Datenschutzerklärung

Stand: August 2026

1. Verantwortlicher

Verantwortlich im Sinne der DSGVO für den Betrieb der App-Infrastruktur:
Stephan Rajewski, handelnd unter „White Room“
Palmaille 7, 22767 Hamburg, Deutschland
E-Mail: support@white-room.de

Wichtig: Verantwortlicher für die Widerrufs-Daten Ihrer Bestellungen ist immer der jeweilige Shop-Betreiber, in dessen Shopify-Store die App installiert ist. white-room.de ist als Auftragsverarbeiter tätig (Art. 28 DSGVO). Für Auskunft, Berichtigung und Löschung bitte direkt an den Shop-Betreiber wenden. Die Einzelheiten regelt die Vereinbarung zur Auftragsverarbeitung.

2. Verarbeitete Daten

• Käufer-Eingaben aus dem Widerrufs-Formular: Bestellnummer, Name, E-Mail-Adresse, optionale Anschrift, optionale Begründung.
• Bestelldaten aus der Shopify-Admin-API: Bestellkennung, Bestellnummer, E-Mail-Adresse der Bestellung sowie Positionsdaten — ausschließlich zur Zuordnung des Widerrufs zur richtigen Bestellung.
• Technische Daten: SHA-256-Hash der IP-Adresse (mit Salt pseudonymisiert), User-Agent, Zeitstempel — ausschließlich für den Fristlauf-Nachweis nach § 356a Abs. 4 BGB.
• E-Mail-Aufträge: Empfängeradresse, Betreff und der gerenderte Inhalt der Eingangs- und Entscheidungs-Mails, solange sie in der Versand-Warteschlange liegen.
• Shop-Daten: Shopify-Domain, Konfiguration (Button-Text, E-Mail-Einstellungen, SMTP-Zugang verschlüsselt).

3. Rechtsgrundlage

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b und c DSGVO (Vertragserfüllung und gesetzliche Pflicht zur Beweissicherung nach § 356a BGB).

4. Aufbewahrung und Löschung

Widerrufs-Vorgänge werden für die vom Shop-Betreiber eingestellte Aufbewahrungsfrist gespeichert (Voreinstellung: 6 Jahre, entsprechend der Aufbewahrungspflicht für Handelsbriefe nach § 257 Abs. 4 HGB) und nach deren Ablauf automatisch anonymisiert: Vorgangsnummer, Datum und Status bleiben als Nachweis erhalten, die personenbezogenen Angaben werden gelöscht oder überschrieben — ebenso die personenbezogenen Inhalte der zugehörigen Audit-Log-Einträge. Unabhängig davon werden E-Mail-Aufträge spätestens 30 Tage nach Zustellung oder endgültigem Fehlschlag gelöscht. Nach Deinstallation der App werden mit dem Shopify-Webhook shop/redact — den Shopify in der Regel 48 Stunden nach der Deinstallation auslöst — sämtliche Daten des Stores einschließlich aller Vorgänge, Audit-Logs und Konfiguration vollständig gelöscht.

Auf Anfrage des Betroffenen werden personenbezogene Daten bereits vor Fristablauf gelöscht oder anonymisiert (Recht auf Vergessenwerden, Art. 17 DSGVO).

5. Empfänger und Weitergabe

• Shop-Betreiber: Verantwortlicher für die Bearbeitung des Widerrufs; er sieht die Daten im App-Adminbereich.
• Shopify International Ltd.: Betreiber der Shop-Plattform, über die die Bestell- und Store-Daten bezogen und die App bereitgestellt wird.
• Oracle Cloud Infrastructure: Hosting von Anwendung und Datenbank im Rechenzentrum Frankfurt, Deutschland (Unterauftragsverarbeiter).
• SMTP-Anbieter des Shop-Betreibers: Die Eingangs­bestätigungs-Mail wird über den vom Shop-Betreiber hinterlegten SMTP-Zugang versandt; Empfänger sind der Käufer und die vom Shop konfigurierten BCC-Adressen.

Eine Verarbeitung findet ausschließlich innerhalb der Europäischen Union statt. Eine Weitergabe zu Werbezwecken oder ein Verkauf der Daten findet nicht statt.

6. Datensicherheit

SMTP-Passwörter werden mit AES-256-GCM verschlüsselt gespeichert. Datenübertragungen erfolgen ausschließlich TLS-verschlüsselt. Webhooks von Shopify werden via HMAC-SHA256 in konstanter Zeit verifiziert.

7. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Anfragen richten Sie bitte an den Shop-Betreiber.

8. Beschwerderecht

Bei der zuständigen Aufsichtsbehörde (für white-room.de: Hamburgischer Beauftragter für Datenschutz und Informationsfreiheit) können Sie eine Beschwerde einlegen.