Digitaler Produktpass EU

Datenschutz

Verarbeitung nach DSGVO

Verantwortlicher

Artur Hoffmann, Okenstraße 352b, 77654 Offenburg, Deutschland · support@zrapp.de. Vollständige Angaben im Impressum.

Was diese App aus Ihrem Shop liest und schreibt

Die App hat genau eine Leseberechtigung: read_products. Damit liest sie Produkte, Varianten und Kollektionen, also Titel, Barcode, Bilder und Kollektions­zugehörigkeit.

Geschrieben wird eines: die Adresse des veröffentlichten Passes, als Metafeld am Produkt. Dafür fragt die App beim ersten Veröffentlichen die Berechtigung write_products an. Sie ist freiwillig; ohne sie funktioniert der Pass, nur der Eintrag am Produkt unterbleibt.

Nicht gelesen werden: Bestellungen, Kundendaten, Zahlungsdaten, Versandadressen, Umsätze. Für keines davon besitzt die App eine Berechtigung, und ohne Berechtigung gibt Shopify die Daten nicht heraus.

Welche personenbezogenen Daten anfallen

Sitzung
Shop-Domain und Shopify-Benutzerkennung, damit Sie angemeldet bleiben und Rollen greifen. Rechtsgrundlage: Art. 6 Abs. 1 Buchst. b DSGVO — ohne Sitzung ist der Vertrag nicht erfüllbar.
Von Ihnen eingetragene Angaben
Herstellerdaten, Ansprechpartner, Materialien und Passinhalte. Darunter können personenbezogene Daten sein, etwa der Name eines EU-Verantwortlichen. Sie entscheiden, was Sie eintragen.
Hochgeladene Nachweise
Zertifikate und Prüfberichte, die Sie an einen Pass hängen. Sie liegen in unserer Datenbank und sind nur dann öffentlich abrufbar, wenn Sie das ausdrücklich anhaken.
Zugangslinks
Wenn Sie einer Behörde oder einer Person mit berechtigtem Interesse Zugang zu nicht öffentlichen Passangaben geben, speichern wir den Empfänger, den Sie eintragen — das kann ein Name sein —, wer den Link angelegt hat, seine Gültigkeit, einen etwaigen Widerruf sowie Zahl und Zeitpunkt der Abrufe. Eine IP-Adresse speichern wir dazu nicht, und vom Link selbst nur einen nicht umkehrbaren Hashwert. Zweck ist nachvollziehbar zu machen, wer nicht öffentliche Angaben einsehen konnte. Rechtsgrundlage: Art. 6 Abs. 1 Buchst. b DSGVO; soweit Sie den Namen einer Person eintragen, Art. 6 Abs. 1 Buchst. f DSGVO.
Protokolle
Server-Protokolle mit IP-Adresse und Zeitpunkt zur Abwehr von Missbrauch. Rechtsgrundlage: Art. 6 Abs. 1 Buchst. f DSGVO.

Die öffentliche Passseite

Ein veröffentlichter Pass ist ohne Anmeldung abrufbar — das verlangt die Ökodesign-Verordnung ausdrücklich (Art. 11 Buchst. b: freier und einfacher Zugang). Sichtbar wird dort nur, was Sie als öffentlich gekennzeichnet haben.

Angaben, die eine Verordnung nur bestimmten Stellen zugänglich macht — beim Batteriepass etwa Zerlegungsinformationen oder Prüfberichte —, erscheinen dort nicht. Sie sind nur über einen Zugangslink abrufbar, den Sie selbst vergeben. Diese Seiten werden weder zwischengespeichert noch von Suchmaschinen erfasst.

Auf dieser Seite läuft kein Tracking: keine Analyse, keine Werbe-Kennungen, keine Einbindungen von Dritten, keine Cookies außer den technisch notwendigen. Deshalb gibt es dort auch kein Einwilligungsbanner — es gäbe nichts, worin man einwilligen könnte.

Empfänger und Speicherort

Shopify
Betreibt die Plattform, in die diese App eingebettet ist. Die Verarbeitung dort richtet sich nach Shopifys eigenen Bedingungen.
Server
Anwendung und Datenbank laufen auf Servern in Deutschland. Eine Übermittlung in Drittländer findet nicht statt.
Öffentliche Passseite
Sie lädt keine Schriften, Skripte oder Bilder von fremden Servern. Produktbilder reichen wir über unseren eigenen Server durch, damit die IP-Adresse der Besucher nicht an Dritte geht.
Oberfläche im Shopify-Admin
Sie lädt von Shopifys CDN zwei Skripte — App Bridge und Shopifys Bedienelemente (Polaris) — sowie die Schrift, die diese mitbringen. Für eingebettete Apps ist das vorgesehen; dabei erfährt Shopify Ihre IP-Adresse. Sonst wird nichts von fremden Servern geladen.

Speicherdauer

Ihre Daten bleiben, solange die App installiert ist. Bei Deinstallation meldet Shopify das über einen Webhook; die Daten werden anschließend gelöscht. Ein bereits veröffentlichter Pass ist davon ausgenommen, weil gedruckte QR-Codes im Umlauf sein können. Soll er nicht weiter abrufbar sein, ziehen Sie ihn zurück, bevor Sie die App deinstallieren.

Zugangslinks und ihre Abrufzahlen bleiben beim Pass, solange die App installiert ist, damit sich nachvollziehen lässt, wer wann Zugang hatte. Mit der Deinstallation werden sie gelöscht — auch wenn der Pass selbst erhalten bleibt.

Ihre Rechte

Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO). Eine Nachricht an support@zrapp.de genügt.

Sie können sich außerdem bei einer Aufsichtsbehörde beschweren, in Baden-Württemberg beim Landesbeauftragten für den Datenschutz und die Informationsfreiheit.

Stand: 21. Oktober 2026