Datenschutzerklärung Returns Engine (Shopify-App)

1. Anbieter und Geltungsbereich

Aaron Franke – Werkstoff Digital
Ramsenerstr. 35A
78239 Rielasingen-Worblingen
Deutschland
E-Mail: info@werkstoff-digital.de

(Angaben aus dem Impressum unter https://werkstoff-digital.de/impressum/.)

Diese Datenschutzerklärung richtet sich an Händler, die Returns Engine in ihrem Shopify-Shop nutzen, und deren Mitarbeitende sowie an Kunden dieser Händler (Endkunden), deren Daten bei einer Retoure verarbeitet werden.

Rollen bei der Verarbeitung

• Verarbeitung im Auftrag des Händlers: Bei der Abwicklung von Retouren verarbeitet Werkstoff Digital personenbezogene Daten der Endkunden als Auftragsverarbeiter im Auftrag des jeweiligen Händlers (Art. 28 DSGVO). Das betrifft Retourenanfragen, Rücksendung, Tracking, Rückerstattung, Gutschrift, Umtausch, das Kundenportal, die E-Mails an Endkunden und Webhooks an Systeme des Händlers. Verantwortlicher für diese Verarbeitung ist der Händler; für Fragen dazu ist in erster Linie der Händler Ansprechpartner.
• Verarbeitung in eigener Verantwortung: Für den Betrieb von Returns Engine als Software-as-a-Service ist Werkstoff Digital selbst Verantwortlicher. Das betrifft die Verwaltung der Händlerkonten, die Abrechnung des Abonnements und der Nutzung, die Sicherheit der App, den Schutz vor Missbrauch (auch im Kundenportal), technische Protokolle und deren Auswertung zur Fehleranalyse sowie die öffentliche Demo.

Werkstoff Digital und der Händler sind nicht gemeinsam Verantwortliche im Sinne von Art. 26 DSGVO.

Datenschutzkontakt: Anfragen zum Datenschutz richten Sie bitte an info@werkstoff-digital.de.

Ein Datenschutzbeauftragter ist derzeit nicht bestellt, da nach derzeitigem Stand keine gesetzliche Pflicht zur Benennung besteht.

2. Zweck der App

Returns Engine ist eine App für Shopify-Händler. Sie unterstützt Händler dabei, Retouren abzuwickeln: Retourenanfragen über ein Kundenportal (für Kunden mit Kundenkonto und für Gastbestellungen), Prüfung und Freigabe durch den Händler, Rücksendeetiketten und Tracking, Rückerstattungen (Refunds), Gutschriften (Store Credit) und Umtausch (Exchanges). Rückerstattungen und Gutschriften bucht die App als Erstattung über Shopify. Händler können außerdem ausgehende Webhooks an eigene Systeme einrichten.

Automatische Bearbeitung nach Händlerregeln

Vom Händler konfigurierte Regeln können Retourenanfragen anhand vorgegebener Kriterien automatisch freigeben oder ablehnen und die angebotenen Lösungen (Rückerstattung, Gutschrift, Umtausch) einschränken. Mögliche Kriterien sind Retourengrund, Bestell- und Retourenwert, Tage seit der Bestellung, Lieferland und die Anzahl bisheriger Retouren. Es handelt sich um feste Wenn-dann-Regeln, deren Kriterien der Händler festlegt; Returns Engine setzt dafür keine KI-gestützte Bewertung und kein Scoring ein. Die automatische Freigabe ist nur aktiv, wenn der Händler sie einschaltet.

Eine Regel kann dabei auch statistische Retourenmerkmale wie die Anzahl bisheriger Retouren im jeweiligen Shop berücksichtigen. Damit wird früheres Verhalten des Kunden bewertet; das ist Profiling im Sinne von Art. 4 Nr. 4 DSGVO. Eine ausschließlich automatisierte Entscheidung im Sinne von Art. 22 DSGVO liegt nicht vor, da die Regeln im vorgesehenen Einsatz keine rechtliche Wirkung und keine ähnlich erhebliche Beeinträchtigung entfalten; eine Klärung über den Support des Händlers bleibt möglich.

Der Händler legt die Retourenregeln fest und ist für die Verwendung der Retourenhistorie im Rahmen seiner Regeln verantwortlich. Soweit erforderlich, berücksichtigt er die Verwendung solcher Kriterien in seiner eigenen Datenschutzerklärung.

3. Verarbeitete Daten

3.1 Für die Dauer der Nutzung gespeichert (bis zur Löschung des Shops, siehe Abschnitt 6)

• Shop- und Händlerdaten: Shop-Domain, Shopify-Shop-ID, Anzeigename, Einstellungen, Branding, vom Händler hinterlegte Support-E-Mail, Rücksendeadresse des Händlers (inkl. optionaler E-Mail und Telefonnummer), Empfängeranschrift des Händlers für Rücksendungen beim Versanddienstleister sowie dessen Zugangsdaten (verschlüsselt).
• Zugangsdaten zu Shopify: die von Shopify ausgegebene Admin-Sitzung des Shops (Zugriffstoken).
• Bestell- und Kundenreferenzen: Shopify-IDs von Bestellungen und Kunden, Bestelldatum, Versandland.
• Retourendaten: Retourenpositionen (Artikel bzw. Variante und Menge), Retourengründe (als Codes), gewünschte Lösung, Status und Zeitpunkte, Gebühren.
• Freitexte: interne Notizen des Händlers sowie Ablehnungstexte an den Kunden. Diese können personenbezogene Angaben enthalten, wenn Händler sie dort eintragen.
• Abwicklungsdaten: Beträge und Status von Rückerstattungen, Gutschriften (inkl. Shopify-Kunden-ID) und Umtauschartikeln sowie die Shopify-Referenz der jeweiligen Erstattung.
• Versand- und Trackingdaten: Sendungsnummer, Tracking-Link, Versandstatus.
• Abrechnungsdaten: Stand des Shopify-Abonnements des Händlers (Zeitpunkt der letzten Bestätigung, Abrechnungszeitraum, Tarif) und nutzungsabhängige Abrechnungsereignisse (verbuchte Retouren, Beträge).
• Verlaufsprotokolle (fachliche Audit-Events): Verlauf der einzelnen Retoure und eines Widerrufs, Abrechnungs- und Abgleichsereignisse von Erstattungen sowie die Bearbeitung von Datenschutzanfragen. Ein Kundenbezug wird darin nur pseudonymisiert gespeichert (HMAC-SHA256-Wert statt Kunden-ID).
• Statistische Retourenmerkmale: statistische Retourenmerkmale, wie die Anzahl der bisherigen Retouren eines Kunden im jeweiligen Shop, soweit diese zur Anwendung der vom Händler definierten Retourenregeln verwendet werden. Die Anzahl wird bei der Prüfung einer Retourenanfrage aus den gespeicherten Retouren des Shops ermittelt.
• Webhook-Konfiguration: vom Händler konfigurierte Webhook-Ziel-URLs (Secret verschlüsselt).

3.2 Zeitweise gespeichert

Die genannten Zeiten sind die Gültigkeit bzw. Aufbewahrungsfrist. Mit Ablauf sind die Daten nicht mehr nutzbar; physisch gelöscht werden sie beim nächsten täglichen Bereinigungslauf.

• Technische Protokolle: Zusammenfassungen der täglichen Hintergrundjobs, Fehler beim Versand von Anmeldelinks und beim Aufzeichnen von Webhook-Ereignissen, Ergebnisse der Retourenanlage in Shopify sowie Verbindungsereignisse des Versanddienstleisters: 30 Tage.
• Webhook-Ereignisse und Zustellversuche: Die Ereignisinhalte enthalten nur IDs (Retoure, Bestellung, Lösungsart), keine Namen oder E-Mail-Adressen. Abgeschlossene Zustellversuche (zugestellt, endgültig fehlgeschlagen oder übersprungen): 30 Tage. Ein Ereignis wird nach 30 Tagen gelöscht, sobald kein Zustellversuch mehr dazu gespeichert ist; noch laufende Zustellversuche bleiben bis zu ihrem Abschluss erhalten.
• Rücksendeetiketten (PDF) und QR-Codes: nur wenn ein echter Versanddienstleister angebunden ist. Ein Etikett enthält Name und Anschrift des Absenders (des Kunden). Löschung nach 90 Tagen. In der aktuellen Production-Konfiguration ist kein echter Versanddienstleister aktiv; es werden dort keine Etiketten-PDFs erzeugt.
• Download-Links für Etiketten per E-Mail: Gültigkeit 30 Tage.
• Anmelde- und Sitzungsdaten im Kundenportal:
  • Anmeldeschritt über Shopify-Kundenkonten: 10 Minuten.
  • Sitzung nach Anmeldung über das Shopify-Kundenkonto: bis zum Ablauf des von Shopify ausgegebenen Tokens. Das dafür von Shopify ausgegebene Zugriffstoken für das Kundenkonto wird verschlüsselt gespeichert.
  • Magic-Link-Token für Gastbestellungen: 20 Minuten (gespeichert wird nur ein Hash des Tokens).
  • Gast-Sitzung: 45 Minuten. Sitzung nach Bestellsuche: 45 Minuten.
  • Entwurf einer Retourenanfrage: 1 Stunde.
• Daten zum Schutz vor Missbrauch (Rate Limiting): bei der Bestellsuche und Anforderung von Anmeldelinks, bei Retourenanfragen und bei der Erstellung der öffentlichen Demo werden gehashte Werte gespeichert (zu Bestellnummer, E-Mail-Adresse, Bestellung bzw. Kundenkonto und IP-Adresse). Löschung nach 24 Stunden.
• Auskunftsexporte (Shopify-Anfrage customers/data_request): 7 Tage.
• Demo-Umgebung: Demo-Shops werden nach 4 Stunden gelöscht; die Demo enthält keine echten Kundendaten.

3.3 Nur bei Bedarf von Shopify geladen, nicht gespeichert

Name, E-Mail-Adresse und Lieferadresse des Kunden, Bestellnummer, Bestellpositionen und Preise werden zur Laufzeit über die Shopify-Schnittstellen abgefragt, angezeigt bzw. für einen konkreten Vorgang verwendet (z. B. E-Mail-Versand, Etikettenerstellung) und nicht in der Datenbank der App abgelegt.

3.4 Gehasht bzw. pseudonymisiert

• Kundenbezug in Protokollen: HMAC-SHA256.
• Rate-Limit-Schlüssel (Bestellnummer, E-Mail, Bestellung bzw. Kundenkonto): SHA-256.
• IP-Adresse beim Rate Limiting: SHA-256 der IP-Adresse ohne zusätzlichen Schlüssel. Das ist eine Pseudonymisierung, keine Anonymisierung.
• Magic-Link-Token: nur der Hash wird gespeichert.

4. E-Mails

Die App versendet transaktionale E-Mails an Kunden des Händlers: Anmeldelink für Gastbestellungen (Magic Link), Rücksendeetikett bzw. Rücksendeinformationen und, wenn der Händler den gesetzlichen Widerruf aktiviert hat, eine Eingangsbestätigung. Dafür werden E-Mail-Adresse, Shopname und die jeweiligen Links an den E-Mail-Dienst übermittelt. Je nach E-Mail-Typ können außerdem der Vorname des Kunden sowie Bestell-, Retouren-, Versand-, Kontakt- oder Rücksendeinformationen des Händlers Bestandteil der Nachricht sein.

Für den Versand wird Brevo eingesetzt. Öffnungs- und Klickereignisse können dabei aggregiert erfasst werden. Für transaktionale E-Mails ist anonymes Tracking aktiviert, sodass diese Ereignisse bei zukünftigen E-Mails nicht einem bestimmten Empfänger bzw. Kontakt zugeordnet werden. Links in den E-Mails werden über Weiterleitungsadressen von Brevo geführt.

Brevo bewahrt die Versandprotokolle transaktionaler E-Mails einen Monat auf; ältere Protokolle werden nach Ablauf dieser Frist automatisch gelöscht. Vorschauen der E-Mail-Inhalte werden für neue E-Mails nicht gespeichert.

5. Empfänger und eingesetzte Dienste

DHL ist in der aktuellen Production-Konfiguration nicht aktiv und wird erst relevant, wenn der Versanddienstleister aktiviert wird. Webhook-Ziele werden ausschließlich vom Händler eingerichtet.

Bis zum 23.10.2026 wurden transaktionale E-Mails über Resend (Resend, Inc., USA) versendet. Resend ist kein aktiver Dienstleister mehr; dort können Versanddaten aus dieser Zeit noch für eine begrenzte Zeit gespeichert sein.

Übermittlung in Drittländer

Eine Verarbeitung außerhalb des Europäischen Wirtschaftsraums (EWR) kann stattfinden, auch wenn die Dienste in Frankfurt betrieben werden, insbesondere durch Anbieter, Konzerngesellschaften oder Unterauftragnehmer in den USA. Übermittlungen in die USA stützen sich auf das EU-U.S. Data Privacy Framework, soweit der jeweilige Empfänger danach zertifiziert ist, und im Übrigen auf EU-Standardvertragsklauseln, soweit diese vertraglich vereinbart sind. Nach Angaben der Anbieter:

• Render: vorrangig EU-U.S. Data Privacy Framework, ersatzweise EU-Standardvertragsklauseln.
• Neon: Neon verweist auf das EU-U.S. Data Privacy Framework.
• Brevo: je nach Empfänger EU-Standardvertragsklauseln mit ergänzenden Maßnahmen, für die USA zusätzlich das EU-U.S. Data Privacy Framework. Brevo versendet die E-Mails im Auftrag; die Schutzmechanismen richten sich nach dem Auftragsverarbeitungsvertrag und den Übermittlungsregelungen von Brevo.
• Shopify: Die Verarbeitung durch Shopify richtet sich nach dem Vertrags- und Datenverarbeitungsrahmen von Shopify; eine Verarbeitung außerhalb des EWR ist möglich.

Mit Render, Neon und Brevo besteht jeweils ein Auftragsverarbeitungsvertrag: bei Render über die im Account bereitgestellte DPA, bei Neon über die in die Nutzungsbedingungen einbezogene DPA, bei Brevo durch Zustimmung zum Auftragsverarbeitungsvertrag bei der Registrierung.

6. Speicherdauer und Löschung

• Fristgebundene Daten werden täglich durch einen Bereinigungsjob gelöscht (Fristen siehe Abschnitt 3.2). Das gilt auch für technische Protokolle sowie Webhook-Ereignisse und -Zustellversuche, die nach 30 Tagen gelöscht werden.
• Versandprotokolle beim E-Mail-Dienst Brevo: 1 Monat (siehe Abschnitt 4).
• Retouren-, Abwicklungs- und Versanddaten, Verlaufsprotokolle und Webhook-Konfiguration (Abschnitt 3.1) werden gespeichert, solange der Händler die App nutzt, weil sie für die Abwicklung der Retouren und deren Nachweis gegenüber dem Händler benötigt werden. Sie werden gelöscht, wenn der Shop gelöscht wird (Abschnitt 7, shop/redact). Daten einzelner Endkunden werden auf deren Löschanfrage hin bereits vorher entfernt (Abschnitt 7, customers/redact).
• Abrechnungsdaten in der App werden ebenfalls mit dem Shop gelöscht.
• Eigene Rechnungs- und Buchhaltungsunterlagen von Werkstoff Digital werden außerhalb der App in einer lokalen digitalen Ablage gespeichert. Sie gehören nicht zur Datenbank der App, werden durch shop/redact nicht gelöscht und werden aufbewahrt, soweit Werkstoff Digital handels- und steuerrechtlichen Aufbewahrungspflichten unterliegt.
• Server-Protokolle des Hostings (Render): 7 Tage.
• Datensicherungen: Die Löschung betrifft die aktive Datenbank. Die im Datenbank-Account (Neon) sichtbare Wiederherstellungs- bzw. Historienfrist beträgt 6 Stunden. In Datensicherungen der Dienstleister können Daten darüber hinaus bis zum Ablauf der dort geltenden Fristen enthalten sein.

7. Datenschutz-Webhooks von Shopify

Die App verarbeitet die drei Datenschutz-Webhooks von Shopify:

• customers/data_request (Auskunft): Die App erstellt einen Export der zu diesem Kunden gespeicherten Daten (Retouren mit Positionen, Abwicklung, Versand, Bestellreferenzen, Portal-Sitzungen, Entwürfe) und bewahrt ihn 7 Tage auf.
• customers/redact (Löschung eines Kunden): Die App löscht Rücksendeetiketten und Etiketten-E-Mails der betroffenen Retouren, leert Freitexte und Ablehnungstexte, entfernt die Shopify-Kunden-ID aus Retouren, Gutschriften und Bestellreferenzen und löscht Portal-Sitzungen, Entwürfe, Gast-Anmeldedaten und Auskunftsexporte dieses Kunden.
• shop/redact (Löschung eines Shops): Shopify sendet diese Anfrage nach der Deinstallation der App. Die App löscht unmittelbar bei Eingang der Anfrage die Shopify-Sitzungen und den Shop mit allen daran hängenden Daten aus der aktiven Datenbank, darunter Retouren-, Abwicklungs-, Versand-, Protokoll-, Webhook- und Abrechnungsdaten sowie die Einstellungen.

8. Cookies und lokale Speicherung

Die App setzt im Kundenportal und in der Demo ausschließlich funktionale Cookies, jeweils HttpOnly, in Production nur über HTTPS (Secure), SameSite=Lax. Die Laufzeit des Cookies im Browser und die Gültigkeit der zugehörigen Sitzung auf dem Server sind getrennt: Ein Cookie kann länger im Browser liegen, als die Sitzung auf dem Server gültig ist.

In der eingebetteten Händleransicht verwendet Shopify eigene Sitzungsmechanismen.

Die App selbst setzt kein Analytics-, Tracking- oder Marketing-Tool und keine Pixel ein. Zur Erfassung von Öffnungen und Klicks transaktionaler E-Mails durch den E-Mail-Dienst siehe Abschnitt 4. Die Schriftart wird vom Shopify-CDN geladen.

9. Rechtsgrundlagen

Für Verarbeitungen in eigener Verantwortung von Werkstoff Digital (Abschnitt 1):

• Bereitstellung der App, Verwaltung der Händlerkonten, Abrechnung des Abonnements und der Nutzung: Art. 6 Abs. 1 lit. b DSGVO (Vertrag mit dem Händler).
• Sicherheit der App, Schutz vor Missbrauch (Rate Limiting, auch in Kundenportal und Demo) und technische Protokolle zur Fehleranalyse: Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt in einem sicheren, stabilen und vor Missbrauch geschützten Betrieb der App.
• Erfüllung gesetzlicher Aufbewahrungspflichten: Art. 6 Abs. 1 lit. c DSGVO.

Für die Verarbeitung im Auftrag des Händlers (Abschnitt 1) legt Werkstoff Digital keine eigene Rechtsgrundlage zugrunde. Die Rechtsgrundlage liegt beim Händler als Verantwortlichem; typischerweise ist dies die Abwicklung des Kaufvertrags mit dem Endkunden (Art. 6 Abs. 1 lit. b DSGVO).

10. Rechte der betroffenen Personen

Betroffene Personen haben nach der DSGVO unter den jeweiligen gesetzlichen Voraussetzungen folgende Rechte:

• Auskunft über die zu ihrer Person verarbeiteten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch gegen die Verarbeitung, insbesondere gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO, aus Gründen, die sich aus ihrer besonderen Situation ergeben (Art. 21 DSGVO),
• Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat ihres Aufenthaltsorts, ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für Werkstoff Digital zuständig ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg.

An wen Sie sich wenden:

• Retourendaten (Verarbeitung im Auftrag des Händlers): in erster Linie an den Händler, bei dem Sie bestellt haben, da dieser Verantwortlicher ist. Erreicht Werkstoff Digital eine solche Anfrage direkt, unterstützt Werkstoff Digital den Händler bei ihrer Beantwortung.
• Händlerkonto, Abrechnung, Sicherheits- und Betriebsdaten (Verarbeitung in eigener Verantwortung): an Werkstoff Digital, info@werkstoff-digital.de.

Auskunfts- und Löschanfragen, die Shopify im Auftrag eines Kunden oder Shops an die App weiterleitet, werden wie in Abschnitt 7 beschrieben verarbeitet.

11. Änderungen

Version 1.0, Stand: 23.10.2026.

Ändern sich die App, die eingesetzten Dienste oder die Rechtslage, wird diese Datenschutzerklärung angepasst und mit neuer Version und neuem Stand veröffentlicht.