Datenschutzerklärung für die Fragfix-App für Shopify
1. Verantwortlicher und Geltungsbereich
Markus Künning, Einzelunternehmer (Fragfix)
Zoppoter Straße 1, 27576 Bremerhaven, Deutschland
E-Mail: konto@frag-fix.de · Telefon: 0176 23534909 · weitere Angaben im Impressum (frag-fix.de/impressum)
Diese Datenschutzerklärung gilt für die App „Fragfix: KI-Kundenchat“ für Shopify (nachfolgend „App“). Für die Website frag-fix.de und die direkte Nutzung von Fragfix gilt die allgemeine Datenschutzerklärung unter frag-fix.de/datenschutz.
2. Wer ist wofür verantwortlich?
- Daten der Händler, die die App installieren (Shop, Einstellungen, Dokumente, E-Mails an den Händler): Hier ist Fragfix Verantwortlicher. Dazu die Ziffern 3 und 4.
- Daten der Besucher im Shop, die den Chat nutzen: Hier ist der jeweilige Händler Verantwortlicher; Fragfix verarbeitet diese Daten nur in seinem Auftrag (Art. 28 DSGVO) nach dem Auftragsverarbeitungsvertrag (frag-fix.de/shop-app/dpa). Zur Transparenz beschreibt Ziffer 5 trotzdem, was dabei passiert. Besucher wenden sich mit Fragen und Anliegen zu ihren Chat-Daten bitte an den jeweiligen Shop; Fragfix unterstützt den Händler dabei.
3. Daten der Händler
| Daten | Zweck | Rechtsgrundlage | Speicherdauer |
|---|---|---|---|
| Shop-Adresse (…myshopify.com), Shop-Kennung, Shopname, Sprache, E-Mail-Adresse des Shops (von Shopify bei der Installation übermittelt) | Einrichtung und Betrieb der App, Benachrichtigungen | Art. 6 Abs. 1 lit. b DSGVO | bis zur Löschung nach Deinstallation (Ziffer 6) |
| Zugriffsschlüssel von Shopify für den Shop, verschlüsselt (AES-256-GCM) | Abruf der Produkt- und Richtliniendaten mit den Berechtigungen read_products und unauthenticated_read_product_listings | Art. 6 Abs. 1 lit. b DSGVO | bis zur Deinstallation |
| Zeitpunkt und Version der Zustimmung zu Nutzungsbedingungen und AVV | Nachweis des Vertragsschlusses | Art. 6 Abs. 1 lit. b, f DSGVO | Vertragslaufzeit |
| Tarif, Zahlungsrhythmus, Ende der Testphase, Status des Abos (von Shopify abgerufen) | Freischaltung und Kontingent | Art. 6 Abs. 1 lit. b DSGVO | Vertragslaufzeit |
| Einstellungen des Assistenten (Name, Begrüßung, Tonalität, Sprache, Zusatzhinweise, Kontakt-E-Mail), hochgeladene Dokumente und deren Embeddings, Nutzungszahlen | Erbringung der Leistung | Art. 6 Abs. 1 lit. b DSGVO | bis der Händler sie löscht bzw. bis zur Löschung nach Deinstallation |
| Inhalt von E-Mails an den Support | Bearbeitung der Anfrage | Art. 6 Abs. 1 lit. b, f DSGVO | bis zur Erledigung, soweit keine Aufbewahrungspflicht besteht |
Zahlungsdaten erhält Fragfix nicht. Die Abrechnung läuft vollständig über Shopify; Fragfix sieht nur, welcher Tarif aktiv ist.
Die App im Shopify-Admin setzt keine eigenen Cookies und speichert nichts im Browser; die Anmeldung erfolgt über die Sitzungstoken von Shopify.
4. E-Mails und Server-Protokolle
E-Mails an den Händler (z. B. Hinweis bei 80 % des Monatskontingents, Ergebnis einer Auskunftsanfrage nach Ziffer 6) versendet Fragfix über Resend Inc. (USA). Dabei werden Absender- und Empfängeradresse, Betreff und Inhalt übermittelt. Resend speichert Inhalt und Zustelldaten 30 Tage. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Werbe-E-Mails versendet Fragfix nicht.
Server-Protokolle: Bei jedem Aufruf der App und jeder Chat-Anfrage speichert der Server technische Zugriffsdaten (u. a. Zeitpunkt, aufgerufene Adresse, IP-Adresse, Browser-Kennung). Zweck ist die IT-Sicherheit und Fehleranalyse (Art. 6 Abs. 1 lit. f DSGVO). Die Protokolle werden nach 30 Tagen automatisch gelöscht.
5. Chat im Shop (im Auftrag des Händlers)
- Was gespeichert wird: Inhalt der Chat-Nachrichten, gekürzte IP-Adresse (letzter Teil durch 0 ersetzt) je Gespräch, bei Bewertung einer Antwort mit 👍/👎 zusätzlich Frage, Antwort und Bewertung ohne Bezug zum Gespräch.
- Wie lange: Chatverläufe und Bewertungen werden nach 30 Tagen automatisch gelöscht.
- Im Browser des Besuchers: Das Chat-Widget speichert eine Sitzungs-ID und die letzten Nachrichten im Sitzungsspeicher (Session Storage), damit das Gespräch beim Seitenwechsel erhalten bleibt. Der Speicher verfällt nach spätestens 30 Minuten Inaktivität oder beim Schließen des Tabs. Cookies setzt das Widget nicht.
- Was nicht verarbeitet wird: Kundenkonten, Namen oder E-Mail-Adressen aus Shopify, Bestell- und Zahlungsdaten. Die Kennung eines angemeldeten Shop-Kunden, die Shopify technisch mitsendet, wird verworfen.
- Produktdaten von Shopify: Für Antworten zu Produkten, Preisen, Verfügbarkeit und Richtlinien ruft Fragfix die öffentlichen Shop-Daten bei Shopify ab. Dabei werden die IP-Adresse des Besuchers und das im Shop gewählte Land an Shopify übermittelt; Shopify verlangt das, um Missbrauch und automatisierte Zugriffe zu erkennen, und liefert so die Preise des richtigen Markts. Die IP-Adresse stammt selbst von Shopify und wird von Fragfix dafür nicht gespeichert (Art. 6 Abs. 1 lit. f DSGVO, im Auftrag des Händlers).
- KI-Kennzeichnung: Jede Unterhaltung wird als Unterhaltung mit einer KI gekennzeichnet.
- Google Gemini: Für die Antworten wird die Nachricht mit dem bisherigen Gesprächsverlauf (bis zu 8 Nachrichten), passenden Ausschnitten aus den Dokumenten des Händlers und öffentlichen Produktdaten des Shops an die Gemini API von Google (USA) übermittelt – nicht aber IP-Adresse, Sitzungs-ID oder Cookies. Fragfix nutzt das kostenpflichtige Modell; die Daten werden nach den Google-Bedingungen nicht zum Training verwendet. Google speichert Anfragen und Antworten jedoch bis zu 55 Tage zur Erkennung von Missbrauch (ai.google.dev/gemini-api/docs/usage-policies).
6. Deinstallation und Datenschutz-Anfragen über Shopify
- Deinstallation: Der Assistent wird sofort gesperrt. Bei erneuter Installation innerhalb von 48 Stunden bleibt alles erhalten. Danach fordert Shopify Fragfix zur Löschung auf, und Fragfix löscht alle Daten des Shops (Ziffer 3 und 5).
- Auskunft über einen Shop-Kunden (von Shopify übermittelt, wenn ein Kunde beim Händler Auskunft verlangt): Fragfix sucht die gespeicherten Chat-Daten und sendet das Ergebnis per E-Mail an den Händler.
- Löschung für einen Shop-Kunden: Fragfix löscht die betroffenen Gespräche und Bewertungen vollständig.
- Protokoll: Zum Nachweis speichert Fragfix Art, Shop-Adresse, Zeitpunkte und Ergebnis dieser Anfragen – ohne Inhalte und ohne Daten der Kunden – für drei Jahre (Art. 6 Abs. 1 lit. c, f DSGVO).
- Sicherungskopien: Gelöschte Daten können noch bis zu 14 Tage in Backups enthalten sein, die nur der Wiederherstellung nach einem Ausfall dienen.
7. Empfänger und Übermittlung in Drittländer
Auftragsverarbeiter von Fragfix:
- Netcup GmbH, Nürnberg – Hosting, Serverstandort Deutschland bzw. Österreich (EU).
- Google Ireland Limited / Google LLC (USA) – KI-Modell (Gemini API). Übermittlung in die USA auf Grundlage des EU-US Data Privacy Framework (Zertifizierung von Google LLC) und ergänzender EU-Standardvertragsklauseln.
- Resend Inc. (USA) – E-Mail-Versand. Übermittlung in die USA auf Grundlage des EU-US Data Privacy Framework und ergänzender EU-Standardvertragsklauseln.
Shopify betreibt die Plattform, über die der Händler die App installiert, abrechnet und über die die Chat-Anfragen den Server erreichen. Shopify handelt dabei auf Grundlage des Vertrags mit dem Händler und nach eigener Datenschutzerklärung (shopify.com/legal/privacy); Fragfix gibt keine Daten zu eigenen Zwecken an Shopify weiter.
Die Server von Fragfix stehen in der EU. Weil Chat-Inhalte für die Antworten an Google in den USA übermittelt werden, verbleiben diese Daten nicht ausschließlich in der EU.
8. Deine Rechte
Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch, insbesondere gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21). Eine formlose E-Mail an konto@frag-fix.de genügt. Als Besucher eines Shops wende dich für Chat-Daten bitte zuerst an den Shop (Ziffer 2).
Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Zuständig für Fragfix ist: Der Landesbeauftragte für Datenschutz und Informationsfreiheit der Freien Hansestadt Bremen, Georgstraße 122–124, 27570 Bremerhaven, office@datenschutz.bremen.de, Telefon 0421 361 2010.
9. Textbaustein für deine Datenschutzerklärung (für Händler)
Als Händler musst du deine Shop-Besucher über den Chat informieren (AVV Ziffer 7). Du kannst diesen Absatz in deine Datenschutzerklärung übernehmen und an deinen Shop anpassen:
Chat-Assistent (Fragfix)
In unserem Shop kannst du Fragen an einen KI-Chat-Assistenten stellen. Anbieter ist Markus Künning (Fragfix), Zoppoter Straße 1, 27576 Bremerhaven, Deutschland, der die Daten in unserem Auftrag verarbeitet (Auftragsverarbeitung nach Art. 28 DSGVO). Verarbeitet werden der Inhalt deiner Nachrichten und eine gekürzte IP-Adresse; bewertest du eine Antwort, zusätzlich Frage, Antwort und Bewertung. Die Daten werden nach 30 Tagen automatisch gelöscht. Für Produktauskünfte werden deine IP-Adresse und dein im Shop gewähltes Land an Shopify übermittelt, das damit Missbrauch erkennt und die für dich gültigen Preise liefert. Für die Antworten werden deine Nachricht und der bisherige Gesprächsverlauf an die Gemini API von Google (USA) übermittelt; die Übermittlung erfolgt auf Grundlage des EU-US Data Privacy Framework und von EU-Standardvertragsklauseln. Google verwendet die Daten nicht zum Training, speichert sie aber bis zu 55 Tage zur Missbrauchserkennung. Damit das Gespräch beim Seitenwechsel erhalten bleibt, speichert der Chat die letzten Nachrichten im Sitzungsspeicher deines Browsers; er wird beim Schließen des Tabs gelöscht. Rechtsgrundlage ist unser berechtigtes Interesse an einer schnellen Beantwortung von Kundenfragen (Art. 6 Abs. 1 lit. f DSGVO) bzw. die Anbahnung oder Durchführung eines Vertrags mit dir (Art. 6 Abs. 1 lit. b DSGVO). Bitte gib im Chat keine sensiblen Daten wie Zahlungs- oder Gesundheitsdaten an.
Hinweis: Der Baustein ersetzt keine Rechtsberatung. Prüfe, ob er zu deinem Shop und deiner übrigen Datenschutzerklärung passt.
10. Änderungen
Fragfix passt diese Datenschutzerklärung an, wenn sich die App oder die Rechtslage ändert. Maßgeblich ist die jeweils hier veröffentlichte Fassung; wesentliche Änderungen, die den AVV betreffen, werden Händlern in der App zur Zustimmung vorgelegt.
Privacy Policy for the Fragfix App for Shopify
This is an English translation. In case of any discrepancy, the German version shall prevail.
1. Controller and scope
Markus Künning, sole proprietor (Fragfix)
Zoppoter Straße 1, 27576 Bremerhaven, Germany
Email: konto@frag-fix.de · Phone: +49 176 23534909 · further details in the legal notice (frag-fix.de/impressum)
This privacy policy applies to the app "Fragfix: KI-Kundenchat" for Shopify (the "App"). The general privacy policy at frag-fix.de/datenschutz applies to the website frag-fix.de and to the direct use of Fragfix.
2. Who is responsible for what?
- Data of merchants who install the App (store, settings, documents, emails to the merchant): here, Fragfix is the controller. See Sections 3 and 4.
- Data of store visitors who use the chat: here, the respective merchant is the controller; Fragfix processes this data only on the merchant's behalf (Art. 28 GDPR) under the Data Processing Agreement (frag-fix.de/shop-app/dpa). For transparency, Section 5 nevertheless describes what happens. Visitors should contact the respective store with questions and requests regarding their chat data; Fragfix supports the merchant with this.
3. Merchant data
| Data | Purpose | Legal basis | Retention |
|---|---|---|---|
| Store address (…myshopify.com), store ID, store name, language, store email address (provided by Shopify on installation) | Setting up and operating the App, notifications | Art. 6(1)(b) GDPR | until deletion after uninstallation (Section 6) |
| Shopify access key for the store, encrypted (AES-256-GCM) | Retrieving product and policy data with the read_products and unauthenticated_read_product_listings permissions | Art. 6(1)(b) GDPR | until uninstallation |
| Time and version of acceptance of the Terms of Use and DPA | Proof of contract conclusion | Art. 6(1)(b), (f) GDPR | term of the contract |
| Plan, billing interval, end of trial, subscription status (retrieved from Shopify) | Activation and allowance | Art. 6(1)(b) GDPR | term of the contract |
| Assistant settings (name, greeting, tone, language, additional notes, contact email), uploaded documents and their embeddings, usage figures | Provision of the service | Art. 6(1)(b) GDPR | until the merchant deletes them or until deletion after uninstallation |
| Content of emails to support | Handling the request | Art. 6(1)(b), (f) GDPR | until resolved, unless a retention obligation applies |
Fragfix does not receive payment data. Billing is handled entirely through Shopify; Fragfix only sees which plan is active.
The App in the Shopify admin sets no cookies of its own and stores nothing in the browser; sign-in uses Shopify's session tokens.
4. Emails and server logs
Fragfix sends emails to the merchant (e.g. notice at 80% of the monthly allowance, result of an access request under Section 6) via Resend Inc. (USA). Sender and recipient address, subject and content are transmitted. Resend stores content and delivery data for 30 days. Legal basis: Art. 6(1)(b) GDPR. Fragfix does not send marketing emails.
Server logs: with every access to the App and every chat request, the server stores technical access data (including time, requested address, IP address, browser identifier). The purpose is IT security and error analysis (Art. 6(1)(f) GDPR). The logs are deleted automatically after 30 days.
5. Chat in the store (on behalf of the merchant)
- What is stored: content of chat messages, truncated IP address (last part replaced with 0) per conversation; if an answer is rated with 👍/👎, additionally the question, answer and rating without reference to the conversation.
- For how long: conversations and ratings are deleted automatically after 30 days.
- In the visitor's browser: the chat widget stores a session ID and the latest messages in session storage so that the conversation is kept when changing pages. This storage expires after at most 30 minutes of inactivity or when the tab is closed. The widget does not set cookies.
- What is not processed: customer accounts, names or email addresses from Shopify, order and payment data. The identifier of a logged-in store customer that Shopify technically sends along is discarded.
- Product data from Shopify: to answer questions about products, prices, availability and policies, Fragfix retrieves the store's public data from Shopify. In doing so, the visitor's IP address and the country selected in the store are transmitted to Shopify; Shopify requires this to detect abuse and automated access and returns the prices of the right market. The IP address itself originates from Shopify and is not stored by Fragfix for this purpose (Art. 6(1)(f) GDPR, on behalf of the merchant).
- AI disclosure: every conversation is labeled as a conversation with an AI.
- Google Gemini: to generate answers, the message together with the previous conversation (up to 8 messages), relevant excerpts from the merchant's documents and public product data of the store is transmitted to the Gemini API of Google (USA) – but not the IP address, session ID or cookies. Fragfix uses the paid tier; according to Google's terms, the data is not used for training. However, Google retains requests and answers for up to 55 days to detect abuse (ai.google.dev/gemini-api/docs/usage-policies).
6. Uninstallation and data protection requests via Shopify
- Uninstallation: the assistant is locked immediately. If the App is reinstalled within 48 hours, everything is retained. After that, Shopify requests Fragfix to delete the data, and Fragfix deletes all data of the store (Sections 3 and 5).
- Access request for a store customer (sent by Shopify when a customer requests access from the merchant): Fragfix searches the stored chat data and sends the result by email to the merchant.
- Erasure for a store customer: Fragfix deletes the affected conversations and ratings entirely.
- Log: as proof, Fragfix stores the type, store address, times and result of these requests – without content and without customer data – for three years (Art. 6(1)(c), (f) GDPR).
- Backups: deleted data may remain for up to 14 days in backups, which serve only to restore data after an outage.
7. Recipients and transfers to third countries
Processors of Fragfix:
- Netcup GmbH, Nuremberg – hosting, server location Germany or Austria (EU).
- Google Ireland Limited / Google LLC (USA) – AI model (Gemini API). Transfer to the USA based on the EU-U.S. Data Privacy Framework (certification of Google LLC) and supplementary EU Standard Contractual Clauses.
- Resend Inc. (USA) – email delivery. Transfer to the USA based on the EU-U.S. Data Privacy Framework and supplementary EU Standard Contractual Clauses.
Shopify operates the platform through which the merchant installs and pays for the App and through which chat requests reach the server. Shopify acts on the basis of its contract with the merchant and under its own privacy policy (shopify.com/legal/privacy); Fragfix does not pass any data to Shopify for its own purposes.
Fragfix's servers are located in the EU. Because chat content is transmitted to Google in the USA to generate answers, this data does not remain exclusively in the EU.
8. Your rights
You have the right of access (Art. 15 GDPR), rectification (Art. 16), erasure (Art. 17), restriction of processing (Art. 18), data portability (Art. 20) and objection, in particular to processing based on Art. 6(1)(f) GDPR (Art. 21). An informal email to konto@frag-fix.de is sufficient. As a store visitor, please contact the store first regarding chat data (Section 2).
You also have the right to lodge a complaint with a data protection supervisory authority (Art. 77 GDPR). The authority responsible for Fragfix is: Der Landesbeauftragte für Datenschutz und Informationsfreiheit der Freien Hansestadt Bremen, Georgstraße 122–124, 27570 Bremerhaven, Germany, office@datenschutz.bremen.de, phone +49 421 361 2010.
9. Template text for your privacy policy (for merchants)
As a merchant, you must inform your store visitors about the chat (DPA Section 7). You can copy this paragraph into your privacy policy and adapt it to your store:
Chat assistant (Fragfix)
In our store, you can ask questions to an AI chat assistant. It is provided by Markus Künning (Fragfix), Zoppoter Straße 1, 27576 Bremerhaven, Germany, who processes the data on our behalf (data processing under Art. 28 GDPR). We process the content of your messages and a truncated IP address; if you rate an answer, also the question, answer and rating. The data is deleted automatically after 30 days. For product information, your IP address and the country selected in the store are transmitted to Shopify, which uses them to detect abuse and to show the prices valid for you. To generate answers, your message and the previous conversation are transmitted to the Gemini API of Google (USA); the transfer is based on the EU-U.S. Data Privacy Framework and EU Standard Contractual Clauses. Google does not use the data for training but retains it for up to 55 days to detect abuse. So that the conversation is kept when you change pages, the chat stores the latest messages in your browser's session storage; it is deleted when you close the tab. The legal basis is our legitimate interest in answering customer questions quickly (Art. 6(1)(f) GDPR) or the initiation or performance of a contract with you (Art. 6(1)(b) GDPR). Please do not enter sensitive data such as payment or health data in the chat.
Note: this template does not replace legal advice. Please check whether it fits your store and the rest of your privacy policy.
10. Changes
Fragfix updates this privacy policy when the App or the legal situation changes. The version published here applies; material changes affecting the DPA are presented to merchants in the App for acceptance.