Datenschutzerklärung

1. Datenschutz auf einen Blick

Allgemeine Hinweise

Die folgenden Hinweise geben einen einfachen Überblick darüber, was mit Ihren personenbezogenen Daten passiert, wenn Sie diese Website besuchen oder die Shopify-App „Belegio" nutzen. Personenbezogene Daten sind alle Daten, mit denen Sie persönlich identifiziert werden können.

Diese Datenschutzerklärung gilt für zwei Bereiche:

Marketing-Website belegio.app – die Informations- und Kontaktseite
Shopify-App „Belegio" – die im Shopify App Store erhältliche Integrationsanwendung

Datenerfassung auf dieser Website

Wer ist verantwortlich für die Datenerfassung auf dieser Website?
Die Datenverarbeitung auf dieser Website erfolgt durch den Websitebetreiber. Dessen Kontaktdaten können Sie dem Abschnitt „Verantwortliche Stelle" in dieser Datenschutzerklärung entnehmen.

2. Verantwortliche Stelle

Die verantwortliche Stelle für die Datenverarbeitung auf dieser Website ist:

Artur Hoffmann
Okenstraße 352b
77654 Offenburg
Deutschland
Telefon: +49 1522 6939034
E-Mail: support@zrapp.de

Hinweis zur Rolle bei der Shopify-App: Im Rahmen der App „Belegio" handelt der jeweilige Shopify-Händler als Verantwortlicher (Controller) für die Verarbeitung der Endkundendaten. Belegio (Artur Hoffmann) handelt als Auftragsverarbeiter (Processor) im Sinne von Art. 28 DSGVO bzw. Art. 9 nDSG (Schweiz).

3. Hosting

Marketing-Website (belegio.app)

Anbieter ist Lovable (betrieben über Netlify, Inc., 512 2nd Street, Suite 200, San Francisco, CA 94107, USA). Details entnehmen Sie der Datenschutzerklärung von Netlify: https://www.netlify.com/privacy/.

Die Verwendung von Lovable/Netlify erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Wir haben ein berechtigtes Interesse an einer möglichst zuverlässigen Darstellung unserer Website.

Shopify-App (Belegio)

Die Shopify-App „Belegio" wird vollständig (Frontend, Backend und PostgreSQL-Datenbank) auf einem dedizierten Server der IONOS SE, Elgendorfer Straße 57, 56410 Montabaur, Deutschland in einem deutschen Rechenzentrum betrieben. Mit IONOS besteht ein Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO. Es erfolgt keine Datenübertragung in Drittländer durch Belegio selbst. Die Kommunikation mit Shopify-Servern (Kanada/USA) sowie mit dem USt-IdNr.-Prüfdienst VIES der Europäischen Kommission erfolgt ausschließlich über verschlüsselte HTTPS-Verbindungen.

Weitere Informationen zur Datenverarbeitung bei IONOS finden Sie unter: https://www.ionos.de/terms-gtc/terms-privacy/.

4. Allgemeine Hinweise und Pflichtinformationen

Datenschutz

Die Betreiber dieser Seiten nehmen den Schutz Ihrer persönlichen Daten sehr ernst. Wir behandeln Ihre personenbezogenen Daten vertraulich und entsprechend den gesetzlichen Datenschutzvorschriften sowie dieser Datenschutzerklärung.

SSL- bzw. TLS-Verschlüsselung

Diese Seite nutzt aus Sicherheitsgründen und zum Schutz der Übertragung vertraulicher Inhalte eine SSL- bzw. TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennen Sie daran, dass die Adresszeile des Browsers von „http://" auf „https://" wechselt und an dem Schloss-Symbol in Ihrer Browserzeile.

5. Datenerfassung auf der Marketing-Website (belegio.app)

Cookies

Unsere Internetseiten verwenden so genannte „Cookies". Cookies sind kleine Datenpakete und richten auf Ihrem Endgerät keinen Schaden an. Sie werden entweder vorübergehend für die Dauer einer Sitzung (Session-Cookies) oder dauerhaft (permanente Cookies) auf Ihrem Endgerät gespeichert. Die Speicherung von und der Zugriff auf Informationen in der Endeinrichtung des Nutzers erfolgt nur mit dessen Einwilligung gemäß § 25 Abs. 1 TDDDG, sofern es sich nicht um unbedingt erforderliche Cookies handelt (§ 25 Abs. 2 TDDDG). Die Rechtsgrundlage für technisch notwendige Cookies ist Art. 6 Abs. 1 lit. f DSGVO. Für alle anderen Cookies holen wir Ihre Einwilligung über unseren Cookie-Banner ein (Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG).

Kontaktformular

Wenn Sie uns per Kontaktformular Anfragen zukommen lassen, werden Ihre Angaben aus dem Anfrageformular inklusive der von Ihnen dort angegebenen Kontaktdaten zwecks Bearbeitung der Anfrage und für den Fall von Anschlussfragen bei uns gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Ihre Daten werden nach Abschluss der Bearbeitung gelöscht, spätestens jedoch nach 6 Monaten.

E-Mail-Versand über EmailJS

Für den Versand von Kontaktformular-Nachrichten verwenden wir den Dienst EmailJS (EmailJS, 4023 Kennett Pike #50063, Wilmington, DE 19807, USA). Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Weitere Informationen: https://www.emailjs.com/legal/privacy-policy/.

Schutz vor Spam (Honeypot)

Zum Schutz vor automatisierten Spam-Einsendungen über das Kontaktformular setzen wir ein technisches Honeypot-Verfahren ein. Es werden hierbei keine zusätzlichen personenbezogenen Daten erfasst. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

6. Datenverarbeitung in der Shopify-App „Belegio"

6.1 Rolle

Belegio erstellt aus Shopify-Bestellungen Rechnungen, Lieferscheine und Gutschriften, stellt sie als PDF bereit und versendet sie auf Wunsch per E-Mail an die Endkunden des Händlers. Für diese Verarbeitung der Endkundendaten ist der Shop-BetreiberVerantwortlicher, Belegio handelt als Auftragsverarbeiternach Art. 28 DSGVO. Einzelheiten regelt der Auftragsverarbeitungsvertrag.

Die Rechtsgrundlage für die Datenverarbeitung ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) in Verbindung mit Art. 28 DSGVO (Auftragsverarbeitung).

6.2 Daten, die in Belegio gespeichert werden

Anders als ein reiner Durchleitungsdienst speichert Belegio die erzeugten Belege dauerhaft — das ist Voraussetzung dafür, dass Rechnungen über die gesetzliche Aufbewahrungsfrist hinweg abrufbar bleiben und Nummernkreise lückenlos vergeben werden können.

Shop-Stammdaten: Domain, Name, E-Mail des Shop-Inhabers, Währung, Zeitzone, Shopify-Tarif
Firmen-Stammdaten des Händlers: Firmenname, Anschrift, Steuernummer bzw. USt-IdNr., Ansprechpartner, Kontaktdaten, Bankverbindung (IBAN/BIC für Zahlungshinweis und GiroCode), Logo
Belege: Rechnungen, Lieferscheine und Gutschriften mit allen Positionen, Beträgen, Steuersätzen und dem festgeschriebenen Steuerfall
Endkundendaten auf den Belegen: Name, Firma, E-Mail-Adresse, Rechnungs- und Lieferadresse sowie USt-IdNr., soweit in der Bestellung vorhanden
Shop-Einstellungen: Steuer-Status, Rechnungstexte, Layout-Wahl, Automations-Konfiguration
Zugangsdaten: Shopify Access Token und — falls der Händler den Versand über sein eigenes Postfach eingerichtet hat — dessen SMTP-Zugangsdaten, jeweils AES-256-GCM-verschlüsselt
Sessions: Vorname, Nachname und E-Mail-Adresse von Staff-Mitgliedern des Shops (Lebensdauer: 24 Stunden)
Prüfprotokolle: Ergebnisse der USt-IdNr.-Prüfung (VIES) und ein Protokoll der automatisch ausgeführten Vorgänge
Webhook-Deduplizierung: Event-IDs und Zeitstempel (keine PII)
Billing-Daten: Shopify Charge-ID, Status, Betrag und Aktivierungsdatum (keine Zahlungsdaten)

6.3 Daten, die NICHT in Belegio gespeichert werden

Zahlungsdaten (Kreditkartennummern, Bankdaten der Endkunden, Zahlungsmethoden)
Versand- und Tracking-Daten
Shopify-Kundenkonten, Warenkörbe oder Besucherverhalten

6.4 Empfänger der Daten

Belegio überträgt Belegdaten an keine Buchhaltungssoftware und an keine weiteren Anbieter. Empfänger sind ausschließlich:

Der Endkunde des Händlers — er erhält seinen Beleg per E-Mail oder über einen signierten Download-Link.
IONOS SE (Deutschland) — Hosting von Anwendung und Datenbank, Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.
Der vom Händler gewählte Mailanbieter, falls er den Versand über sein eigenes Postfach eingerichtet hat. Ohne diese Einstellung erfolgt der Versand über den Mailserver von Belegio.
Der EU-Prüfdienst VIES der Europäischen Kommission — ausschließlich die USt-IdNr., zur Gültigkeitsprüfung bei EU-B2B-Rechnungen.

7. Cookies in der Shopify-App

Die Shopify-App „Belegio" verwendet ausschließlich einen funktionalen Session-Cookie (belegio.session, Lebensdauer 24 Stunden, HttpOnly, Secure, SameSite=none — erforderlich für eingebettete Shopify-Apps). Es werden kein Tracking, keine Analytics und keine Third-Party-Cookies in der App verwendet.

8. Datenweitergabe an Dritte

8.1 Shopify Inc.

Anbieter: Shopify Inc., 151 O'Connor Street, Ottawa, Ontario K2P 2L8, Kanada
Zweck: E-Commerce-Plattform, OAuth-Authentifizierung, Bestelldaten, Billing
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO
Datenschutzniveau: Kanada – Angemessenheitsbeschluss der EU-Kommission; zusätzlich DPA mit Shopify.
Datenschutzerklärung von Shopify

8.4 Weitere Empfänger

In der Shopify-App „Belegio" selbst werden keine Daten an Analytics-Plattformen, Marketing-Tools, CDN-Anbieter, Logging-Dienste oder Zahlungsabwickler weitergegeben. Die Zahlungsabwicklung für das App-Abonnement erfolgt ausschließlich über Shopify. Auf der Marketing-Website kommen zusätzlich Lovable/Netlify (Hosting) und EmailJS (Kontaktformular) zum Einsatz.

9. Automatische Synchronisierung (Webhooks)

Belegio empfängt Webhooks von Shopify, um auf Ereignisse wie neue Bestellungen, Stornierungen oder Erstattungen zu reagieren. Die automatische Synchronisierung ist standardmäßig deaktiviert. Alle Webhooks werden mit HMAC-SHA256 signiert und mittels Timing-Safe-Vergleich validiert. Eine Deduplizierung über Event-IDs (48h Aufbewahrung) verhindert doppelte Verarbeitung.

10. E-Mail-Versand über die Buchhaltungssoftware

Belegio versendet keine E-Mails direkt. Wenn der Händler den automatischen E-Mail-Versand aktiviert hat, wird die Rechnung über die API der angebundenen Buchhaltungssoftware an die in der Shopify-Bestellung hinterlegte E-Mail-Adresse des Kunden gesendet. Betreff und Text werden vom Händler in den Belegio-Einstellungen konfiguriert.

11. Datensicherheit

Verschlüsselung in Ruhe: API-Tokens mit AES-256-GCM (256-Bit) verschlüsselt
Verschlüsselung bei Übertragung: Alle Verbindungen über TLS/HTTPS
Webhook-Validierung: HMAC-SHA256 mit Timing-Safe-Vergleich
Session-Cookies: HttpOnly, Secure, SameSite-Flags
Zugriffsschutz: Rate Limiting, CORS, Content Security Policy (CSP), Helmet.js
Logging-Sicherheit: Authorization-Header, Cookies, API-Tokens und Kunden-E-Mails werden nie in Logs erfasst
Input-Validierung: Domain-Format-Prüfung, Charge-ID-Sanitierung, SQL-Injection-Schutz

12. Datenlöschung und Aufbewahrungsfristen

Bei App-Deinstallation

Bei Deinstallation der App werden sofort (innerhalb von Sekunden) gelöscht:

Alle Sessions (Online und Offline)
API-Tokens und sensible Konfigurationsdaten
Shop-Einstellungen (Steuerkonfiguration, Rechnungstexte, Webhook-Konfiguration, Zahlungsarten-Zuordnungen)

48 Stunden nach Deinstallation sendet Shopify einen shop/redact-Webhook. Daraufhin werden sämtliche verbleibenden Shop-Daten hart gelöscht (Hard Delete).

Aufbewahrungsfristen (Auszug)

Online-Sessions: 24 Stunden (automatisch bei Ablauf)
Offline-Sessions / Shop-Einstellungen: bis Deinstallation
Webhook-Deduplizierung: 48 Stunden (Cleanup alle 6h)
Shop-Stammdaten: Hard-Delete 48h nach Deinstallation (shop/redact)
Kontaktformular-Daten: 6 Monate
Erzeugte Belege (Rechnungen, Lieferscheine, Gutschriften): 10 Jahre (HGB §257, AO §147)

13. DSGVO-Compliance-Webhooks

Belegio implementiert die von Shopify vorgeschriebenen DSGVO-Webhooks:

Datenauskunft (customers/data_request, Art. 15 DSGVO): Die Anfrage wird protokolliert und an unseren Support gemeldet. Wir stellen die zu diesem Endkunden gespeicherten Belegdaten zusammen und übermitteln sie dem Händler, der als Verantwortlicher gegenüber seinem Kunden auskunftspflichtig ist.
Kundenlöschung (customers/redact, Art. 17 DSGVO): Name und Anschrift sind auf Rechnungen ab 250 € Pflichtangaben nach § 14 UStG und unterliegen der zehnjährigen Aufbewahrungspflicht nach § 147 AO. Eine ersatzlose Löschung ist deshalb nicht zulässig. Stattdessen werden die personenbezogenen Felder auf den betroffenen Belegen pseudonymisiert: Sie werden durch Platzhalter ersetzt, die den Beleg für eine Steuerprüfung lesbar halten, den Personenbezug aber entfernen. Welche Felder je Beleg ersetzt wurden, hält ein Protokoll fest. Zugehörige Sessions werden hart gelöscht.
Shop-Löschung (shop/redact, Art. 17 DSGVO): 48 Stunden nach Deinstallation werden sämtliche Shop-Daten, Einstellungen und Sessions hart gelöscht.

14. Ihre Rechte als betroffene Person

Auskunft (Art. 15 DSGVO / Art. 25 DSG)
Berichtigung (Art. 16 DSGVO / Art. 32 DSG)
Löschung (Art. 17 DSGVO / Art. 32 DSG), soweit keine Aufbewahrungspflichten entgegenstehen
Einschränkung der Verarbeitung (Art. 18 DSGVO)
Datenübertragbarkeit (Art. 20 DSGVO / Art. 28 DSG)
Widerspruch (Art. 21 DSGVO / Art. 30 DSG)
Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO)

Zur Ausübung Ihrer Rechte wenden Sie sich bitte an: support@zrapp.de

15. Beschwerderecht bei einer Aufsichtsbehörde

Die für uns zuständige Aufsichtsbehörde:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg
Lautenschlagerstraße 20, 70173 Stuttgart
baden-wuerttemberg.datenschutz.de

Für Nutzer in Österreich: Österreichische Datenschutzbehörde, Barichgasse 40-42, 1030 Wien, dsb.gv.at

Für Nutzer in der Schweiz: EDÖB, Feldeggweg 1, 3003 Bern, edoeb.admin.ch

16. Rechtsgrundlagen der Verarbeitung

Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG (Einwilligung): optionale Cookies auf der Marketing-Website
Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung): Nutzung der Shopify-App, Rechnungserstellung, Datenweitergabe an Shopify und Buchhaltungssoftware
Art. 6 Abs. 1 lit. c DSGVO (Rechtliche Verpflichtung): Aufbewahrung von Rechnungsdaten gemäß HGB §257, AO §147 (10 Jahre)
Art. 6 Abs. 1 lit. f DSGVO (Berechtigtes Interesse): Technischer Betrieb, Sicherheitsmaßnahmen, Kontaktformular, Hosting

Hinweis für die Schweiz: Soweit das Schweizer Datenschutzgesetz (DSG) Anwendung findet, erfolgt die Verarbeitung auf Grundlage der einschlägigen Bestimmungen des DSG (insb. Art. 6, Art. 30, Art. 31 DSG).

17. Internationaler Datentransfer

Die Belegio-App und -Datenbank werden in Deutschland betrieben. Ein Datentransfer in Drittländer erfolgt ausschließlich in folgenden Fällen:

Shopify Inc. (Kanada/USA): Bestelldaten, OAuth, Billing — Angemessenheitsbeschluss + DPA
EmailJS (USA): Kontaktformular-Nachrichten — Absicherung über Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO)

Alle übrigen Datenverarbeitungen (App-Server, Datenbank, Belegarchiv) erfolgen ausschließlich in Deutschland.

18. Auftragsverarbeitung

Wir haben mit folgenden Dienstleistern Auftragsverarbeitungsverträge (AVV) bzw. Data Processing Agreements (DPA) abgeschlossen:

IONOS SE (Deutschland) – Hosting der Shopify-App
Shopify Inc. (Kanada) – E-Commerce-Plattform, OAuth, Billing
Lovable / Netlify (USA) – Hosting der Marketing-Website
EmailJS (USA) – Versand von Kontaktformular-Nachrichten

Stand: Juni 2026