DSGVO-Anfrage aus Shopify beantworten

Diese Aufgabe entsteht, wenn Shopify eine Datenschutzanfrage eines Kunden oder deines Shops an Rechnungskit weiterleitet. Unter Rechnungen im Tab „Zu prüfen“ heißt sie bei einer Auskunft „DSGVO-Auskunftsanfrage“, bei einer Löschung „DSGVO-Löschanfrage“. Auf dem Dashboard steht sie als „Aufgabe prüfen“, in der Aufgaben-Erinnerung per E-Mail als „DSGVO-Anfrage“.

Was passiert ist

Datenschutzanfragen, die in deinem Shop eingehen, schickt Shopify an jede verbundene App. Rechnungskit legt daraus eine Aufgabe an, wenn es etwas zu tun gibt:

• Bei einer Anfrage zu einem Kunden nur dann, wenn Rechnungskit zu dieser Person Bestellungen gespeichert hat. Sonst wird die Anfrage ohne Aufgabe quittiert.
• Bei einer Löschung des ganzen Shops nur dann, wenn die Shopify-Verbindung noch besteht.

Warum Rechnungskit hier anhält

Rechnungen darf Rechnungskit nicht löschen, auch nicht auf Wunsch des Kunden. Sie unterliegen der gesetzlichen Aufbewahrungspflicht von acht Jahren (§ 14b Abs. 1 UStG, § 147 Abs. 1 und 3 AO). Das Recht auf Löschung gilt nicht, soweit die Speicherung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist (Art. 17 Abs. 3 Buchst. b DSGVO).

Welche Antwort der betroffenen Person zusteht, entscheidest du als Verantwortlicher. Automatisch gelöscht oder anonymisiert wird deshalb nichts.

So löst du es

1. Öffne unter Rechnungen den Tab „Zu prüfen“. Die Karte nennt die Art der Anfrage, die E-Mail-Adresse der Person und, soweit bekannt, wie viele Bestellungen betroffen sind.
2. Bei einer Auskunftsanfrage klickst du „Datenauskunft herunterladen“. Rechnungskit erstellt eine ZIP-Datei mit allem, was es in diesem Projekt zu der Person speichert: Kundendaten, Bestellungen, Rechnungen und Stornos samt archivierten Originalen (ZUGFeRD-XML und Leseansicht), Rechnungsversand, Zahlungen, Checkout-Vorgänge, Widerrufe, Adressanfragen und Abos. Dazu kommt eine kurze Erklärung auf Deutsch und Englisch mit Zweck, Rechtsgrundlage, Herkunft, Speicherdauer und den Rechten der Person. Gefunden wird über die E-Mail-Adresse, die Shopify-Kundennummer und die Bestellungen aus der Anfrage. Daten anderer Kunden und interne Kennungen wie Zugangstokens sind nie enthalten. Gib die Datei innerhalb eines Monats an die Person weiter (Art. 12 Abs. 3 DSGVO). Shopify verlangt, dass die App dir die Daten innerhalb von 30 Tagen bereitstellt (Shopify-Vorgaben), mit dem Download ist das erfüllt.
3. Bei einer Löschanfrage klickst du „Kundendaten anonymisieren“. Die Bestätigung nennt, wie viele Bestellungen betroffen sind. Mit „Anonymisieren“ überschreibt Rechnungskit E-Mail sowie Rechnungs- und Lieferanschrift an diesen Bestellungen. Die archivierten Rechnungen bleiben unverändert. Das lässt sich nicht rückgängig machen. Danach sind Versand und Rechnungsversand an diese Person nicht mehr möglich.
4. Antworte der betroffenen Person selbst, bei einer Löschung mit dem Hinweis auf die Aufbewahrungspflicht der Rechnungen. Eine Antwort verschickt Rechnungskit nicht.
5. Bei einer Shop-Löschung prüfst du die Aufbewahrungspflichten und klickst „Als erledigt markieren“.

Wann die Aufgabe von selbst verschwindet

Mit dem Herunterladen der Datenauskunft schließt sich die Auskunftsaufgabe. Rechnungskit speichert dazu, wer sie wann heruntergeladen hat. Lädst du die Datei später noch einmal herunter, bleibt die Aufgabe geschlossen. Mit dem Anonymisieren schließt sich die Löschaufgabe. Sonst schließt du sie selbst mit „Als erledigt markieren“. All das geht nur mit einer Rolle, die Zahlungen zuordnen darf, mit reinem Lesezugriff nicht.

Verwandte Einstellungen

• Verbindungen → Connect: Shopify-Verbindung
• Vertrag zur Auftragsverarbeitung (AVV), im Konto digital abschließbar