Website setzt keine Cookies und keine vergleichbaren Speichertechniken, für die eine Einwilligung nach § 25 TDDDG erforderlich wäre. Ein Cookie-Banner gibt es deshalb nicht.

3.3 Reichweitenmessung mit Umami: Wir messen Seitenaufrufe mit Umami, einer Open-Source-Software, die wir auf einem eigenen Server unter stats.storycockpit.com betreiben. Umami setzt keine Cookies, speichert keine IP-Adressen und bildet keine Profile; es zählt Aufrufe je Seite, Verweisquelle, Browser- und Gerätetyp und Land. Suchparameter und URL-Fragmente werden nicht erfasst. Die Daten sind anonym; eine Zuordnung zu einer Person ist nicht möglich. Rechtsgrundlage, soweit überhaupt personenbezogene Daten kurzzeitig verarbeitet werden, ist Art. 6 Abs. 1 lit. f DSGVO (Interesse an der Auswertung der Nutzung ohne Tracking). [Prüfen: Umami-Version und Konfiguration (Hashing mit täglichem Salt) bestätigen.]

3.4 Kontakt: Wenn Sie uns per E-Mail schreiben, verarbeiten wir Ihre Angaben zur Beantwortung der Anfrage (Art. 6 Abs. 1 lit. b oder f DSGVO). Unser E-Mail-Postfach wird bei [Anbieter, Ort] betrieben. [Festlegen.]

3.5 Die Website hat kein Kundenkonto und kein Login. Alles, was den Shop betrifft, bedient der Händler in seinem Shopify-Admin.

4. App app.billinski.de: Zugang und Konto des Händlers

4.1 Installation über Shopify: Die App wird im Shopify App Store installiert. Dabei übermittelt Shopify uns die Shop-Domain (<shop>.myshopify.com), einen Zugriffstoken für die freigegebenen Berechtigungen (read_orders, read_customers, write_orders, read_fulfillments, read_products, write_discounts, read_returns), die freigegebenen Scopes und die Shop-Stammdaten (Firmenname, Adresse, Kontakt-E-Mail, Währung, Steuereinstellungen). Zweck ist die Vertragsdurchführung (Art. 6 Abs. 1 lit. b DSGVO). Der Zugriffstoken wird bei Deinstallation entfernt.

4.2 Konto und Anmeldung: Die App verwendet ein technisch notwendiges Sitzungs-Cookie (inv_session, signiertes Token, Laufzeit 12 Stunden, nur über HTTPS), um Sie nach der Anmeldung zu erkennen. Es enthält Ihre Login-E-Mail-Adresse und den Mandanten. Eine Einwilligung ist nicht erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). [Zielbild: eingebettete App mit Shopify-Session-Tokens statt eigenem Login; Text dann anpassen.]

4.3 Einstellungen: Firmendaten, Steuernummer/USt-IdNr., Bankverbindung, Absenderadresse, E-Mail-Texte, DATEV-Konten und weitere Einstellungen, die Sie eingeben, speichern wir für die Vertragsdurchführung. Änderungen werden mit Zeitpunkt und handelnder Person im Audit-Log protokolliert (Nachvollziehbarkeit nach GoBD, Art. 6 Abs. 1 lit. b und c DSGVO).

4.4 Mailversand-Einstellungen: Für die Domain-Freigabe legen wir Ihre Absenderdomain beim E-Mail-Dienstleister (Abschnitt 7) an und speichern die anzuzeigenden DNS-Einträge und den Prüfstatus. Hinterlegen Sie einen eigenen SMTP-Zugang, speichern wir Host, Port, Benutzername und das Passwort verschlüsselt (AES-256-GCM mit einem serverseitigen Schlüssel).

4.5 Abrechnung: Die Abrechnung erfolgt über Shopify. Wir erhalten von Shopify den Status Ihres Abonnements (Plan, Testphase, aktiv/beendet) und übermitteln an Shopify die Zahl der ausgestellten Belege für nutzungsabhängige Entgelte. Zahlungsdaten erhalten wir nicht.

4.6 Support: Support-Anfragen per E-Mail verarbeiten wir zur Bearbeitung der Anfrage und zur Dokumentation (Art. 6 Abs. 1 lit. b DSGVO). Zur Fehleranalyse können unsere Mitarbeiter in Ihrem Mandanten Belege, Bestellungen und Protokolle einsehen (Betreiber-Admin); jeder Zugriff unterliegt der Vertraulichkeit nach dem AVV.

5. Betriebsdaten der App: Logs und Sicherheit

5.1 Server-Logs: Die App schreibt strukturierte Protokolle (Zeitpunkt, Protokollstufe, Ereignis, technische Kennungen wie Bestell- oder Beleg-IDs, Fehlermeldungen). Die Protokolle werden vom Container-Laufzeitsystem rotiert (maximal drei Dateien à 10 MB je Dienst) und damit kurzfristig überschrieben. IP-Adressen werden für die Begrenzung von Anfragen (Rate-Limiting beim Login und an öffentlichen Endpunkten) nur im Arbeitsspeicher und nur kurz verarbeitet.

5.2 Netzzugang: app.billinski.de ist nur über einen Cloudflare-Tunnel erreichbar. Cloudflare terminiert TLS und verarbeitet dabei IP-Adressen und Verbindungsdaten (Abschnitt 3.1). Datenbank, Warteschlange und Objektspeicher sind nicht aus dem Internet erreichbar.

5.3 Hosting: Die App läuft auf einem virtuellen Server der netcup GmbH, Karlsruhe, in einem Rechenzentrum in Deutschland [Rechenzentrumsstandort bestätigen]. Dort liegen Datenbank (PostgreSQL), Warteschlange (Redis), Objektspeicher für Belege (S3-kompatibel mit Object Lock) und die Rendering-Dienste.

5.4 Webhook-Signaturen: Ereignisse von Shopify und Zustellmeldungen des E-Mail-Dienstleisters werden nur verarbeitet, wenn ihre Signatur stimmt; jede Nachricht wird mit ihrer Kennung gespeichert, damit Wiederholungen erkannt werden.

Rechtsgrundlage für Abschnitt 5 ist Art. 6 Abs. 1 lit. f DSGVO (Betriebssicherheit, Nachvollziehbarkeit, Abwehr von Missbrauch) und, soweit es um die Vertragserfüllung geht, lit. b.

6. Verarbeitung im Auftrag des Händlers: Bestell-, Kunden- und Belegdaten

6.1 Herkunft: Shopify übermittelt uns per Webhook Bestellungen, Änderungen, Zahlungen, Stornierungen, Versandmeldungen, Versandereignisse, Erstattungen, Retouren und Kundenanlagen/-änderungen des angebundenen Shops (orders/*, fulfillments/*, fulfillment_events/create, refunds/create, returns/*, customers/*). Ergänzend ruft die App Daten über die Shopify Admin API ab und schreibt die Belegnummer als Metafeld an die Bestellung.

6.2 Datenkategorien: Kundenstammdaten (Name, Firma, Rechnungs- und Lieferadresse, E-Mail, Telefon, USt-IdNr., Kunden-Tags und Notizen, Shopify-Kunden-ID), Bestelldaten (Positionen, Mengen, Preise, Rabatte, Steuern, Versandkosten, Zahlungsstatus, Fulfillment- und Sendungsdaten, Retourenstatus), Belegdaten (Rechnungs-/Gutschriftnummer, Beträge, Zahlungsziel, PDF/A-3 und XML, Bestell-Snapshot, Hashes), Versanddaten (Empfängeradresse, tatsächlich verwendeter Absender, Zustellereignisse), bei aktiviertem Gutschein-Add-on zusätzlich Vorname, E-Mail, Sprache, Gutscheincode, Versand- und Abmeldestatus.

6.3 Zwecke: Erzeugung und Versand von Rechnungen und Gutschriften, Archivierung nach GoBD, Exporte an den Steuerberater (DATEV, GoBD-Datenträger), Prüfung der USt-IdNr. (Abschnitt 8), Nachweis gegenüber Finanzbehörden, bei Aktivierung Gutschein-Mails.

6.4 Rechtsgrundlage: Die Verarbeitung erfolgt auf Weisung des Händlers (Art. 28 DSGVO). Der Händler stützt sie typischerweise auf Art. 6 Abs. 1 lit. b DSGVO (Vertrag mit seinem Kunden) und lit. c DSGVO (§ 14 UStG, § 147 AO, § 14b UStG). Für Gutschein-Mails ist der Händler für die Rechtsgrundlage verantwortlich (§ 7 UWG).

6.5 Speicherort: Datenbank und Belegarchiv liegen auf dem Server nach Abschnitt 5.3 in Deutschland. Der Mailversand läuft über den Dienstleister in Abschnitt 7.

6.6 Unveränderbarkeit: Ausgestellte Belege werden nicht geändert und nicht vor Ablauf der Aufbewahrungsfrist gelöscht. Der Objektspeicher trägt eine Aufbewahrungssperre (Object Lock COMPLIANCE, [2922 Tage = 8 Jahre]), die auch wir nicht aufheben können.

6.7 Datenschutzanfragen über Shopify: Shopify leitet uns Anfragen des Händlers weiter: Auskunft (customers/data_request), Löschung eines Kunden (customers/redact) und Löschung des Shops 48 Stunden nach Deinstallation (shop/redact). Bei einer Löschanfrage pseudonymisieren wir Kundenstammdaten, Bestellkopien, gespeicherte Webhook-Daten und Gutschein-Vorgänge (Namen, Adressen, E-Mail, Telefon, Notizen werden durch „gelöscht“ ersetzt, das Land bleibt für Steuerzwecke). Die ausgestellten Belege bleiben als Buchungsbelege unverändert (Art. 17 Abs. 3 lit. b DSGVO i. V. m. § 147 AO, § 14b UStG). Jeder Vorgang wird mit Umfang und Zahl der aufbewahrten Belege im Audit-Log festgehalten; Auskunftsanfragen beantworten wir an den Händler innerhalb von 30 Tagen.

7. E-Mail-Versand

7.1 Dienstleister: Rechnungs-, Gutschrift- und Gutschein-E-Mails versenden wir im Namen des Händlers über Resend (Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA). Die Absenderdomains sind in der Resend-Region eu-west-1 (EU) angelegt; der Versand erfolgt aus dieser Region. Resend ist ein US-Unternehmen; nach seinem Data Processing Addendum finden die primären Verarbeitungsvorgänge in den USA statt. Grundlage für die Übermittlung sind die EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914) und die Zertifizierung von Resend unter dem EU-US Data Privacy Framework. Resend löscht Kundendaten nach eigener Angabe innerhalb von 90 Tagen nach Kontoende. [Prüfen: AVV mit Resend abgeschlossen (im Resend-Dashboard), Unterauftragsverarbeiter von Resend geprüft, Speicherdauer von E-Mail-Inhalten bei Resend.]

7.2 Übermittelte Daten: Empfängeradresse, Absender, Betreff, E-Mail-Text (mit Namen und Bestellnummer), das Beleg-PDF als Anhang und ein Link zum Beleg. Rückmeldungen von Resend (gesendet, zugestellt, verzögert, abgewiesen, Beschwerde, fehlgeschlagen) speichern wir am Beleg.

7.3 Absender: Bis der Händler seine Domain freigegeben hat, gehen E-Mails von der Plattformadresse [[email protected]] mit dem Namen des Händlers und seiner Adresse als Antwortadresse. Danach vom Absender des Händlers. Eine Kopie geht an die BCC-Adresse des Händlers, falls eingestellt.

7.4 Eigener SMTP des Händlers: Hat der Händler einen eigenen Mailserver hinterlegt, gehen die E-Mails über diesen; Resend ist dann nicht beteiligt.

7.5 Beleg-Link: Der Link in der E-Mail führt auf eine Seite der App, die den Beleg anzeigt; der Link ist signiert und nur mit dem vollständigen Link abrufbar. Beim Aufruf fallen die Daten nach Abschnitt 5 an.

8. Prüfung von Umsatzsteuer-Identifikationsnummern (VIES)

Für Geschäftskunden mit USt-IdNr. fragt die App das VIES-System der Europäischen Kommission ab (ec.europa.eu/taxation_customs/vies). Übermittelt wird die USt-IdNr. des Kunden; gespeichert werden Ergebnis, zurückgemeldeter Name und Adresse, Anfrage-Kennung und Zeitpunkt als Nachweis für die steuerfreie innergemeinschaftliche Lieferung (§ 6a UStG, § 18e UStG). Rechtsgrundlage ist die Weisung des Händlers; der Händler stützt sich auf Art. 6 Abs. 1 lit. c DSGVO.

9. Gutschein-Mails (Add-on) und Abmeldeseite

9.1 Hat der Händler das Add-on aktiviert, erzeugt die App nach der bestätigten Zustellung einer bestimmten Bestellung einen einmaligen Rabattcode in Shopify und sendet dem Kunden eine Gutschein-E-Mail sowie bis zu zwei Erinnerungen, solange der Code ungenutzt ist. Verarbeitet werden Vorname, E-Mail, Sprache, Bestell- und Zustellstatus, Code und Einlösestatus. Der Versand erfolgt nur innerhalb eines täglichen Versandfensters.

9.2 Abmeldung: Jede Erinnerung enthält einen Abmeldelink und einen List-Unsubscribe-Header (RFC 8058). Die Abmeldeseite unter app.billinski.de/api/public/vouchers/unsubscribe/… setzt keine Cookies, ist von Suchmaschinen ausgeschlossen und speichert nur den Abmeldestatus des Vorgangs. Der Gutschein bleibt gültig.

9.3 Verantwortlich für die Zulässigkeit der Werbung ist der Händler (§ 7 UWG); wir setzen seine Weisung technisch um.

10. Reichweitenmessung in der App

Auch in der App setzen wir Umami ein (Abschnitt 3.3): cookielos, ohne IP-Speicherung, ohne personenbezogene Daten, Suchparameter und Fragmente ausgeschlossen, gehostet auf unserem eigenen Server. Gezählt werden Aufrufe von Seiten der App, nicht Inhalte von Belegen oder Bestellungen. Ist keine Website-ID konfiguriert, wird kein Skript geladen.

11. Empfänger, Auftragsverarbeiter, Drittlandübermittlung

11.1 Auftragsverarbeiter, die wir einsetzen (Einzelheiten und Adressen in Anlage 1 des AVV):

11.2 Shopify (Shopify International Limited, Dublin, Irland) ist die Plattform des Händlers und dessen eigener Auftragsverarbeiter nach dem Vertrag zwischen Händler und Shopify. Zwischen Shopify und uns fließen die in Abschnitt 4.1 und 6.1 genannten Daten.

11.3 Die Europäische Kommission (VIES) erhält die USt-IdNr. nach Abschnitt 8.

11.4 Weitere Empfänger: Steuerberater des Händlers, wenn der Händler Exporte an ihn übergibt; Behörden, wenn wir gesetzlich dazu verpflichtet sind.

11.5 Außer den Übermittlungen an Cloudflare und Resend nach Abschnitt 11.1 findet keine Übermittlung in Drittländer statt. Für diese beiden Dienstleister bestehen Verträge mit den EU-Standardvertragsklauseln; beide sind nach dem EU-US Data Privacy Framework zertifiziert [bei jeder Aktualisierung prüfen: dataprivacyframework.gov].

12. Speicherdauer

13. Ihre Rechte

13.1 Sie haben gegenüber dem Verantwortlichen die Rechte auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Sie haben das Recht auf Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO), zum Beispiel bei der für unseren Sitz zuständigen Behörde [Landesbeauftragte/r für Datenschutz, Bundesland].

13.2 Endkunden von Händlern: Wenn Sie bei einem Shop bestellt haben, der Billinski nutzt, ist dieser Shop Verantwortlicher für Ihre Daten. Richten Sie Ihre Anfrage an den Shop; wir unterstützen ihn bei der Beantwortung und leiten Anfragen, die uns direkt erreichen, an ihn weiter. Das Recht auf Löschung ist für ausgestellte Belege durch die gesetzliche Aufbewahrungspflicht eingeschränkt (Art. 17 Abs. 3 lit. b DSGVO).

13.3 Händler: Auskunfts- und Löschersuchen Ihrer Kunden stellen Sie über Shopify (Kundenprofil → Datenschutzanfrage) oder in der App [geplant: Liste offener Anfragen]; wir beantworten sie nach Abschnitt 6.7.

14. Sicherheit

Verschlüsselte Übertragung (TLS) auf allen öffentlichen Wegen, verschlüsselter Tunnel zum Server, keine öffentlich erreichbaren Datenbank- oder Speicherports, signierte Webhooks, verschlüsselt gespeicherte Passwörter, unveränderbares Archiv mit Aufbewahrungssperre, hash-verkettetes Audit-Log, Mandantentrennung in jeder Datenbankzeile und im Speicherpfad, tägliche Sicherungen. Die technisch-organisatorischen Maßnahmen sind in Anlage 2 des AVV beschrieben.

15. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich die App, die Dienstleister oder die Rechtslage ändern. Die aktuelle Fassung steht unter [https://billinski.de/datenschutz]; Händler informieren wir über wesentliche Änderungen in der App.

16. Kontakt

Fragen zum Datenschutz: [[email protected]], postalisch an die Adresse in Abschnitt 1.