Datenschutzerklärung — GoTranslate (Shopify-App)

Stand: 23. August 2026
Fassung: 1.0
Gilt für: die Shopify-App „GoTranslate" (nachfolgend „die App") und die unter app.gotranslate.app bereitgestellten Seiten der App, einschließlich dieser Rechtstexte.

Für eigenständige Marketing- oder Informationsseiten unter gotranslate.app gilt die dort veröffentlichte Datenschutzerklärung.

Diese Datenschutzerklärung ist die führende Sprachfassung. Die englische Fassung unter https://app.gotranslate.app/privacy?lang=en ist eine Übersetzung; bei Abweichungen geht die deutsche Fassung vor.

1. Verantwortlicher

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO für die in dieser Erklärung beschriebenen Verarbeitungen ist:

1.1 Datenschutzbeauftragter

Ein Datenschutzbeauftragter ist nicht benannt. Eine Benennungspflicht nach Art. 37 DSGVO und § 38 BDSG besteht nicht: Beim Verantwortlichen sind nicht in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt, die Kerntätigkeit besteht nicht in einer umfangreichen regelmäßigen und systematischen Überwachung betroffener Personen, und es werden keine besonderen Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO umfangreich verarbeitet.

Anfragen zum Datenschutz und zur Ausübung der in Abschnitt 10 genannten Betroffenenrechte richten Sie bitte an support@gotranslate.app.

1.2 Zwei Rollen — bitte beachten

Der Verantwortliche tritt gegenüber Nutzern der App in zwei verschiedenen datenschutzrechtlichen Rollen auf. Die Unterscheidung ist für das Verständnis dieser Erklärung wesentlich:

2. Was die App tut

GoTranslate ist eine Shopify-App, die Shop-Inhalte automatisiert in weitere im Shop eingerichtete Sprachen übersetzt. Der Ablauf ist:

1. Der Händler installiert die App über den Shopify App Store und erteilt dabei die in Abschnitt 4 genannten Berechtigungen.
2. Die App liest über die Shopify Admin API die übersetzbaren Inhalte des Shops sowie die eingerichteten Sprachen aus.
3. Der Händler wählt Zielsprachen und Inhaltsbereiche aus.
4. Die App sendet die Quelltexte an den Übersetzungsdienst (siehe Abschnitt 6) und schreibt die Ergebnisse über die Shopify Admin API als Übersetzungen in den Shop zurück.
5. Quelltexte und Übersetzungen werden in der Datenbank der App gespeichert, damit Änderungen erkannt, Wiederholungen vermieden und die Nutzung abgerechnet werden kann.

Die App verarbeitet Shop-Inhalte, nicht die Daten der Kundinnen und Kunden des Shops. Siehe hierzu ausdrücklich Abschnitt 5.

3. Welche Daten verarbeitet werden

Die folgende Tabelle listet alle Datenarten, die die App in ihrer eigenen Datenbank speichert.

Hinweis zum Personenbezug der Shop-Inhalte: Shop-Inhalte sind zunächst Sachdaten (Produktbeschreibungen, Seitentexte, Menüpunkte). Ein Personenbezug entsteht ausschließlich dann, wenn der Händler selbst personenbezogene Angaben in Shop-Inhalte schreibt — beispielsweise Namen von Ansprechpartnern in einer Über-uns-Seite, Fotografennamen in Produktbeschreibungen oder Kontaktangaben in Rechtstexten. Für diese Fälle gilt die Auftragsverarbeitung nach Art. 28 DSGVO (siehe Abschnitt 11).

4. Angeforderte Berechtigungen (Scopes)

Die App fordert bei der Installation ausschließlich die folgenden Berechtigungen an. Der Umfang folgt dem Grundsatz der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO): angefordert wird nur, was für die Übersetzungsleistung erforderlich ist.

Nicht angefordert werden insbesondere read_customers, read_orders, read_all_orders, read_draft_orders sowie sämtliche Berechtigungen auf Zahlungs- und Versanddaten einzelner Bestellungen.

5. Keine Kundendaten des Shops

Die App verarbeitet keine personenbezogenen Kundendaten des Shops.

Dies ist keine Absichtserklärung, sondern technisch abgesichert:

1. Keine Berechtigung. Die App fordert keinen Zugriff auf geschützte Kundendaten an. Sie hat keinen Zugriff auf Kundenkonten, Bestellungen, Zahlungsdaten, Liefer- oder Rechnungsanschriften, Warenkörbe oder Checkout-Vorgänge.
2. Aktives Überspringen geschützter Objekte. Beim Auslesen von Metafeldern liefert die Shopify-API auch Metafelder zurück, die zu geschützten Objekten gehören. Solche Einträge werden von der App erkannt und übersprungen; ihre Inhalte werden weder gelesen noch gespeichert noch an den Übersetzungsdienst übermittelt.
3. Kein Storefront-Zugriff. Die App wird ausschließlich im Shopify-Admin ausgeführt. Sie bindet kein Skript in die Storefront ein, setzt dort keine Cookies und erhebt keine Daten von Besucherinnen und Besuchern des Shops.
4. Nachweis über die Pflicht-Webhooks. Die von Shopify vorgeschriebenen Webhooks customers/data_request und customers/redact sind implementiert und werden protokolliert beantwortet. Da keine Kundendaten vorliegen, gibt es auf eine Auskunftsanfrage nichts herauszugeben und auf eine Löschanfrage nichts zu löschen. Der Empfang und die Bearbeitung werden dokumentiert.

Die einzige Ausnahme betrifft Angaben, die der Händler selbst in Shop-Texte schreibt (siehe Hinweis am Ende von Abschnitt 3). Über diese Inhalte entscheidet allein der Händler.

5.1 Einstufung nach den Shopify-Anforderungen

Shopify stuft Apps danach ein, in welchem Umfang sie auf geschützte Kundendaten zugreifen. Nach der Einschätzung des Anbieters erfüllt die App die Stufe Level 0 (kein Zugriff auf geschützte Kundendaten) und benötigt daher keine gesonderte Freigabe für geschützte Kundendatenfelder.

Verschlüsselung.

5.2 Keine Verwendung zum Training von KI-Modellen

Der Anbieter verwendet die Inhalte des Händlers nicht zum Erstellen, Trainieren, Feinabstimmen oder Verbessern eigener Modelle der künstlichen Intelligenz und gibt sie nicht zu diesem Zweck an Dritte weiter. Dies entspricht zugleich den Vorgaben des Shopify-Partnerprogramms und der Shopify-API-Bedingungen, die eine solche Verwendung ohne vorherige schriftliche Zustimmung untersagen. Zur Übermittlung an den Übersetzungsdienst siehe Abschnitt 6.

6. Übermittlung an den Übersetzungsdienst

Dieser Abschnitt beschreibt den datenschutzrechtlich empfindlichsten Vorgang der App: die Übermittlung von Shop-Texten an einen externen Maschinenübersetzungsdienst.

6.1 Was übermittelt wird

Übermittelt werden ausschließlich die zu übersetzenden Quelltexte selbst, zusammen mit der Ausgangs- und Zielsprache sowie — sofern der Händler ein Glossar angelegt hat — den betreffenden Glossareinträgen. Nicht übermittelt werden die Shop-Domain, das Zugriffstoken, Nutzungs- und Abrechnungsdaten oder sonstige Angaben, die eine Zuordnung zu einem bestimmten Shop erlauben würden.

Konsequenz für den Händler: Alles, was der Händler als Shop-Text pflegt, kann an den Übersetzungsdienst übermittelt werden, sofern der betreffende Inhaltstyp zur Übersetzung ausgewählt ist. Enthalten diese Texte personenbezogene Angaben, werden auch diese übermittelt. Der Händler kann die Auswahl der zu übersetzenden Inhaltstypen und Felder in den Einstellungen der App einschränken.

6.2 Wer der Empfänger ist

Die App ruft die Schnittstelle serverseitig auf. Zwischen dem Endgerät des Händlers und dem Übersetzungsdienst besteht keine direkte Verbindung.

6.3 Auftragsverarbeitung, Speicherdauer und Verarbeitungsort

Der Anbieter des Übersetzungsdienstes stellt einen öffentlichen Auftragsverarbeitungsvertrag bereit, in dem er als Auftragsverarbeiter seines Kunden auftritt.

Nach den öffentlich einsehbaren Angaben des Anbieters werden Anfragen und Antworten der Standardschnittstellen zu Zwecken der Missbrauchserkennung für einen rollierenden Zeitraum von 30 Tagen gespeichert, sofern nicht eine Betriebsart ohne Datenspeicherung („zero data retention") aktiviert ist.

Ein bestimmter Serverstandort ist nicht öffentlich zugesichert; die Datenschutzerklärung des Anbieters formuliert eine bevorzugte Auswahl von Anbietern innerhalb der Europäischen Union und lässt Übermittlungen in Drittländer auf Grundlage der Standardvertragsklauseln zu (siehe Abschnitt 8.2).

6.4 Maschinelle Übersetzung — Hinweis zur Qualität

Die Übersetzungen werden vollautomatisch von einem Sprachmodell erzeugt. Eine menschliche Prüfung findet nicht statt. Die Ergebnisse können inhaltlich falsch, missverständlich oder unvollständig sein. Für rechtlich relevante Texte — insbesondere die eigenen Datenschutz-, Widerrufs-, Versand- und Rückgabebestimmungen des Shops — muss der Händler die erzeugten Übersetzungen vor der Veröffentlichung selbst prüfen. Näheres regeln die Nutzungsbedingungen.

Es findet keine automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO statt. Die App trifft keine Entscheidungen mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung gegenüber natürlichen Personen; sie übersetzt ausschließlich Texte. Eine Information nach Art. 13 Abs. 2 lit. f DSGVO über die Logik einer automatisierten Entscheidungsfindung ist daher nicht veranlasst.

7. Speicherdauer und Löschung

7.1 Deinstallation der App

Bei Empfang des Shopify-Webhooks app/uninstalled werden die Sitzungsdaten des Shops gelöscht und der Shop als deinstalliert markiert. Die übrigen Shop-Daten — einschließlich des verschlüsselt gespeicherten Zugriffstokens — bleiben zunächst erhalten, damit eine Neuinstallation innerhalb der von Shopify vorgesehenen Frist nicht mit einem vollständigen Neuaufbau beginnen muss. Das Zugriffstoken wird von Shopify mit der Deinstallation entwertet und ist damit funktionslos; es wird mit dem Shop-Datensatz bei shop/redact gelöscht.

7.2 Löschanforderung (shop/redact)

Shopify sendet den Webhook shop/redact nach eigenen Angaben 48 Stunden nach der Deinstallation der App. Bei Empfang dieses Webhooks löscht die App sämtliche Daten des betroffenen Shops aus ihrer Datenbank. Die Löschung erfolgt kaskadierend über alle Tabellen und umfasst insbesondere:

• den Shop-Datensatz einschließlich des verschlüsselten Zugriffstokens,
• alle gespeicherten Quelltexte und Übersetzungen,
• den Übersetzungs-Cache des Shops,
• alle Einstellungen, Glossare und Auswahllisten,
• alle Job-, Analyse- und Fortschrittsprotokolle,
• alle Nutzungsaufzeichnungen,
• alle Sitzungsdaten.

Erhalten bleibt ausschließlich der Nachweis über den Empfang und die Bearbeitung der Webhooks selbst. Dieser Nachweis enthält keine Shop-Inhalte und dient der Erfüllung der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO.

7.3 Übersetzungs-Cache

Einträge im Übersetzungs-Cache werden automatisch gelöscht, wenn sie zwölf Monate lang nicht verwendet wurden. Die Löschung läuft als nächtlicher Hintergrundprozess.

7.4 Abrechnungsrelevante Daten

Für abrechnungsrelevante Aufzeichnungen können handels- und steuerrechtliche Aufbewahrungspflichten bestehen, in Deutschland insbesondere nach §§ 147 AO und 257 HGB. Gesetzliche Aufbewahrungspflichten bleiben von den in den Abschnitten 7.1 bis 7.3 beschriebenen Löschungen unberührt. Die Rechnungsstellung selbst erfolgt durch Shopify.

8. Empfänger und Unterauftragsverarbeiter

8.1 Übersicht

Die vollständige und jeweils aktuelle Liste der Unterauftragsverarbeiter einschließlich der Anbieter-Websites findet sich in Teil B der Auftragsverarbeitungs-Vereinbarung unter https://app.gotranslate.app/dpa.

8.2 Drittlandbezug

Die App ist so ausgelegt, dass die eigentliche Verarbeitung der Shop-Inhalte innerhalb der Europäischen Union stattfindet: die Anwendung läuft in der Region Frankfurt (Deutschland), der Datenbestand liegt in der Region Irland (eu-west-1), und der Übersetzungsdienst ist ein französisches Unternehmen. Kurzform: EU-Datenraum — App-Server in Deutschland, Datenbank in Irland. Das beschreibt den Ort der Verarbeitung; es ist keine Zusicherung, dass sämtliche Verwaltungs-, Support- und Protokollfunktionen der eingesetzten Anbieter die EU nicht verlassen.

Der Support-Chat wird von Lovable Labs AB in Schweden betrieben, also innerhalb der Europäischen Union.

Zu den einzelnen Anbietern: Fly.io, Inc. hat seinen Sitz in den Vereinigten Staaten und gibt in seiner Datenschutzerklärung an, die von ihm erhobenen Informationen dort zu speichern und zu verarbeiten; der Anbieter ist unter dem EU-U.S. Data Privacy Framework zertifiziert. Vertragspartner bei Supabase ist eine Gesellschaft mit Sitz in Singapur, die Konzernmutter sitzt in den Vereinigten Staaten; der Auftragsverarbeitungsvertrag des Anbieters bindet die Standardvertragsklauseln ein. Mistral AI hat seinen Sitz in Frankreich; der Auftragsverarbeitungsvertrag des Anbieters lässt Übermittlungen in Drittländer auf Grundlage der Standardvertragsklauseln zu.

8.3 Weitere Empfänger

Eine Übermittlung an staatliche Stellen erfolgt nur, soweit dazu eine gesetzliche Verpflichtung besteht.

9. Sicherheit der Verarbeitung

Der Anbieter trifft die folgenden technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO:

10. Rechte der betroffenen Personen

Betroffene Personen haben nach der DSGVO die folgenden Rechte:

Zuständige Aufsichtsbehörde des Verantwortlichen: Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Promenade 27, 91522 Ansbach, Deutschland — https://www.lda.bayern.de

10.1 An wen sich betroffene Personen wenden

Die Zuständigkeit richtet sich nach der in Abschnitt 1.2 beschriebenen Rollenverteilung:

• Betrifft die Anfrage Shop-Inhalte — also Daten, die in Produkttexten, Seiten oder anderen Shop-Inhalten stehen —, ist der Händler der Verantwortliche. Anfragen sind an ihn zu richten. Der Anbieter unterstützt den Händler bei der Beantwortung im Rahmen der Auftragsverarbeitungsvereinbarung (Art. 28 Abs. 3 lit. e DSGVO) und wird die Daten auf dessen Weisung berichtigen oder löschen.
• Betrifft die Anfrage das Vertragsverhältnis zwischen Händler und Anbieter — etwa Nutzungs- und Abrechnungsdaten —, ist der Anbieter der Verantwortliche. Anfragen sind an support@gotranslate.app zu richten.

Anfragen werden unverzüglich, spätestens innerhalb eines Monats nach Eingang beantwortet (Art. 12 Abs. 3 DSGVO). Die Frist kann in begründeten Fällen um zwei weitere Monate verlängert werden; die betroffene Person wird darüber unterrichtet.

11. Auftragsverarbeitung

Soweit der Anbieter Shop-Inhalte im Auftrag des Händlers verarbeitet, gilt eine Auftragsverarbeitungsvereinbarung nach Art. 28 DSGVO. Sie regelt insbesondere Gegenstand und Dauer der Verarbeitung, die Weisungsbindung, die Vertraulichkeit, die technischen und organisatorischen Maßnahmen, die Einbindung von Unterauftragsverarbeitern, die Unterstützung des Händlers bei Betroffenenanfragen und bei Datenschutzverletzungen sowie die Löschung nach Vertragsende.

Die Vereinbarung ist abrufbar unter: https://app.gotranslate.app/dpa

Der Anbieter ist verpflichtet, den Händler über beabsichtigte Änderungen bei den Unterauftragsverarbeitern vorab zu informieren. Die Information erfolgt mindestens 30 Tage vor der Änderung; das Widerspruchsverfahren ist in § 6 der Auftragsverarbeitungsvereinbarung geregelt.

12. Verhältnis zu Shopify

Shopify ist eigener Vertragspartner des Händlers. Für die Verarbeitung personenbezogener Daten durch Shopify selbst — insbesondere Kundendaten, Bestellungen und Zahlungsvorgänge — gilt die Datenschutzerklärung von Shopify; der Anbieter hat darauf keinen Einfluss.

Die Abrechnung der App erfolgt vollständig über die Abrechnungsfunktion von Shopify. Der Anbieter erhält dabei keine Zahlungsdaten des Händlers; er erhält von Shopify lediglich den Status des Abonnements und die abgerechneten Beträge.

13. Kontakt

Für alle Fragen zum Datenschutz im Zusammenhang mit der App:

• E-Mail: support@gotranslate.app
• Postanschrift: AP10 Studios UG (haftungsbeschränkt), Peter-Henlein-Straße 13, 89312 Günzburg, Deutschland
• Verantwortlich für den Datenschutz: Andreas Paulheim (Geschäftsführer); ein Datenschutzbeauftragter ist nicht benannt (siehe Abschnitt 1.1)

14. Änderungen dieser Datenschutzerklärung

Der Anbieter passt diese Datenschutzerklärung an, wenn sich die Verarbeitung, die eingesetzten Dienste oder die Rechtslage ändern. Die jeweils geltende Fassung ist unter https://app.gotranslate.app/privacy abrufbar und mit einem Stand versehen.

Bei Änderungen, die die Rechte des Händlers oder betroffener Personen wesentlich berühren — insbesondere bei einem Wechsel des Übersetzungsdienstes oder des Hosting-Anbieters —, informiert der Anbieter den Händler vorab per E-Mail an die im Shopify-Konto hinterlegte Adresse oder durch einen Hinweis in der App.

Anhang A — Herangezogene Quellen

Alle Quellen wurden am 23. August 2026 abgerufen. Die Aufstellung dient der Nachvollziehbarkeit der in dieser Erklärung getroffenen Angaben.

Anforderungen von Shopify

Wesentliche Feststellungen: Die Datenschutzerklärung muss im App-Store-Eintrag verlinkt sein und muss ausdrücklich die Aufbewahrungsfristen sowie die geografischen Speicher- und Verarbeitungsorte benennen. Shopify stellt Partnern kein eigenes Auftragsverarbeitungs-Addendum bereit; der Abschluss eines eigenen Auftragsverarbeitungsvertrags mit dem Händler ist Sache des Anbieters.

DSGVO

Eingesetzte Dienstleister

Technische Grundlage

Die in den Abschnitten 3 bis 9 beschriebenen Verarbeitungen wurden anhand des Quellcodes und der Datenbankmigrationen der App verifiziert (Stand des Repositorys zum 23. August 2026), insbesondere anhand der Konfiguration der Berechtigungen und Webhooks, des Handlers für die Shopify-Pflicht-Webhooks, der Datenbankmigrationen einschließlich der Regeln zur Zugriffsbeschränkung und der Preislogik.

Stand: 23. August 2026 · Fassung: 1.0