Stand: 13. Oktober 2026
Verantwortlicher: Universal Exporters LLC, Kontakt support+oss@justarobot.online.
Die App bereitet aus Ihren Shopify-Bestellungen die Zahlen für Ihre vierteljährliche OSS-Meldung (One-Stop-Shop) auf. Dafür speichert sie je Bestellung nur Bestellnummer, Zielland, Datumsangaben und die Beträge je Steuersatz – keine Namen, Adressen, E-Mail-Adressen oder Zahlungsdaten.
| Daten | Quelle | Speicherdauer |
|---|---|---|
| Bestellnummer, Zielland (nur Ländercode), Bestell-, Zahlungs-, Versand- und Stornodatum, Zahlungswährung, Steuerart (z. B. OSS, Inland, B2B), ob eine USt-IdNr. oder Steuerbefreiung vorlag (nicht die Nummer selbst), Netto-, Steuer- und Bruttobeträge je Steuersatz | Shopify Admin API (read_orders, read_customers für das Merkmal „steuerbefreit“), bei Installation und bei jeder Bestelländerung |
Bis zur Deinstallation (48 h danach gelöscht) |
| Erstattungen: Datum, Beträge je Steuersatz, Erstattungsnotiz | Shopify Admin API | Bis zur Deinstallation |
| Ihre Einstellungen (OSS-Registrierung, OSS-USt-IdNr. für den PDF-Kopf) und als abgegeben markierte Quartale mit ihren Summen | Ihre Eingabe in der App | Bis zur Deinstallation |
| Shop-Domain, Zugriffstoken (Sitzung) | Shopify | Bis zur Deinstallation |
| Export-Protokoll: welche Datei für welches Quartal heruntergeladen wurde (nur Anzahlen, keine Bestelldaten) | App | Bis zur Deinstallation |
| Zugriffsprotokoll: wann die App Bestellungen gelesen oder angezeigt hat (Shop, Aktion, Anzahl – keine Bestelldaten) | App | 12 Monate, bei Deinstallation mit dem Shop gelöscht |
Die Bestelladresse wird nur gelesen, um das Zielland zu bestimmen; gespeichert wird nur der Ländercode. Heruntergeladene Dateien werden auf Anforderung erzeugt und nicht gespeichert.
Art. 6 Abs. 1 lit. b DSGVO (Vertrag mit dem Händler). Soweit personenbezogene Daten von Endkunden betroffen sind, ist der Händler Verantwortlicher und wir sind Auftragsverarbeiter (Art. 28 DSGVO); ergänzend gelten Shopifys Datenverarbeitungsbedingungen für Apps.
Die App läuft bei Railway in der EU (Rechenzentrum Niederlande; Server und PostgreSQL-Datenbank). Server-Fehlerberichte werden uns per E-Mail (Resend) ohne Shop- oder Kundenbezug zugestellt. Wechselkurse werden bei der Europäischen Zentralbank abgerufen; dabei werden keine Shop-Daten übermittelt. Weitere Empfänger gibt es nicht; keine Analyse-, Werbe- oder Tracking-Dienste.
Bei Deinstallation wird die Sitzung sofort gelöscht; 48 Stunden später sendet Shopify shop/redact, und alle Daten des
Shops werden gelöscht. Kundenanfragen (customers/data_request, customers/redact) werden bestätigt – es gibt nichts
herauszugeben oder zu löschen, weil keine Kundendaten gespeichert werden.
Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch nach Art. 15–21 DSGVO; Beschwerderecht bei einer Aufsichtsbehörde. Anfragen an die oben genannte Adresse.