Datenschutzerklärung

für die Website getrebond.io und die Anwendung rebond (app.getrebond.io)

Stand: 08.10.2026

1. Verantwortlicher

rebond - Inhaber: Johannes Kröger
Rosenhagen 7
19348 Perleberg
Deutschland
E-Mail: johannes@getrebond.io

Ein Datenschutzbeauftragter ist gesetzlich nicht erforderlich und nicht benannt. Datenschutzanfragen richten Sie bitte an die oben genannte E-Mail-Adresse.

2. Überblick: Zwei Rollen

rebond ist eine Retention-Plattform für Shopify-Händler. Datenschutzrechtlich treten wir in zwei Rollen auf:

Als Verantwortlicher für die Daten der Besucher dieser Website und der Händler, die ein rebond-Konto nutzen (Abschnitte 3–5).

Als Auftragsverarbeiter für die Daten der Endkunden unserer Händler. Verantwortlicher für diese Daten ist der jeweilige Händler; Grundlage ist eine Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO (AVV). Was das für Sie als Endkunde bedeutet, steht in Abschnitt 6.

3. Website-Besuch (getrebond.io)

3.1 Hosting und Server-Logfiles

Unsere Website und Anwendung werden bei Vercel Inc. (USA) gehostet. Beim Aufruf jeder Seite verarbeitet Vercel automatisch technische Zugriffsdaten in Server-Logfiles: IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Browser- und Betriebssystemtyp sowie Referrer. Diese Daten sind für die Auslieferung der Seiten technisch erforderlich und dienen der Stabilität und Sicherheit (Abwehr von Angriffen, Fehleranalyse). Wir werten sie nicht zu Marketingzwecken aus.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb). Laufzeit-Logs bewahrt Vercel nach eigenen Angaben standardmäßig einen Tag auf.

Vercel hat seinen Sitz in den USA; eine Übermittlung der Zugriffsdaten in die USA ist deshalb möglich. Zu den Garantien für Übermittlungen in Drittländer siehe Abschnitt 5.

3.2 Cookies und Tracking

Wir setzen auf der Website keine Tracking- oder Marketing-Cookies ein. Für eine anonyme Reichweitenmessung nutzen wir Vercel Web Analytics (siehe 3.4). Es werden ausschließlich technisch notwendige Cookies verwendet (z. B. Session-Cookies für den Login in der Anwendung).

3.3 Kontaktaufnahme

Wenn Sie uns per E-Mail kontaktieren, verarbeiten wir Ihre Angaben zur Bearbeitung der Anfrage (Art. 6 Abs. 1 lit. b bzw. f DSGVO). Die Daten werden gelöscht, sobald die Anfrage abgeschlossen ist und keine Aufbewahrungspflichten entgegenstehen.

3.4 Reichweitenmessung mit Vercel Web Analytics

Wir nutzen Vercel Web Analytics der Vercel Inc. (USA), um zu verstehen, welche Seiten besucht werden. Erfasst werden Zeitpunkt und aufgerufene Seite einschließlich gefilterter URL-Parameter, die verweisende Seite (Referrer), der ungefähre Standort (Land, Region, Stadt), Browser, Betriebssystem und Gerätetyp. Vercel setzt dafür keine Cookies und speichert nichts auf Ihrem Gerät. Um Besuche zu zählen, bildet Vercel aus Anfragedaten einen Hashwert, der nach 24 Stunden verworfen wird. Die erfassten Daten werden nicht mit Ihrer IP-Adresse verknüpft. Wir können einzelne Besucher nicht identifizieren.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer datensparsamen Auswertung der Nutzung unserer Website). Zur Übermittlung in die USA siehe Abschnitt 5.

3.5 Kontakt- und Partnerformular

Auf den Seiten „Kontakt“ und „Partnerprogramm“ können Sie uns über ein Formular schreiben. Wir verarbeiten die Angaben, die Sie dort eintragen: im Kontaktformular Name, E-Mail-Adresse, Shop-URL und Nachricht; im Partnerformular Name, Firma, E-Mail-Adresse, Website, Art der Tätigkeit, Zahl der betreuten Shopify-Shops, Branchen Ihrer Kunden, Nachricht und Ihre Einwilligung zur Kontaktaufnahme. Pflichtfelder sind gekennzeichnet; ohne sie können wir die Anfrage nicht bearbeiten.

Zweck: Bearbeitung und Beantwortung Ihrer Anfrage, beim Partnerformular zusätzlich die Anbahnung einer Partnerschaft.

Versand: Die Angaben werden nicht in einer Datenbank der Website gespeichert. Sie werden über den E-Mail-Dienst Resend, Inc. (USA) als E-Mail an johannes@getrebond.io übermittelt; Ihre E-Mail-Adresse wird dabei als Antwortadresse eingetragen. Zum Schutz vor Missbrauch wird Ihre IP-Adresse außerdem kurzzeitig im Arbeitsspeicher des Servers verwendet, um höchstens fünf Anfragen pro Stunde zuzulassen; sie wird dafür nicht dauerhaft gespeichert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage auf einen Vertrag oder vorvertragliche Maßnahmen gerichtet ist, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen). Beim Partnerformular nehmen wir außerdem auf Grundlage Ihrer Einwilligung Kontakt mit Ihnen auf (Art. 6 Abs. 1 lit. a DSGVO); Sie können sie jederzeit mit Wirkung für die Zukunft widerrufen, etwa per E-Mail an johannes@getrebond.io.

Speicherdauer: Wir löschen Ihre Anfrage, sobald sie abgeschlossen ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Zu Resend und den Garantien für Übermittlungen in Drittländer siehe Abschnitt 5.

3.6 Terminbuchung über Calendly

Auf der Seite „Demo“ (/demo) und im Dialog „Demo buchen“ können Sie einen Termin über Calendly buchen, einen Dienst der Calendly LLC (USA). Der Buchungskalender wird an beiden Stellen erst geladen, wenn Sie auf „Termin auswählen“ klicken. Vorher stellt die Website keine Verbindung zu Calendly her.

Nach dem Klick lädt Ihr Browser den Kalender von Servern von Calendly. Dabei werden mindestens Ihre IP-Adresse und technische Daten Ihres Browsers an Calendly übertragen. Wenn Sie einen Termin buchen, verarbeitet Calendly die Angaben, die Sie dort eingeben, etwa Name und E-Mail-Adresse, und stellt sie uns zur Vorbereitung und Durchführung des Termins bereit. Welche Daten Calendly darüber hinaus verarbeitet, steht in der Datenschutzerklärung von Calendly.

Nach dem Klick setzt Calendly Cookies und lädt Dienste von Google (reCAPTCHA) und Stripe. Beim Laden dieser Dienste wird Ihre IP-Adresse auch an diese Anbieter übertragen.

Rechtsgrundlage: Für das Laden des Kalenders Ihre Einwilligung durch den Klick (Art. 6 Abs. 1 lit. a DSGVO); für die Buchung und Durchführung des Termins Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen). Für das Speichern und Auslesen von Informationen auf Ihrem Endgerät, etwa durch Cookies, ist Rechtsgrundlage § 25 Abs. 1 TDDDG in Verbindung mit Ihrer Einwilligung durch den Klick. Sie können diese Einwilligung widerrufen, indem Sie die Cookies in Ihrem Browser löschen. Calendly hat seinen Sitz in den USA; Ihre Daten werden dorthin übermittelt.

Speicherdauer: Termindaten löschen wir, sobald sie für den Termin und eine mögliche Zusammenarbeit nicht mehr erforderlich sind und keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Wenn Sie Calendly nicht nutzen möchten, schreiben Sie uns stattdessen an johannes@getrebond.io.

4. Händler-Konto und Nutzung der Anwendung

4.1 Registrierung und Kontodaten

Bei der Einrichtung eines rebond-Kontos verarbeiten wir: Name, geschäftliche E-Mail-Adresse, Shop-Domain, Workspace-Einstellungen sowie Abrechnungsdaten über Shopify Billing. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

4.2 Daten aus Ihrem Shopify-Shop

Nach Installation der App beziehen wir über die Shopify-API und Webhooks die Daten, die für die Funktion der App erforderlich sind — nicht mehr (Grundsatz der Datenminimierung):

Bestellungen und Fulfillments: Bestell- und Versandereignisse, um Transaktionsnachrichten und Automationen auszulösen und den Versandstatus anzuzeigen.

Kundendaten: Name, E-Mail-Adresse und ggf. Telefonnummer Ihrer Endkunden, um Nachrichten in Ihrem Auftrag zu versenden und Einwilligungen zu verwalten.

Produktdaten: Katalog, Titel, Bilder und Preise, um Inhalte und Post-Purchase-Seiten zu erstellen.

Rechtstexte: den Link zur Datenschutzerklärung Ihres Shops, um ihn in Opt-in-Formularen anzuzeigen.

Die Verarbeitung der Endkundendaten erfolgt ausschließlich in Ihrem Auftrag (Abschnitt 6). Zugriffsumfang und Zweck werden im Shopify-Installationsdialog angezeigt.

4.3 Protokolldaten der Anwendung

Zur Nachvollziehbarkeit und Fehleranalyse protokollieren wir Vorgänge in der Anwendung (z. B. Ausführung von Automationen, Versandereignisse, Webhook-Eingänge). Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.

5. Empfänger und Dienstleister

Wir setzen folgende Dienstleister ein. Mit allen bestehen Auftragsverarbeitungsverträge; bei Anbietern außerhalb der EU/des EWR sind EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) abgeschlossen und, soweit anwendbar, besteht eine Zertifizierung unter dem EU-U.S. Data Privacy Framework.

Keine Kundendaten an KI-Modelle: An OpenAI werden Produktdaten, eine anonyme Beschreibung der Situation (Skill, Tonalität, Erstkäufer oder Stammkunde) sowie die Beschreibung und die Beispieltexte zur Markenstimme übermittelt, die der Händler selbst eingibt. Namen, E-Mail-Adressen und Bestelldaten von Endkunden werden nicht übermittelt. Händler fügen in die Texte zur Markenstimme keine personenbezogenen Daten ihrer Kunden ein. Personalisierung erfolgt nach der Generierung aus unserer Datenbank.

Sendungsstatus bei DHL: Für Order-Tracking und die Sendungsverfolgung fragen wir den Sendungsstatus bei der Deutschen Post AG (DHL Group) ab, mit dem DHL-Zugang, den der Händler in rebond hinterlegt. Übermittelt wird nur die Sendungsnummer. Das Vertragsverhältnis mit DHL besteht zwischen dem Händler und DHL.

Eine Übermittlung an sonstige Dritte findet nicht statt, es sei denn, wir sind gesetzlich dazu verpflichtet.

6. Für Endkunden unserer Händler

Wenn Sie in einem Shop einkaufen, der rebond nutzt, verarbeiten wir Ihre Daten im Auftrag dieses Shops. Der Shop ist Verantwortlicher; seine Datenschutzerklärung informiert über die Verarbeitung. Bitte richten Sie Auskunfts- und Löschanfragen an den Shop — wir unterstützen ihn bei der Umsetzung und leiten direkt bei uns eingehende Anfragen unverzüglich weiter.

Im Auftrag der Händler verarbeiten wir insbesondere:

Newsletter- und SMS-Anmeldungen im Double-Opt-in-Verfahren: Ihre Anmeldung wird erst nach Bestätigung über einen Link bzw. Code wirksam. Zum Nachweis der Einwilligung (Art. 7 Abs. 1 DSGVO) speichern wir Zeitpunkt, verwendete Formular- und Textfassungen sowie Ihre IP-Adresse in pseudonymisierter Form (kryptographischer Hash, kein Klartext).

Transaktionsnachrichten: Bestell- und Versandinformationen zu Ihren Bestellungen.

Abmeldung: Jede Marketing-Nachricht enthält eine Abmeldemöglichkeit; SMS können per STOP-Antwort beendet werden. Der Widerruf wirkt für die Zukunft.

Einwilligungsnachweise werden für die Dauer der Speicherung Ihres Kontakts aufbewahrt und mit ihm gelöscht.

7. Löschung und Speicherdauer

Endkundendaten werden gelöscht, wenn der Händler es anweist oder Shopify eine Löschung übermittelt. Wir setzen die verpflichtenden Shopify-Datenschutz-Webhooks automatisiert um: Auskunftsersuchen (customers/data_request), Löschung einzelner Kunden (customers/redact) und Löschung aller Shop-Daten nach Deinstallation (shop/redact).

Händler-Kontodaten werden nach Vertragsende gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten (z. B. §§ 147 AO, 257 HGB) entgegenstehen.

Server-Logs werden nach kurzer Frist automatisch gelöscht.

8. Ihre Rechte

Sie haben gegenüber dem jeweils Verantwortlichen das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3).

Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Zuständig für uns ist die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg, Stahnsdorfer Damm 77, 14532 Kleinmachnow.

9. Datensicherheit

Alle Verbindungen sind TLS-verschlüsselt. Daten werden in zertifizierten Rechenzentren (ISO 27001 / SOC 2) gespeichert und ruhend verschlüsselt. Workspaces sind auf Datenbankebene strikt getrennt (Row Level Security). Zugriff auf Produktionssysteme besteht nur für autorisierte Personen mit Zwei-Faktor-Authentifizierung.

10. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich die Verarbeitung oder die Rechtslage ändert. Die jeweils aktuelle Fassung ist unter getrebond.io/datenschutz abrufbar; das Datum oben zeigt den Stand.