Datenschutz

Stand: Juli 2026

Diese Datenschutzerklärung informiert dich gemäß Art. 13 und 14 DSGVO darüber, welche personenbezogenen Daten wir verarbeiten und welche Rechte dir zustehen. Sie gilt für (a) die öffentliche Website kuvert.app und (b) den eingeloggten App-Bereich für Shopify-Händler. Wo Unterschiede bestehen, sind diese im jeweiligen Abschnitt markiert.

Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website und im App-Bereich im Sinne der DSGVO:

Lukas Lüer
Corveyer Weg 15a
33098 Paderborn
Deutschland
support@kuvert.app

Datenschutzbeauftragter

Wir haben keinen Datenschutzbeauftragten benannt, da wir die gesetzlichen Voraussetzungen für eine Bestellpflicht (mindestens 20 ständig mit der automatisierten Verarbeitung beschäftigte Personen) nicht erfüllen.

Händler-Account-Daten (wir als Verantwortlicher)

Wenn ein Shopify-Händler Kuvert installiert und nutzt, verarbeiten wir folgende Daten über den Händler selbst — bezüglich dieser Daten sind wir Verantwortlicher (nicht Auftragsverarbeiter): Shop-Domain (z.B. mein-shop.myshopify.com), E-Mail-Adresse des Shop-Owners, Name und ggf. Telefonnummer, Geschäftsadresse (Land, Stadt, PLZ, Region), Sprach- und Zeitzonen-Einstellung, OAuth-Session-Tokens für die Shopify-API, Installations- und Sync-Zeitpunkte sowie Ablaufdaten der Authentifizierungs-Sessions, der gewählte Tarif (Basis/Pro) und der Abrechnungsstatus. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — ohne diese Daten kann die App nicht bereitgestellt werden). Die Daten werden gelöscht, sobald der Händler die App deinstalliert (technisch umgesetzt über den Shopify-Webhook 'shop/redact' innerhalb von maximal 30 Tagen). Ausgenommen ist der Nachweis des abgeschlossenen Auftragsverarbeitungsvertrags (Firmen- und Vertreterangaben, E-Mail-Adresse sowie die zum Zeitpunkt der Bestätigung erhobene IP-Adresse und der Vertragstext): Diesen bewahren wir zur Erfüllung unserer Rechenschaftspflicht nach Art. 5 Abs. 2 und Art. 28 DSGVO auch nach der Deinstallation auf (Rechtsgrundlage: Art. 6 Abs. 1 lit. c und f DSGVO), längstens jedoch 10 Jahre.

Angeforderte Shopify-Berechtigungen

Beim Installieren der App fragt Shopify deine Zustimmung zu folgenden API-Berechtigungen (Scopes) ab — wir erläutern hier transparent, wofür wir jede einzelne benötigen: 'read_customers' und 'write_customers' für den Import der Kundenstammdaten (Postanschrift, Bestellverhalten, Marketing-Status) und das Setzen von Tags zur Kennzeichnung von Dialogpost-Empfängern in deinem Shop. 'read_products' für die produktbezogene Segmentierung (Filter nach gekauften SKUs). 'read_orders' für die Verknüpfung von Bestellungen mit Kunden bei der Segmenterstellung. 'read_all_orders' ist erforderlich, weil die Auswertung einer Dialogpost-Kampagne typischerweise mehrere Wochen bis Monate nach Versand erfolgt (Postlaufzeit + Reaktionsfenster der Empfänger) — ohne diesen Scope wären für ältere Kampagnen keine Response-Auswertungen möglich, da das Standard-'read_orders' nur Bestellungen der letzten 60 Tage zulässt. Wir verwenden 'read_all_orders' ausschließlich zum Abgleich der eigenen Kampagnen-Performance, niemals für eine darüber hinausgehende Datenverarbeitung.

Zahlungsabwicklung

Die Abrechnung des Pro-Plans erfolgt vollständig über Shopify App Pricing. Wir erhalten keine Kreditkarten- oder Bankverbindungsdaten — diese werden ausschließlich durch Shopify verarbeitet (siehe Datenschutzerklärung von Shopify unter shopify.com/legal/privacy). Wir speichern lediglich den von Shopify mitgeteilten Abrechnungsstatus (aktiv, gekündigt, abgelaufen) und die Subscription-ID, um deinen Tarif-Zugang zu verwalten. Eine Ausnahme gilt für Managed-Dialogpost-Bestellungen — siehe den folgenden Abschnitt.

Managed-Dialogpost-Bestellungen (Druck- und Versandservice)

Wenn du als Händler eine Managed-Dialogpost-Bestellung aufgibst (Kuvert organisiert Druck und Versand deiner Kampagne), verarbeiten wir zusätzlich folgende Daten: die Bestell- und Rechnungsdaten deines Unternehmens (Firmenname, Anschrift, ggf. USt-IdNr., Bestellumfang, Beträge, Rechnungsnummer und Zahlungsreferenz), den Status deiner SEPA-Überweisung — beim Zahlungsabgleich sehen wir die auf unserem Bankkonto eingehenden Überweisungsdaten wie Kontoinhaber, IBAN und Verwendungszweck — sowie die von dir hochgeladenen Design-Dateien (PDF) für die Drucksachen. Zur Ausführung der Bestellung übermitteln wir Druckdaten und Empfänger-Adressliste an den ausführenden Druck- und Versanddienstleister (Lettershop); die jeweils beauftragten Dienstleister sind als Unterauftragsverarbeiter im AVV gelistet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Rechnungs- und Zahlungsdaten unterliegen gesetzlichen Aufbewahrungspflichten nach Handels- und Steuerrecht (Art. 6 Abs. 1 lit. c DSGVO i.V.m. § 147 AO, § 257 HGB) und bleiben daher auch nach einer Deinstallation der App bis zu 10 Jahre erhalten. Design-Dateien speichern wir für die Dauer der Auftragsabwicklung und -dokumentation.

Endkunden-Daten der Händler (wir als Auftragsverarbeiter)

Im eingeloggten App-Bereich verarbeitet Kuvert Daten der Endkunden des angeschlossenen Shopify-Shops. Wir importieren bewusst nur jene Datenfelder, die für die Segmentierung und Filterung durch den Händler relevant sind: vollständige Postanschrift (Vor- und Nachname, ggf. Firmenname, Straße, PLZ, Stadt, Land — der zentrale Datenpunkt für unser Dialogpost-Produkt), Bestellverhalten (Anzahl der Bestellungen, Gesamtumsatz, Datum der letzten Bestellung, Retouren-Information), gekaufte Produkte als SKU-Liste, den E-Mail-Marketing-Status (z.B. SUBSCRIBED, UNSUBSCRIBED — wir nutzen ausschließlich dieses Status-Flag zur Filterung, die E-Mail-Adresse selbst speichern wir nicht) sowie die interne Shopify-Kunden-ID zur Korrelation. Zusätzlich speichern wir den Dialogpost-Versandverlauf (welche Empfänger in welcher Kampagne enthalten waren). Andere Datenpunkte wie E-Mail-Adresse, Telefonnummer oder Zahlungsdaten importieren wir bewusst nicht (Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO). Diese Endkundendaten werden zudem automatisch nach spätestens 30 Tagen aus unserer Infrastruktur gelöscht — der Händler kann jederzeit auch eine sofortige manuelle Löschung anstoßen. Bezüglich dieser Daten sind wir Auftragsverarbeiter im Sinne von Art. 28 DSGVO — der jeweilige Händler ist Verantwortlicher. Mit jedem Händler schließen wir bei der App-Installation einen Auftragsverarbeitungsvertrag (AVV). Die aktuelle AVV-Version findest du als Händler im App-Dashboard unter 'Rechtliches'.

Endkunden-Anfragen

Wenn du Endkunde eines Shopify-Shops bist, der Kuvert nutzt: deine Datenschutzrechte (Auskunft, Löschung etc.) übst du gegenüber dem jeweiligen Shopify-Händler aus, nicht gegenüber Kuvert. Wir setzen Lösch- und Auskunftsanfragen technisch um, sobald der Händler diese über die Shopify-Compliance-Webhooks (customers/data_request, customers/redact, shop/redact) anstößt — die Bearbeitung erfolgt innerhalb von maximal 30 Tagen nach Eingang.

Server-Log-Daten

Beim Aufruf der Website und der App werden technische Daten in Server-Log-Dateien gespeichert: IP-Adresse, Datum und Uhrzeit der Anfrage, abgerufene URL, HTTP-Statuscode, übertragene Datenmenge, Referer und User-Agent. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am störungsfreien Betrieb und zur Abwehr von Angriffen). Die Speicherung erfolgt für maximal 30 Tage und wird anschließend automatisch gelöscht. Diese Frist ist erforderlich, um wiederkehrende Angriffsmuster, Bot-Scanner und Anomalien über einen ausreichend langen Zeitraum erkennen zu können. Daneben führt die Anwendung technische Verarbeitungs- und Fehlerprotokolle (ohne IP-Adressen, mit Shop-Domain), die größenbasiert rotiert und dabei automatisch überschrieben werden.

Cookies

Wir verwenden ausschließlich technisch notwendige Cookies. Auf der öffentlichen Website setzen wir das Cookie 'app-locale', um deine bevorzugte Sprache zu speichern. Im eingeloggten App-Bereich werden zusätzlich Session-Cookies von Shopify verwendet, die für die Authentifizierung erforderlich sind. Diese Cookies sind nach §25 Abs. 2 TDDDG einwilligungsfrei, da sie für ausdrücklich gewünschte Dienste (Sprachwahl, Login) unbedingt erforderlich sind.

Kein Tracking, keine Analytics

Wir verwenden weder auf der öffentlichen Website noch im App-Bereich Web-Analytics-Tools, Tracking-Pixel, Conversion-Pixel oder Profiling-Cookies. Es findet keine Auswertung deines Verhaltens statt, weder eigene noch über Drittanbieter wie Google Analytics, Plausible oder Meta-Pixel.

Externe Inhalte (Shopify-CDN)

Im eingeloggten App-Bereich wird das App-Bridge-Skript für die Shopify-Integration vom Shopify-CDN (cdn.shopify.com) geladen — dieses Skript ist für die Einbettung der App in den Shopify-Admin technisch zwingend erforderlich. Anbieter ist die Shopify International Limited, Irland (EU-Niederlassung der Shopify Inc., Kanada). Hierbei kann es zur Übermittlung deiner IP-Adresse an Shopify-Konzerngesellschaften kommen, einschließlich in die USA und nach Kanada. Für Übermittlungen in die USA stützen wir uns auf die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO, Beschluss (EU) 2021/914), zu deren Einhaltung sich Shopify in seinem Data Processing Addendum verpflichtet. Übermittlungen nach Kanada sind durch den Angemessenheitsbeschluss der EU-Kommission gemäß Art. 45 DSGVO i.V.m. PIPEDA gedeckt. Rechtsgrundlage der Verarbeitung ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der nahtlosen Shopify-Integration). Schriftarten (Inter) hosten wir selbst — es findet hier keine Drittanbieter-Übermittlung statt. Weitere Informationen unter shopify.com/legal/privacy.

Hosting

Diese Website und die Kuvert-App werden bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland gehostet. Die Datenverarbeitung einschließlich Backups und Disaster-Recovery erfolgt ausschließlich in Rechenzentren in Deutschland. Mit Hetzner besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Es findet keine Datenübermittlung in Drittländer statt (Ausnahme: siehe Abschnitt 'Externe Inhalte').

Kontakt per E-Mail

Wenn du uns per E-Mail kontaktierst (z.B. an support@kuvert.app), verarbeiten wir deine E-Mail-Adresse, deinen Namen (sofern angegeben) und den Inhalt deiner Nachricht zur Bearbeitung deines Anliegens. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen / Vertragserfüllung) bzw. lit. f (berechtigtes Interesse an der Beantwortung deiner Anfrage). Die Korrespondenz wird gelöscht, sobald sie für die Bearbeitung nicht mehr erforderlich ist und keine gesetzlichen Aufbewahrungspflichten (z.B. handels- oder steuerrechtlich) entgegenstehen. Dasselbe gilt für Support-Anfragen über das Kontaktformular im eingeloggten App-Bereich: Hier speichern wir den Nachrichtentext und die Shop-Domain zur Bearbeitung in unserer Datenbank.

Deine Rechte

Dir stehen folgende Rechte zu: Auskunft über die zu deiner Person gespeicherten Daten (Art. 15 DSGVO), Berichtigung unrichtiger Daten (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen die Verarbeitung (Art. 21). Anfragen richtest du bitte per E-Mail an support@kuvert.app.

Beschwerderecht

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung deiner personenbezogenen Daten zu beschweren. Zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Postfach 20 04 44, 40102 Düsseldorf (ldi.nrw.de).