Datenschutz – Payment & Upsell Post-Purchase

Stand: 21. Oktober 2026

Diese Hinweise ergänzen die Datenschutzerklärung von Lisa’s Boutique um die Shopify-App „Payment & Upsell Post-Purchase“. Sie beschreiben den derzeit implementierten Funktionsumfang, soweit die App in einem Shop aktiviert ist.

1. Anbieter, Kontakt und Zuständigkeiten

Anbieter ist LB ONLINE FASHION BRAND SINCE 2018 LTD, Georgiou Karaiskaki, 11-13, CARISA SALONICA, Flat/Office 102, 7560 Pervolia Larnaca, Zypern. Kontakt für Datenschutz und Support: support@lisas-boutique.de.

Für die Kundendaten eines Shops bestimmt grundsätzlich der jeweilige Händler die Zwecke und zulässigen Einstellungen der Verarbeitung. Beim Betrieb für einen rechtlich anderen Händler verarbeitet der App-Anbieter die Shop-Kundendaten nach dessen Weisung; die erforderlichen vertraglichen Regelungen müssen vor einer solchen Nutzung abgeschlossen werden. Beim eigenen Shop Lisa’s Boutique ist die oben genannte Gesellschaft zugleich Shop-Betreiberin. Für die Bearbeitung eigener Supportanfragen ist die Gesellschaft selbst verantwortlich. Diese Hinweise ersetzen keine erforderliche Auftragsverarbeitungsvereinbarung.

2. Funktionen und Verarbeitungszwecke

Die App stellt vom Händler konfigurierte Zahlungsregeln und Produktangebote nach einem Kauf bereit. Sie nutzt Warenkorb- und Bestellinformationen zur Auswahl passender Angebote, zur Darstellung, Sortierung oder Ausblendung unterstützter Zahlarten, zur technischen Abwicklung ausdrücklich angenommener Zusatzangebote sowie zur Auswertung von Anzeigen, Annahmen, Ablehnungen und daraus resultierenden Umsätzen. Sie wird nicht für Bonitätsprüfungen, Kreditentscheidungen oder den Verkauf von Kundendaten eingesetzt. Kundendaten werden nicht für shopübergreifende Werbeprofile zusammengeführt.

3. Datenkategorien und Pseudonymisierung

  • Shop-Domain, App-Einstellungen, Zahlungsregeln, Angebotskonfigurationen und die zur Anbindung erforderlichen Zugangstokens.
  • Abgeleitete Bestelldaten: Bestellnummer und Shopify-Bestellkennung, Zeitpunkt, Währung, Beträge und Wertklassen, Zahlart-Kategorie und Zahlart-Kennungen aus einer festen Liste, Vertriebskanal, Lieferart-Typ, Geschenk- oder Wallet-Merkmale sowie Produkt-, Varianten- und Kollektionskennungen und Mengen.
  • Angebotsereignisse wie Anzeige, Klick, Annahme und Ablehnung; ausgewähltes Angebot und Variante, angezeigter Produkttitel und Preis, Verarbeitungsstatus und Ergebnis der Regelprüfung.
  • Zur Zuordnung wird eine aus Shop und Checkout-Kennung berechnete Hash-Referenz gespeichert. Händler-Kunden-Tags werden, soweit eine aktuelle Marketing-Freigabe vorliegt und Shopify den Datenzugriff erlaubt, nur als mit einem Shop-Schlüssel gebildete HMAC-Prüfwerte gespeichert. Der Klartext des Tags wird nicht dauerhaft in der App-Datenbank abgelegt.
  • Datenschutzsteuerung: zweckbezogene Shopify-Freigaben für Analyse und Marketing, Sende-/Empfangszeit und Hash-Referenz des Checkouts. Die Checkout-Kennung wird dafür über HTTPS übertragen, aber nur als Hash gespeichert; vollständige Pixel-Ereignisse, Seitenadressen und Browserprofile werden nicht übernommen.
  • Händler-Vertragsnachweis: Firmen-/Rechtsträgerangabe des Händlers, Shop-Domain, Vertragsversion und Textprüfsumme, Annahmezeit und ein kontogebundener HMAC-Prüfwert des authentifizierten Shopify-Nutzerkontos. Das rohe Konto-Token und die rohe Nutzerkennung werden dafür nicht gespeichert.
  • Der zweibuchstabige Ländercode kann vorübergehend zur Angebotsauswahl verwendet werden. Länderstatistiken werden als Tageszählungen ohne gespeicherte Zuordnung zu einer einzelnen Bestellung geführt.

Bestellkennungen, Hash-Referenzen und Tag-Prüfwerte können weiterhin einer Person zuordenbar sein. Sie werden deshalb als personenbezogene bzw. pseudonymisierte Daten behandelt, nicht pauschal als anonym.

Die App legt keine Kundennamen, vollständigen Anschriften, Kunden-E-Mail-Adressen, Telefonnummern, IP-Adressen, Bestellnotizen oder freien Positionseigenschaften in ihrer Anwendungsdatenbank ab. Bei der Verarbeitung eingehender Shopify-Nachrichten können technisch weitere Felder vorübergehend enthalten sein; übernommen werden nur die beschriebenen abgeleiteten Angaben. Hosting- und Plattformanbieter verarbeiten unabhängig davon die für die Übertragung und Bereitstellung erforderlichen Verbindungsdaten.

4. Rechtsgrundlagen und Einwilligungen

Für die Nutzung der App-Funktionen bestimmt der verantwortliche Händler die zutreffende Rechtsgrundlage und informiert seine Kunden. Vertragsabwicklung kann auf Art. 6 Abs. 1 Buchst. b DSGVO beruhen; soweit eine Interessenabwägung die Verarbeitung trägt, kommt Art. 6 Abs. 1 Buchst. f DSGVO in Betracht. Eine notwendige Einwilligung nach Art. 6 Abs. 1 Buchst. a DSGVO wird dadurch nicht ersetzt. Für eigene Supportanfragen gelten die Hinweise zur Kontaktaufnahme in unserer allgemeinen Datenschutzerklärung.

Die Einwilligungssteuerung übernimmt die effektiven Zweckfreigaben aus Shopifys Customer Privacy API. Sie berücksichtigt damit Shopifys Datenschutzeinstellungen, Region und vorhandene Entscheidungen; ein erlaubter Zweck ist nicht in jeder Region gleichbedeutend mit einem ausdrücklich angeklickten Opt-in. Ein korrekt konfigurierter Consent-Banner und erforderliche Hinweise bleiben Aufgabe des Händlers. Ein reiner Shopify-App-Pixel-Adapter überträgt dafür nur die Zweckfreigaben und die Checkout-Zuordnung. Er setzt keine Werbe- oder Besucherkennung, liest keine Browser-Cookies und sendet keine Surfprofile. Die Signale stammen aus dem Browser und sind keine kryptographisch signierte Bestätigung von Shopify.

Ohne aktuelle Marketing-Freigabe verarbeitet die App keine Kunden-Tags zur Angebots-Personalisierung. Ohne aktuelle Analyse-Freigabe startet sie keine neue A/B-Zuordnung und speichert keine Impressionen, Klicks, Ablehnungsstatistik oder Länderstatistik. Notwendige Kauf-, Preis-, Zahlungs- und Abwicklungsnachweise werden davon getrennt behandelt und ohne Analyse-Freigabe nicht in Verhaltens- oder A/B-Kennzahlen aufgenommen. Kontextangebote anhand des aktuellen Einkaufs bleiben unter der vom Händler zu verantwortenden Rechtsgrundlage möglich; Kunden-Tag-Funnels werden ohne passende Freigabe nicht ersatzweise als erfüllt behandelt.

Neue Shopify-Entscheidungen werden übertragen; ein empfangener Widerruf sperrt den betreffenden Zweck. Bereits gespeicherte Tag-Prüfwerte werden bei Marketing-Widerruf entfernt. Bei Analyse-Widerruf werden die zugeordneten optionalen Verhaltensereignisse entfernt und notwendige Kaufnachweise für weitere Verhaltensauswertung gesperrt. Ohne erneuertes Signal laufen Freigaben nach spätestens 15 Sekunden aus; bei Netzwerk-/Plattformausfall wird deshalb keine fortdauernde Freigabe unterstellt. Ein bereits ausdrücklich veranlasster Kauf kann weiterhin abgewickelt werden. Die Kaufannahme ist keine pauschale Marketing-Einwilligung; E-Mail-/SMS-Abonnements werden nicht als Tracking-Freigabe benutzt.

5. Dienstleister und Übermittlungen

Shopify stellt die Shop-Plattform, die App-Einbindung, Programmierschnittstellen und Ereignisnachrichten bereit. Cloudflare stellt Pages, Workers und die D1-Datenbank für die App bereit. Die D1-Datenbank ist mit EU-Jurisdiktion konfiguriert. Dies bedeutet nicht, dass sämtliche Netzwerkverarbeitung ausschließlich innerhalb der EU stattfindet: Cloudflare betreibt ein weltweites Netzwerk und verarbeitet technisch auch IP-Adressen und Verbindungsdaten. Informationen zu Übermittlungen und den von Cloudflare vorgesehenen Schutzmechanismen finden sich im Cloudflare Data Processing Addendum. Das Firmenkonto wird für LB ONLINE FASHION BRAND SINCE 2018 LTD geführt. Abschnitt 6.1 des Cloudflare Self-Serve Subscription Agreement bezieht den Cloudflare-DPA ein; für beschränkte Übermittlungen sieht dieser die einschlägigen Standardvertragsklauseln vor. Eine EU-Datenbank allein schließt andere Netzwerk- und Supportverarbeitung nicht aus.

Optional kann ein Händler seinen eigenen Judge.me-Zugang für Produktbewertungen verbinden. Das App-Backend übermittelt dafür die Shop-Domain, den Zugangstoken und die Produktnummer an Judge.me. In dieser Bewertungsabfrage werden keine Kundennamen, Kontaktangaben oder Kunden-IP-Adressen übermittelt; sie erfolgt serverseitig. Dies ist von anderen, vom Händler separat eingerichteten Bewertungsdiensten oder Bewertungserinnerungen zu unterscheiden.

Es findet kein Verkauf von Kundendaten und keine Weitergabe für fremde Werbung durch die App statt.

6. Schutz und Zugriff

Der Zugriff auf die Admin-Schnittstellen erfordert eine gültige Shopify-Sitzung; die Erweiterungs-Endpunkte prüfen von Shopify signierte Tokens. Shop-Zugangstokens und optionale Zugangstokens des Bewertungsdienstes werden verschlüsselt abgelegt (AES-256-GCM). Die Übertragung erfolgt über HTTPS. Die Datenhaltung ist nach Shop getrennt. Personenbezogene Klartext-Tags werden nicht in App-Antworten oder Anwendungsprotokollen ausgegeben.

7. Aufbewahrung und Löschung

Für abgeleitete Bestell- und Angebotsdaten sowie zugehörige Auswertungen ist eine Aufbewahrung von höchstens 24 Monaten im täglichen Bereinigungslauf vorgesehen; das technische Webhook-Protokoll wird nach 30 Tagen bereinigt. Diese Fristen betreffen die App-Datenbank und nicht die eigenständige Bestell- oder Buchführungsaufbewahrung des Händlers oder von Shopify. Eine frühere erforderliche Löschung bleibt unberührt.

Privacy-Signale werden nach 24 Stunden für den täglichen Löschlauf fällig (bei planmäßigem täglichen Lauf spätestens etwa 48 Stunden nach dem letzten Signal). Für Freigabeentscheidungen gelten bereits die wesentlich kürzeren 15 Sekunden. Einrichtungs- und Vertragsannahmenachweise gehören zum Shop und werden mit dessen übrigen App-Daten gelöscht. Datenschutz-Auskunftsvorgänge behalten Bestellreferenzen nur bis zum bestätigten Abschluss; Abschlussmetadaten werden nach 30 Tagen bereinigt. Unbearbeitete Vorgänge benötigen fristgerechte manuelle Bearbeitung und werden nicht als zugestellt ausgegeben.

Bei einer Deinstallation entfernt die App die Shopify- und Judge.me-Zugänge des Shops. Weitere Shop-Daten werden bei Eingang des Shopify-Löschereignisses „shop/redact“ gelöscht; bei zwischenzeitlicher Neuinstallation wird geprüft, ob die Nachricht zu einer früheren Installation gehört. Die vollständige Datenlöschung erfolgt somit nicht pauschal sofort bei der Deinstallation.

Die App verarbeitet die Shopify-Datenschutzereignisse „customers/data_request“, „customers/redact“ und „shop/redact“ nach Signaturprüfung. Bei kundenbezogenen Anfragen werden die von Shopify bezeichneten Bestellungen zur Zuordnung verwendet. Löschungen und Auskünfte hängen deshalb auch von der vollständigen Zuordnung der Bestellungen im jeweiligen Shopify-Ereignis ab. Nicht personenbezogen zugeordnete Tageszählungen bleiben davon unberührt.

8. Rechte und Kontakt

Die in unserer allgemeinen Datenschutzerklärung beschriebenen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerruf, Widerspruch und Beschwerde gelten nach ihren jeweiligen Voraussetzungen auch für die hier beschriebenen Verarbeitungen. Kunden anderer Shops richten ihre Anfrage vorrangig an den jeweiligen Händler. Dieser kann die Verarbeitung und Zuordnung seiner Shop-Daten veranlassen. Anfragen zum App-Betrieb und eigene Supportanfragen können an support@lisas-boutique.de gerichtet werden. Bitte nennen Sie den betroffenen Shop und nur die zur Zuordnung erforderlichen Angaben; senden Sie keine Zahlungsdaten, Passwörter oder Zugangstokens.

9. Automatisierte Regeln und Grenzen

Die App wählt Angebote und verarbeitet Zahlungsregeln anhand vom Händler festgelegter Bedingungen, etwa Warenkorbwert, Produkte, Ländercode und Kunden-Tags. Ein Zusatzangebot wird nur nach ausdrücklicher Annahme durch den Käufer angewendet. Die App enthält keine Bonitätsbewertung und keine automatische Kreditvergabe. Eine gesonderte Funktion für den Widerspruch gegen rechtlich oder vergleichbar erheblich wirkende automatisierte Entscheidungen ist nicht implementiert. Händler dürfen die Regeln daher nicht als Ersatz für eine solche Entscheidung oder ein erforderliches Verfahren zur menschlichen Überprüfung einsetzen.


English summary for merchants

Payment & Upsell Post-Purchase is provided by LB ONLINE FASHION BRAND SINCE 2018 LTD, Cyprus; contact: support@lisas-boutique.de. It processes shop configuration, derived order identifiers and amounts, product identifiers, payment-method categories and offer events for merchant-configured payment rules, post-purchase offers and their reporting. Checkout references are hashed; optional customer tags are stored only as per-shop keyed HMAC values. These values may remain personal data. Customer names, complete addresses, email addresses, telephone numbers and IP addresses are not stored in the application database.

The backend is hosted by Cloudflare, with an EU-jurisdiction D1 database and global network processing. Shopify provides platform services; an optional merchant-owned Judge.me connection retrieves product ratings without sending customer data. The daily cleanup is configured for a maximum of 24 months for derived order/reporting data and 30 days for webhook logs. Uninstall removes access tokens; shop data deletion is handled through Shopify’s shop/redact event. Customer access and erasure requests are matched to the orders supplied by Shopify.

No customer data is sold or used for cross-shop advertising profiles. The app does not perform credit scoring or lending decisions. A minimal Shopify privacy-purpose adapter applies current analytics and marketing permissions per checkout. Unknown, denied or expired permissions do not permit optional tag-based personalization, experiments or behavioral statistics. Consent changes are applied when received; grants expire after 15 seconds without renewal. Core transaction records remain separate and do not enter behavioral statistics without permission. This is not a dedicated objection procedure for automated decisions with legal or similarly significant effects; the app must not be used for such decisions. A separate merchant must expressly accept the released data-processing agreement before processing starts. The record contains merchant legal entity, shop, version/digest, timestamp and an account-bound pseudonymous verification value. This notice is not evidence of an individual merchant acceptance. Privacy signals are due for daily deletion after 24 hours; short-lived permission checks are independent of that retention.

Alles bekijken Alles bekijken

Categorieën


Recent bekeken