Datenschutzerklärung

Diese Erklärung beschreibt die Datenverarbeitung durch den Dienst auth-bridge.die-leoparden.de (nachfolgend „Auth-Bridge“). Die Auth-Bridge ist die Vermittlungsstelle für die Shopware-Erweiterung MultiPurposeBlog und deren Social-Media-Module.

1. Verantwortlicher

Verantwortlicher für die Datenverarbeitung im Sinne der DSGVO:
Die Leoparden GmbH
Schillerstraße 60
70839 Gerlingen
wild@leoparden.net
07156.966819-0

2. Was die Anwendung tut

MultiPurposeBlog ist eine Erweiterung für Shopware 6. Händlerinnen und Händler pflegen damit Blog-Beiträge im eigenen Shop-Adminbereich und veröffentlichen diese auf ihren eigenen Unternehmensprofilen in sozialen Netzwerken.

Die Auth-Bridge übernimmt dabei genau zwei Aufgaben:

OAuth-Vermittlung: Sie nimmt die Rückleitung des Netzwerks nach der Anmeldung entgegen und tauscht den Autorisierungscode gegen ein Zugriffstoken. Hintergrund ist, dass die Netzwerke eine feste, öffentlich erreichbare Rückleitungsadresse verlangen – eine einzelne Shop-Installation erfüllt das in der Regel nicht.
Medien-Zwischenspeicher („Bucket“): Einige Netzwerke nehmen Bilder und Videos nicht entgegen, sondern holen sie von einer öffentlich erreichbaren Adresse ab. Dafür wird die Datei auf der Auth-Bridge abgelegt.

3. Verarbeitete Daten im Einzelnen

a) Während der Anmeldung (OAuth)

Datum	Zweck	Herkunft
`challenge`	Zufallswert zur Zuordnung des Anmeldevorgangs; schützt zugleich vor untergeschobenen Anfragen (CSRF) und dient bei X als PKCE-Verifier.	vom Shop erzeugt
`shop_url`	Adresse der Shop-Installation, an die nach der Anmeldung zurückgeleitet wird.	vom Shop übermittelt
`provider`	Name des Netzwerks (z. B. LinkedIn, Facebook, Instagram, Brevo).	vom Shop übermittelt
`authCode`	Einmaliger Autorisierungscode des Netzwerks. Wird ausschließlich für den Tausch gegen ein Zugriffstoken benötigt und unmittelbar danach im Datensatz geleert.	vom Netzwerk
`verified`	Merker, dass der Tausch stattgefunden hat; verhindert die Mehrfachnutzung desselben Codes.	intern

Zugriffstoken werden auf der Auth-Bridge nicht gespeichert. Das im Tausch erhaltene Token wird unmittelbar an die anfragende Shop-Installation zurückgegeben und ausschließlich dort gespeichert. Die Datenbank der Auth-Bridge sieht dafür kein Feld vor.

b) Medien-Zwischenspeicher

Beim Veröffentlichen eines Beitrags mit Bild oder Video wird die Datei unter einem zufällig erzeugten Dateinamen auf der Auth-Bridge abgelegt und dem jeweiligen Netzwerk zum Abruf bereitgestellt. Es handelt sich ausschließlich um Inhalte, die der Händler selbst eingestellt hat. Die Dateien sind über ihre Adresse ohne weitere Anmeldung abrufbar; der zufällige Dateiname ist der einzige Zugriffsschutz. Bitte veröffentlichen Sie über die Anwendung keine vertraulichen Inhalte.

c) Server-Protokolle

Beim Aufruf werden technisch notwendige Zugriffsdaten protokolliert (IP-Adresse, Zeitpunkt, aufgerufene Adresse, Statuscode, User-Agent). Sie dienen dem Betrieb und der Abwehr von Missbrauch.

4. Keine Weitergabe an Dritte

Eine Weitergabe der auf der Auth-Bridge verarbeiteten Daten an Dritte erfolgt nicht, es sei denn, wir sind gesetzlich dazu verpflichtet.

Das ist keine Formel, sondern ergibt sich aus dem Aufbau der Anwendung: Die Auth-Bridge gibt das Zugriffstoken ausschließlich an die Shop-Installation zurück, von der die Anmeldung ausging. Die eigentliche Kommunikation mit dem sozialen Netzwerk – das Veröffentlichen von Beiträgen, das Auslesen von Seiten und Kommentaren – findet unmittelbar zwischen Ihrer Shop-Installation und dem Netzwerk statt und läuft nicht über die Auth-Bridge. Beitragsinhalte werden hier weder gespeichert noch weitergeleitet.

Die Auth-Bridge hat aus technischen Gründen nur an zwei Stellen selbst Kontakt zum Netzwerk:

Beim Tausch des Autorisierungscodes gegen ein Zugriffstoken. Dieser Aufruf geht an genau das Netzwerk, bei dem Sie sich soeben angemeldet haben, und ist Bestandteil Ihres eigenen Anmeldevorgangs.
Beim Abruf einer Mediendatei aus dem Zwischenspeicher. Netzwerke wie Instagram oder Threads nehmen Dateien nicht entgegen, sondern holen sie selbst ab. Dabei ruft das Netzwerk die von Ihnen zur Veröffentlichung bestimmte Datei ab.

Für die Verarbeitung durch die Netzwerke gelten deren eigene Datenschutzbestimmungen; eine Übermittlung in Drittländer, insbesondere in die USA, ist dabei möglich. Welche Netzwerke beteiligt sind, entscheiden Sie selbst durch die Auswahl der Module: LinkedIn (LinkedIn Ireland Unlimited Company), Facebook und Instagram (Meta Platforms Ireland Ltd.) sowie Brevo (Sendinblue GmbH).

5. Rechtsgrundlage

Die Verarbeitung erfolgt zur Erfüllung des Nutzungsvertrags über die Anwendung (Art. 6 Abs. 1 lit. b DSGVO) sowie auf Grundlage unseres berechtigten Interesses am sicheren und störungsfreien Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Die Verbindung zu einem sozialen Netzwerk stellen Sie selbst durch die dortige Anmeldung her.

6. Speicherdauer

Anmeldevorgang: Der gesamte Datensatz – Challenge, Shop-URL, Provider und Autorisierungscode – wird unmittelbar nach der erfolgreichen Anmeldung gelöscht. Sobald das Zugriffstoken an den Shop übergeben ist, wird er nicht mehr benötigt. Es verbleibt nichts.
Abgebrochene Anmeldungen: Wird ein Vorgang nicht abgeschlossen (etwa weil die Anmeldung im Netzwerk abgebrochen wurde), bleibt der Datensatz zunächst bestehen, damit der Versuch wiederholt werden kann. Er enthält keine Zugangsdaten. Eine Löschung erfolgt auf Anfrage.
Zugriffstoken: werden zu keinem Zeitpunkt auf der Auth-Bridge gespeichert.
Medien-Zwischenspeicher: Dateien werden vorgehalten und auf Anfrage gelöscht – siehe Datenlöschung.
Server-Protokolle: werden nach spätestens 30 Tagen gelöscht oder anonymisiert.

7. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Wenden Sie sich dazu an wild@leoparden.net.

Die Verbindung zu einem Netzwerk können Sie jederzeit beenden: in der Anwendung über die Abmeldung im jeweiligen Reiter sowie zusätzlich in den Einstellungen des Netzwerks selbst, indem Sie der Anwendung den Zugriff entziehen.

8. Beschwerderecht bei der Aufsichtsbehörde

Sollten Sie der Meinung sein, dass die Verarbeitung Ihrer Daten gegen die DSGVO verstößt, können Sie sich bei der zuständigen Datenschutzaufsichtsbehörde beschweren.