Datenschutzerklärung, Codixio Product Downloads

Stand: 27. August 2026

1. Verantwortlicher

Verantwortlicher für die Datenverarbeitung im Sinne von Art. 4 Nr. 7 DSGVO ist:

Matthias Jakisch Hauptstr. 34, OT Etingen 39359 Oebisfelde-Weferlingen Deutschland

• Telefon: +49 39059 974988
• E-Mail (allgemein): support@codixio.com
• E-Mail (Datenschutz): legal@codixio.com

Rechtsform: Einzelunternehmen (keine Handelsregister-Eintragung), tätig unter der Handelsbezeichnung Codixio. Umsatzsteuer-Identifikationsnummer nach § 27a UStG: DE296346917. Steuerstatus: Kleinunternehmer nach § 19 UStG.

2. Datenschutzbeauftragter

Ein Datenschutzbeauftragter ist nicht bestellt. Begründung: Die Voraussetzungen nach Art. 37 Abs. 1 DSGVO und § 38 Abs. 1 BDSG liegen nicht vor. Codixio beschäftigt keine zehn Personen mit der ständigen Verarbeitung personenbezogener Daten, führt keine Kerntätigkeit mit umfangreichen Verarbeitungen besonderer Kategorien durch und überwacht betroffene Personen nicht systematisch im großen Umfang. Bei Fragen zum Datenschutz wenden Sie sich bitte an legal@codixio.com.

3. Geltungsbereich

Diese Datenschutzerklärung gilt für:

• die Shopware-App "Codixio Product Downloads" in allen Funktionen und Tarifen (Standard, Pro, Max, Enterprise)
• die Legal-Pages unter https://legal.codixio.com/ (diese Datenschutzerklärung, AVV, Impressum, AGB jeweils in Deutsch und Englisch)
• die App-Backend-Domain https://sw-codixioproductdownloadsapp.api.codixio.com/ einschließlich der App-Endpunkte und des Admin-Modul-Renderings

Abgrenzung zur Codixio-Marketing-Website: Die Marketing-Website https://codixio.com (und deren Sprachversionen) wird auf einer separaten Instanz betrieben. Diese unterliegt einer eigenen Datenschutzerklärung, die dort verlinkt ist.

Abgrenzung zu Shopware: Die Nutzung des Shopware-Shops, in den die App installiert wird, sowie des Shopware-Kontos des Händlers unterliegt den Datenschutzbestimmungen der Shopware AG (https://www.shopware.com/de/datenschutz/). Diese Datenschutzerklärung gilt nur für Daten, die durch Codixio im Rahmen der App-Nutzung verarbeitet werden.

4. Verarbeitete Datenkategorien

Die App ist nach dem Grundsatz der Datenminimierung gebaut. Kern der Architektur: Personenbezogene Daten von Endkunden werden ausschließlich innerhalb der Shopware-Instanz des Händlers ausgewertet und verlassen diese nicht. An das Codixio-Backend werden keine Endkunden-Daten übermittelt.

4.1. Daten von Endkunden, Verarbeitung ausschließlich im Shopware-Kontext

Für die Zugriffssteuerung auf Downloads wertet die App serverseitig innerhalb der Shopware-Instanz des Händlers folgende Daten aus:

• Anmeldestatus des Kunden (ist ein Kunde im Shop eingeloggt), für Downloads, die der Händler als "nur für angemeldete Kunden" markiert hat (Login-Gate, Tarif Max)
• Bestellhistorie des angemeldeten Kunden (Zuordnung Bestellposition zu Produkt), für Downloads, die der Händler als "nur nach Kauf" markiert hat (Kauf-Gate, Tarif Enterprise)
• Regel-Kontext des Shopware Rule Builders (welche Regeln im aktuellen Einkaufskontext erfüllt sind), für regelbasierte Sichtbarkeit von Downloads (Tarif Enterprise)

Personenbezug: ja. Diese Auswertung findet ausschließlich serverseitig in der Shopware-Umgebung des Händlers statt (Shopware App Scripts). Es erfolgt keine Übermittlung dieser Daten an Codixio, keine Speicherung auf Codixio-Systemen und keine Übermittlung an Dritte. Datenschutzrechtlich Verantwortlicher für diese Verarbeitung ist der Händler als Betreiber des Shops; die App stellt hierfür lediglich die technische Funktion innerhalb seiner Shopware-Instanz bereit.

4.2. Daten von Händlern (Shop-Betreibern)

Wenn ein Händler die App in seinem Shopware-Shop installiert, verarbeitet Codixio auf dem App-Backend folgende Daten:

• Shop-Domain und Shop-ID (technische Kennung der Shopware-Instanz, aus der App-Registrierung)
• Registrierungs- und Authentifizierungsdaten der App-Registrierung nach dem Shopware-App-System (Shop-Secret zur Signaturprüfung, verschlüsselt bzw. zugriffsgeschützt gespeichert)
• Aktiver Tarif (Standard, Pro, Max oder Enterprise) je Shop, ermittelt über die Shopware-In-App-Purchase-Schnittstelle
• Sprach-Einstellung (Locale) bei Aufrufen des Begrüßungs-Endpunkts
• Abrechnungsdaten: Diese verwaltet ausschließlich die Shopware AG über das Shopware-Konto des Händlers und die In-App-Purchase-Abwicklung des Shopware Stores. Codixio erhält nur signierte Kauf-Informationen zur Tarif-Ermittlung, keine Zahlungsmittel-Daten (Kreditkarte, IBAN).

Personenbezug: gering; betroffen sind allenfalls Einzelunternehmer-Händler, deren Shop-Domain auf die Person schließen lässt.

4.3. Aggregierte Nutzungsdaten (Download-Statistik, Tarife Max und Enterprise)

Bei aktivierter Statistik-Funktion sendet die Storefront des Händler-Shops bei einem Download-Klick folgende Daten an das App-Backend:

• Shop-ID, Download-ID, Produkt-ID

Das Backend führt daraus ausschließlich einen aggregierten Zähler je Download (Gesamtzahl der Klicks). Es werden keine Kundendaten, keine IP-Adressen im Anwendungsdatenbestand, keine Zeitprofile einzelner Personen und keine sonstigen personenbezogenen Merkmale gespeichert. Personenbezug: nein. Die Erfassung ist gegen Manipulation durch eine Shop-Kontext-Prüfung und eine Ratenbegrenzung geschützt; die Auswertung ist nur über signierte Anfragen aus dem Admin-Modul des jeweiligen Shops abrufbar.

4.4. Technische Daten

Beim Aufruf der Legal-Pages (legal.codixio.com) und des App-Backends (sw-codixioproductdownloadsapp.api.codixio.com) werden folgende technische Daten verarbeitet:

• Zugriffs-Logs am Reverse-Proxy (Coolify/Traefik): IP-Adresse (anonymisiert auf die ersten 3 Oktette bei IPv4 bzw. das 64-Bit-Subnetz bei IPv6 nach 7 Tagen), User-Agent, HTTP-Methode, URL, Response-Status, Zeitstempel
• App-seitige Fehler-Logs: Fehlermeldungen ohne personenbezogene Daten, Stack-Traces
• Sprachpräferenz beim Aufruf der Legal-Pages: der Accept-Language HTTP-Header wird ausgewertet, um die passende Sprachversion (DE oder EN) auszuspielen. Es werden keine Sprach-Cookies gesetzt, die Sprachwahl ist rein URL-basiert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der technischen Funktionssicherheit, Fehlerdiagnose, Missbrauchsabwehr).

5. Rechtsgrundlagen der Verarbeitung

5.1. Art. 6 Abs. 1 lit. b DSGVO, Vertragserfüllung

Die Verarbeitung der Händler-Daten (Shop-Domain, Shop-ID, Registrierungsdaten, aktiver Tarif) beruht auf dem zwischen Codixio und dem Händler bei App-Installation geschlossenen Nutzungsvertrag. Ohne diese Daten kann die App nicht bereitgestellt, der gebuchte Tarif nicht ermittelt und das Admin-Modul nicht ausgeliefert werden.

5.2. Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse

Technische Zugriffs-Logs, Ratenbegrenzung und Signaturprüfungen dienen der Funktionssicherheit und Missbrauchsabwehr (Schutz der Zähler-Integrität, Abwehr automatisierter Angriffe). Die aggregierte, personenbezugsfreie Download-Statistik dient dem berechtigten Interesse des Händlers an der Auswertung der Nutzung seiner eigenen Inhalte.

Interessenabwägung (Art. 6 Abs. 1 lit. f DSGVO, zweiter Halbsatz): Die Verarbeitung beschränkt sich auf technisch erforderliche Minimaldaten ohne dauerhaften Personenbezug (IP-Anonymisierung nach 7 Tagen, aggregierte Zähler ohne Personenmerkmale). Schutzwürdige gegenläufige Interessen betroffener Personen sind bei dieser Datenlage nicht überwiegend.

5.3. Verarbeitung im Shopware-Kontext (Verantwortlichkeit des Händlers)

Die Auswertung von Anmeldestatus, Bestellhistorie und Regel-Kontext (Abschnitt 4.1) erfolgt ausschließlich innerhalb der Shopware-Instanz des Händlers. Verantwortlicher hierfür ist der Händler; die Rechtsgrundlage ergibt sich aus seinem Verhältnis zu seinen Kunden (regelmäßig Art. 6 Abs. 1 lit. b DSGVO, Erfüllung des Nutzungs- bzw. Kaufvertrags einschließlich der zugesagten Download-Bereitstellung). Der Händler informiert seine Kunden hierüber in seiner eigenen Datenschutzerklärung.

6. Empfänger / Sub-Auftragsverarbeiter

6.1. Empfänger

Es erfolgt keine Weitergabe personenbezogener Daten an Dritte zu eigenen Zwecken. Empfänger im technischen Sinne ist ausschließlich der nachstehend gelistete Sub-Auftragsverarbeiter im Sinne von Art. 28 DSGVO.

6.2. Aktive Sub-Auftragsverarbeiter

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland Tätigkeit: Hosting-Provider für Anwendungsserver und Postgres-Datenbank Standort der Verarbeitung: Rechenzentren Falkenstein (DE) und Nürnberg (DE) Drittlandtransfer: nein

6.3. Codixio-eigene Infrastruktur

• Coolify (Open-Source-Software), Self-hosted Container-Orchestrierung auf Hetzner, kein externer Dienstleister.

Weitere Dienstleister werden nicht eingesetzt. Insbesondere versendet die App keine E-Mails über externe Versanddienstleister und nutzt keine externen KI-Dienste.

7. Drittlandtransfer

Es erfolgt kein Drittlandtransfer. Der einzige Sub-Auftragsverarbeiter (Hetzner Online GmbH) sitzt in Deutschland; sämtliche Verarbeitung findet in der EU statt.

8. Speicherdauer

8.1. Händler- und Tarif-Daten

Shop-Registrierung, Shop-Secret und Tarif-Zuordnung werden für die Dauer der App-Installation gespeichert. Bei Deinstallation der App löst der Shopware-Lifecycle-Mechanismus die automatische Löschung der Shop-Daten auf dem App-Backend aus.

8.2. Aggregierte Download-Zähler

Die aggregierten Zähler sind an die Shop-Registrierung gebunden und werden bei Löschung des Shop-Datensatzes automatisch mitgelöscht (datenbankseitige Löschweitergabe). Sie enthalten zu keinem Zeitpunkt personenbezogene Daten.

8.3. Technische Zugriffs-Logs

Zugriffs-Logs am Reverse-Proxy werden nach 7 Tagen automatisch IP-anonymisiert und nach 90 Tagen vollständig gelöscht.

9. Rechte der betroffenen Personen

Betroffene Personen haben nach DSGVO folgende Rechte:

• Auskunftsrecht (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung / "Recht auf Vergessenwerden" (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruchsrecht (Art. 21 DSGVO; insbesondere gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f)
• Recht, keiner automatisierten Entscheidung einschließlich Profiling unterworfen zu werden (Art. 22 DSGVO), Codixio führt keine automatisierten Einzelentscheidungen mit rechtlicher Wirkung durch.

Diese Rechte können Sie ausüben per E-Mail an legal@codixio.com. Endkunden eines Händler-Shops können sich zusätzlich direkt an den jeweiligen Händler wenden, da dessen Shopware-Instanz die Endkunden-Daten hält; auf Codixio-Systemen werden keine Endkunden-Daten gespeichert.

Reaktionsfrist: Wir antworten auf Anträge innerhalb der gesetzlich vorgesehenen Frist von einem Monat gemäß Art. 12 Abs. 3 DSGVO. Bei komplexen Anträgen kann die Frist um zwei weitere Monate verlängert werden; Sie werden in diesem Fall innerhalb des ersten Monats hierüber informiert.

10. Beschwerderecht bei einer Aufsichtsbehörde

Sie haben das Recht, eine Beschwerde bei einer Datenschutz-Aufsichtsbehörde einzulegen (Art. 77 DSGVO). Zuständig für Codixio ist:

Landesbeauftragter für den Datenschutz Sachsen-Anhalt Leiterstraße 9 39104 Magdeburg

• Telefon: +49 391 81803-0
• E-Mail: poststelle@lfd.sachsen-anhalt.de
• Website: https://datenschutz.sachsen-anhalt.de/

11. KI-Features

Die App "Codixio Product Downloads" enthält keine KI-Funktionen. Es werden keine Daten an KI-Anbieter übermittelt, keine KI-generierten Inhalte erzeugt und keine automatisierten Entscheidungen im Sinne von Art. 22 DSGVO getroffen. Transparenzpflichten nach Art. 50 der Verordnung (EU) 2024/1689 (KI-Verordnung) sind daher nicht einschlägig.

12. Cookies und ähnliche Technologien (§ 25 TDDDG)

Die App und die Legal-Pages arbeiten cookielos. Es werden keine Cookies gesetzt, keine Informationen im Endgerät gespeichert und keine auf dem Endgerät gespeicherten Informationen ausgelesen, die über das für die Übertragung technisch zwingend Erforderliche hinausgehen. Die Sprachwahl der Legal-Pages ist rein URL-basiert.

Es werden keine Marketing-Cookies, keine Tracking-Pixel, kein Google Analytics, kein Facebook Pixel und keine sonstigen Third-Party-Trackings eingesetzt. Eine Einwilligung nach § 25 Abs. 1 TDDDG ist mangels Zugriffs auf Endeinrichtungen nicht erforderlich; ein Cookie-Consent-Banner wird nicht benötigt.

13. Sicherheitsmaßnahmen (TOMs nach Art. 32 DSGVO)

13.1. Datenminimierung als Architekturprinzip

Die wirksamste Schutzmaßnahme dieser App ist ihre Architektur: Personenbezogene Endkunden-Daten werden auf Codixio-Systemen nicht gespeichert und nicht übermittelt. Die Zugriffssteuerung (Login-Gate, Kauf-Gate, Regel-Sichtbarkeit) läuft vollständig serverseitig innerhalb der Shopware-Instanz des Händlers.

13.2. Verschlüsselung

• Datenübertragung: TLS 1.2+ verpflichtend (HTTPS, Let's Encrypt, Auto-Renewal); HSTS-Header
• Zugangsdaten: Shop-Secrets werden zugriffsgeschützt gespeichert und ausschließlich zur Signaturprüfung verwendet

13.3. Zugriffskontrolle

• Multi-Faktor-Authentifizierung für alle Produktions-Zugänge
• Least-Privilege-Prinzip
• Signaturprüfung (HMAC) für Admin-Modul-Aufrufe und Statistik-Auswertungen; JWT-Verifikation gegen die Shopware-Schlüssel für Kauf-Informationen

13.4. Netzwerk-Security

• Ratenbegrenzung auf dem Statistik-Erfassungs-Endpunkt (30 Anfragen pro Minute je Shop)
• Suchmaschinen-Ausschluss (X-Robots-Tag) auf allen App-Endpunkten
• Security-Header am Reverse-Proxy

13.5. Backup, Monitoring und Prüfung

• Tägliche Datenbank-Backups auf Hetzner-Infrastruktur
• Health-Check-Endpunkte für Uptime-Überwachung, ohne Preisgabe interner Details im Fehlerfall
• Statische Code-Analyse und automatisierte Testsuite mit dedizierten Sicherheits-Regressionstests
• Periodische Sicherheitsüberprüfungen entlang des Codixio Security Hardening Plans

14. Datenschutzverletzungen (Art. 33/34 DSGVO)

Bei einer Verletzung des Schutzes personenbezogener Daten:

• Meldung an die Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden, sofern die Verletzung voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt (Art. 33 Abs. 1 DSGVO). Eine Meldung unterbleibt, wenn die Verletzung voraussichtlich nicht zu einem Risiko führt.
• Benachrichtigung betroffener Personen unverzüglich, wenn ein hohes Risiko vorliegt (Art. 34 Abs. 1 DSGVO). Die Benachrichtigung kann unterbleiben, wenn die Daten durch geeignete Maßnahmen unzugänglich sind (Art. 34 Abs. 3 lit. a DSGVO) oder nachträgliche Maßnahmen das hohe Risiko ausschließen (Art. 34 Abs. 3 lit. b DSGVO) oder eine öffentliche Bekanntmachung verhältnismäßiger wäre (Art. 34 Abs. 3 lit. c DSGVO).
• Dokumentation sämtlicher Vorfälle im internen Incident-Response-Log.
• Benachrichtigung des betroffenen Händlers bei Vorfällen, die Shop-Daten berühren, parallel zur oder vor der aufsichtsbehördlichen Meldung.

15. Änderung dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, damit sie stets den aktuellen rechtlichen Anforderungen entspricht oder um Änderungen unserer Leistungen abzubilden. Wesentliche Änderungen werden mit einer Ankündigungsfrist von 30 Tagen über die Store-Seite der App und, soweit eine Kontaktadresse vorliegt, per E-Mail angekündigt. Die jeweils aktuelle Fassung ist unter https://legal.codixio.com/apps/product-downloads-shopware/privacy abrufbar.

Historische Fassungen sind auf Anfrage unter legal@codixio.com einsehbar.

16. Stand und Kontakt

Stand: 27. August 2026

Bei Fragen zum Datenschutz oder zur Ausübung Ihrer Rechte wenden Sie sich bitte an:

legal@codixio.com

Matthias Jakisch, Hauptstr. 34, OT Etingen, 39359 Oebisfelde-Weferlingen, Deutschland.