Datenschutzerklärung

Wie Workflow Transactional Email mit personenbezogenen Daten umgeht

Zuletzt aktualisiert: 12. August 2026

1. Verantwortlicher und Kontakt

Diese Datenschutzerklärung beschreibt, wie Workflow Transactional Email („die App“) personenbezogene Daten verarbeitet. Betreiberin der App ist die Code Creation Labs GmbH, Friedensstr. 1, 47647 Kerken, Germany (Yann Faulhaber; Amtsgericht Kleve, HRB 20472; USt-IdNr. DE451671933).

Bei Fragen zum Datenschutz oder zur Ausübung Ihrer Rechte erreichen Sie uns unter support@codecreationlabs.com.

2. Unsere Rolle: Auftragsverarbeiter für den Händler

Die App wird von einem Shopify-Händler (dem „Händler“) installiert, um Shopify Flow zu erweitern. Für alle personenbezogenen Daten, die in den vom Händler durch die App geleiteten Shop- und Flow-Daten enthalten sind, ist der Händler Verantwortlicher und wir handeln als Auftragsverarbeiter in seinem Auftrag gemäß Art. 28 DSGVO. Unser Auftragsverarbeitungsvertrag ist unter /de/avv.html abrufbar.

Verantwortlicher sind wir nur für die begrenzten Konto- und Betriebsdaten, die wir zum Betrieb des Dienstes und zur Kommunikation mit dem Händler benötigen (z. B. Kontakt-E-Mail, Shop-Domain und Tarif des Händlers sowie Support-Korrespondenz).

3. Was wir verarbeiten und warum

Zweck der Verarbeitung: Versand transaktionaler E-Mails aus Shopify Flow über das vom Händler verbundene Postfach (Google Workspace oder Microsoft 365 via OAuth) oder ein vom Händler konfiguriertes SMTP-Relay; sowie Ausführung der HTTP-Request-Aktion - Absenden vom Händler konfigurierter ausgehender HTTP-Anfragen, Rückgabe der Antwort an Shopify Flow und Speicherung eines Ausführungsverlaufs beider Aktionen.

Kategorien personenbezogener Daten: E-Mail-Adressen und Namen von Empfängern, Nachrichteninhalte (die vom Händler über Flow-Variablen eingefügte Bestell- und Kundendaten enthalten können), die Zugangsdaten / OAuth-Token des verbundenen Versandpostfachs des Händlers sowie alle personenbezogenen Daten, die in den Anfrage- oder Antwort-Payloads der vom Händler konfigurierten HTTP-Anfragen enthalten sind - die die App an Shopify Flow zurückgibt und im Ausführungsverlauf speichern kann.

Kategorien betroffener Personen: Die Kunden und E-Mail-Empfänger des Händlers, sonstige Personen, deren Daten in den Nachrichteninhalten oder in den HTTP-Anfrage-/Antwort-Payloads erscheinen; die Mitarbeiter des Händlers, die die App nutzen.

Rechtsgrundlage: Erfüllung des Vertrags mit dem Händler sowie unser berechtigtes Interesse an der Bereitstellung und Absicherung des Dienstes (Art. 6 Abs. 1 lit. b und f DSGVO). Für die vom Händler durch die App geleiteten personenbezogenen Daten bestimmt der Händler die Rechtsgrundlage gegenüber seinen Kunden.

4. Wo Ihre Daten gehostet werden

Die gesamte Verarbeitung findet in der Europäischen Union auf Google Cloud statt, Region europe-west1 (Belgien). Datenbanken, Caches und Dateispeicher sind regionslokal und im Ruhezustand verschlüsselt.

Personenbezogene Daten und Geheimnisse (wie Zugangsdaten und Token) werden zusätzlich auf Feldebene mit Google Cloud KMS und getrennten Schlüsseln verschlüsselt und nur im Arbeitsspeicher für den Moment einer Anfrage entschlüsselt.

5. Unterauftragsverarbeiter

Wir setzen die folgenden Unterauftragsverarbeiter zur Erbringung des Dienstes ein. Jeder ist vertraglich zu Datenschutzpflichten verpflichtet, die den unseren gleichwertig sind:

Google Cloud (Google Ireland Limited) - Compute, Storage (inkl. verschlüsselter Anhang-Speicherung in Google Cloud Storage) und Cloud-KMS-Schlüsselverwaltung - European Union - Google Cloud region europe-west1 (Belgium) - AVV: https://cloud.google.com/terms/data-processing-addendum
Microsoft 365 (Microsoft Ireland Operations Limited) - Übertragung der ausgehenden E-Mails des Händlers (Empfänger, Betreff, Inhalt, Anhänge) bei verbundenem Microsoft-Postfach - EU / the merchant's Microsoft tenant region - AVV: https://www.microsoft.com/licensing/docs/view/Microsoft-Products-and-Services-Data-Protection-Addendum-DPA
Google Workspace (Google Ireland Limited) - Übertragung der ausgehenden E-Mails des Händlers bei verbundenem Google-Workspace-Postfach - EU / the merchant's Google tenant region - AVV: https://workspace.google.com/terms/dpa_terms.html
Shopify International Limited - Die Shopify-Plattform - die App empfängt Trigger von Shopify Flow und gibt Daten dorthin zurück; diese können vom Händler weitergeleitete personenbezogene Daten enthalten - Ireland (EU); Shopify operates globally, third-country transfers safeguarded under Chapter V GDPR (SCC / EU-U.S. DPF) - AVV: https://www.shopify.com/legal/dpa

6. Speicherdauer und Löschung

Wir speichern personenbezogene Daten nur so lange, wie es zur Erbringung des Dienstes erforderlich ist. Sämtliche Verarbeitungsverläufe (Versand-, Ausführungs- und Webhook-Verlauf) werden automatisch nach 30 Tagen gelöscht, und Betriebsprotokolle werden nicht länger als 30 Tage aufbewahrt.

Die Deinstallation der App löscht die Daten des Händlers; nach Vertragsende löschen oder retournieren wir alle im Auftrag des Händlers verarbeiteten personenbezogenen Daten innerhalb von 30 Tagen, sofern nicht das Recht der Union oder der Mitgliedstaaten eine Speicherung verlangt. Wir beachten die verpflichtenden Datenschutz-Webhooks von Shopify (customers/data_request, customers/redact und shop/redact) innerhalb der von Shopify vorgegebenen Fristen.

Händler können jederzeit unter support@codecreationlabs.com eine Löschung verlangen.

7. Drittlandtransfers

Unsere eigene Infrastruktur befindet sich in der EU. Soweit ein Unterauftragsverarbeiter - insbesondere Shopify - personenbezogene Daten außerhalb des EWR verarbeitet, erfolgt die Übermittlung unter geeigneten Garantien gemäß Kapitel V DSGVO, insbesondere den EU-Standardvertragsklauseln und, sofern einschlägig, dem EU-U.S. Data Privacy Framework.

8. Ihre Rechte

Unter den jeweiligen Voraussetzungen haben Sie das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch sowie das Recht auf Beschwerde bei einer Aufsichtsbehörde. Unsere zuständige Behörde ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW).

Da wir in der Regel als Auftragsverarbeiter des Händlers handeln, richten Sie Anfragen zu Kundendaten eines Händlers am besten an diesen Händler; wir unterstützen den Händler bei der Beantwortung.

9. Kein Tracking auf dieser Website

Diese Website setzt keine Werbe- oder Analyse-Cookies Dritter und bindet keine Tracker Dritter ein.

10. Änderungen dieser Erklärung

Wir können diese Datenschutzerklärung anpassen, um Änderungen des Dienstes oder der Rechtslage abzubilden. Die aktuelle Fassung und ihr Datum stehen oben auf dieser Seite; wesentliche Änderungen bei Unterauftragsverarbeitern werden gemäß unserem AVV mitgeteilt.

11. Unsere weiteren Apps

Wir betreiben weitere Shopify-Apps mit jeweils eigener Datenschutzerklärung:

Workflow Webhooks: https://workflow-webhooks.app
Workflow Trigger Extensions: https://workflow-trigger-extensions.app
Workflow Functions: https://workflow-functions.app