Datenschutzerklärung

Wie Workflow Webhooks mit personenbezogenen Daten umgeht

Zuletzt aktualisiert: 12. August 2026

1. Verantwortlicher und Kontakt

Diese Datenschutzerklärung beschreibt, wie Workflow Webhooks („die App“) personenbezogene Daten verarbeitet. Betreiberin der App ist die Code Creation Labs GmbH, Friedensstr. 1, 47647 Kerken, Germany (Yann Faulhaber; Amtsgericht Kleve, HRB 20472; USt-IdNr. DE451671933).

Bei Fragen zum Datenschutz oder zur Ausübung Ihrer Rechte erreichen Sie uns unter support@codecreationlabs.com.

2. Unsere Rolle: Auftragsverarbeiter für den Händler

Die App wird von einem Shopify-Händler (dem „Händler“) installiert, um Shopify Flow zu erweitern. Für alle personenbezogenen Daten, die in den vom Händler durch die App geleiteten Shop- und Flow-Daten enthalten sind, ist der Händler Verantwortlicher und wir handeln als Auftragsverarbeiter in seinem Auftrag gemäß Art. 28 DSGVO. Unser Auftragsverarbeitungsvertrag ist unter /de/avv.html abrufbar.

Verantwortlicher sind wir nur für die begrenzten Konto- und Betriebsdaten, die wir zum Betrieb des Dienstes und zur Kommunikation mit dem Händler benötigen (z. B. Kontakt-E-Mail, Shop-Domain und Tarif des Händlers sowie Support-Korrespondenz).

3. Was wir verarbeiten und warum

Zweck der Verarbeitung: Weiterleitung externer HTTP-Webhooks als Trigger in Shopify Flow sowie Speicherung eines Payload-Verlaufs für den Händler.

Kategorien personenbezogener Daten: Alle personenbezogenen Daten, die in den vom Händler durch die App geleiteten Webhook-Payloads und im Shopify-Flow-Kontext enthalten sind - dies kann Kundennamen, E-Mail-Adressen, Postanschriften, Bestelldaten und beliebige vom Händler aufgenommene benutzerdefinierte Felder umfassen.

Kategorien betroffener Personen: Die Kunden des Händlers sowie sonstige Personen, deren Daten in den weitergeleiteten Payloads erscheinen; die Mitarbeiter des Händlers, die die App nutzen.

Rechtsgrundlage: Erfüllung des Vertrags mit dem Händler sowie unser berechtigtes Interesse an der Bereitstellung und Absicherung des Dienstes (Art. 6 Abs. 1 lit. b und f DSGVO). Für die vom Händler durch die App geleiteten personenbezogenen Daten bestimmt der Händler die Rechtsgrundlage gegenüber seinen Kunden.

4. Wo Ihre Daten gehostet werden

Die gesamte Verarbeitung findet in der Europäischen Union auf Google Cloud statt, Region europe-west1 (Belgien). Datenbanken, Caches und Dateispeicher sind regionslokal und im Ruhezustand verschlüsselt.

Personenbezogene Daten und Geheimnisse (wie Zugangsdaten und Token) werden zusätzlich auf Feldebene mit Google Cloud KMS und getrennten Schlüsseln verschlüsselt und nur im Arbeitsspeicher für den Moment einer Anfrage entschlüsselt.

5. Unterauftragsverarbeiter

Wir setzen die folgenden Unterauftragsverarbeiter zur Erbringung des Dienstes ein. Jeder ist vertraglich zu Datenschutzpflichten verpflichtet, die den unseren gleichwertig sind:

• Google Cloud (Google Ireland Limited) - Compute, Storage und Cloud-KMS-Schlüsselverwaltung - European Union - Google Cloud region europe-west1 (Belgium) - AVV: https://cloud.google.com/terms/data-processing-addendum
• Shopify International Limited - Die Shopify-Plattform - die App empfängt Trigger von Shopify Flow und gibt Daten dorthin zurück; diese können vom Händler weitergeleitete personenbezogene Daten enthalten - Ireland (EU); Shopify operates globally, third-country transfers safeguarded under Chapter V GDPR (SCC / EU-U.S. DPF) - AVV: https://www.shopify.com/legal/dpa

6. Speicherdauer und Löschung

Wir speichern personenbezogene Daten nur so lange, wie es zur Erbringung des Dienstes erforderlich ist. Sämtliche Verarbeitungsverläufe (Versand-, Ausführungs- und Webhook-Verlauf) werden automatisch nach 30 Tagen gelöscht, und Betriebsprotokolle werden nicht länger als 30 Tage aufbewahrt.

Die Deinstallation der App löscht die Daten des Händlers; nach Vertragsende löschen oder retournieren wir alle im Auftrag des Händlers verarbeiteten personenbezogenen Daten innerhalb von 30 Tagen, sofern nicht das Recht der Union oder der Mitgliedstaaten eine Speicherung verlangt. Wir beachten die verpflichtenden Datenschutz-Webhooks von Shopify (customers/data_request, customers/redact und shop/redact) innerhalb der von Shopify vorgegebenen Fristen.

Händler können jederzeit unter support@codecreationlabs.com eine Löschung verlangen.

7. Drittlandtransfers

Unsere eigene Infrastruktur befindet sich in der EU. Soweit ein Unterauftragsverarbeiter - insbesondere Shopify - personenbezogene Daten außerhalb des EWR verarbeitet, erfolgt die Übermittlung unter geeigneten Garantien gemäß Kapitel V DSGVO, insbesondere den EU-Standardvertragsklauseln und, sofern einschlägig, dem EU-U.S. Data Privacy Framework.

8. Ihre Rechte

Unter den jeweiligen Voraussetzungen haben Sie das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch sowie das Recht auf Beschwerde bei einer Aufsichtsbehörde. Unsere zuständige Behörde ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW).

Da wir in der Regel als Auftragsverarbeiter des Händlers handeln, richten Sie Anfragen zu Kundendaten eines Händlers am besten an diesen Händler; wir unterstützen den Händler bei der Beantwortung.

9. Kein Tracking auf dieser Website

Diese Website setzt keine Werbe- oder Analyse-Cookies Dritter und bindet keine Tracker Dritter ein.

10. Änderungen dieser Erklärung

Wir können diese Datenschutzerklärung anpassen, um Änderungen des Dienstes oder der Rechtslage abzubilden. Die aktuelle Fassung und ihr Datum stehen oben auf dieser Seite; wesentliche Änderungen bei Unterauftragsverarbeitern werden gemäß unserem AVV mitgeteilt.

11. Unsere weiteren Apps

Wir betreiben weitere Shopify-Apps mit jeweils eigener Datenschutzerklärung:

• Workflow Trigger Extensions: https://workflow-trigger-extensions.app
• Workflow Transactional Email: https://workflow-transactional-email.app
• Workflow Functions: https://workflow-functions.app