Amazon-Daten

Diese Richtlinie beschreibt, wie die BMGG Europe GmbH (nachfolgend „Unternehmen“) Informationen erhebt, verarbeitet, speichert, nutzt, übermittelt und löscht, die über die Amazon Selling Partner API (nachfolgend „Amazon-Daten“) bezogen werden. Das Unternehmen verarbeitet Amazon-Daten ausschließlich zur Verwaltung seiner eigenen Verkäuferaktivitäten sowie zur Erbringung von Fulfillment-Dienstleistungen und handelt dabei unter Beachtung der einschlägigen Anforderungen mit der Amazon Acceptable Use Policy, der Amazon Data Protection Policy sowie den geltenden Datenschutzvorschriften.

1. Datenerhebung

Das Unternehmen bezieht Amazon-Daten ausschließlich über die offiziellen, autorisierten Schnittstellen der Selling Partner API unter Verwendung der von Amazon bereitgestellten Zugangsdaten. Erhoben werden nur solche Daten, die zur Erfüllung konkreter Geschäftsfunktionen erforderlich sind: Informationen zu Bestellungen, Artikelpositionen, Lagerbeständen, Preisen sowie Daten zur Versandabwicklung, insbesondere Name und Lieferadresse des Käufers. Das Unternehmen bezieht keine Amazon-Daten aus nicht autorisierten oder externen Quellen.

2. Verarbeitung und Nutzung

Amazon-Daten werden ausschließlich für die Zwecke verwendet, für die sie erhoben wurden: Bearbeitung und Fulfillment von Bestellungen, Erstellung von Versandetiketten, Verwaltung von Lagerbeständen, Synchronisierung des Sortiments sowie Analyse der eigenen Verkaufsaktivitäten. Amazon-Daten werden nicht zu Werbezwecken genutzt, nicht verkauft und nicht zu Marketingzwecken an Dritte weitergegeben.

3. Speicherung

Amazon-Daten werden in einer PostgreSQL-Datenbank auf einem unternehmenseigenen Server in Deutschland gespeichert. Die Datenübertragung erfolgt verschlüsselt mittels TLS. Der Zugriff auf die Datenbank ist eingeschränkt und wird ausschließlich nach dem Need-to-know-Prinzip auf Grundlage eines rollenbasierten Zugriffskontrollmodells (RBAC) gewährt. Alle datenbezogenen Aktivitäten werden in Audit-Protokollen erfasst.

4. Zugriffskontrolle

Zugriff auf Amazon-Daten erhalten ausschließlich Mitarbeiter, die diesen Zugriff zur Erfüllung ihrer beruflichen Aufgaben benötigen. Jeder Mitarbeiter verfügt über ein persönliches Benutzerkonto; gemeinsam genutzte Konten werden nicht verwendet. Zugriffsrechte werden rollenbasiert vergeben und monatlich überprüft. Der Zugriff auf den Server erfolgt über das unternehmenseigene VPN. Der Zugriff auf die interne WMS-Anwendung, über die Amazon-Bestelldaten verarbeitet werden, erfordert zusätzlich eine verpflichtende Multi-Faktor-Authentifizierung (MFA), die nicht umgangen werden kann: Nach der Passworteingabe müssen Nutzer einen zeitbasierten Einmalcode (TOTP) aus einer Authenticator-App (z. B. Google Authenticator) eingeben. Es gelten Passwortanforderungen von mindestens 12 Zeichen mit Komplexitätsanforderungen (Groß-/Kleinbuchstaben, Zahlen, Sonderzeichen), einer maximalen Gültigkeit von 365 Tagen und jährlicher Rotation. Passwörter werden nicht geteilt.

5. Datenübermittlung

Das Unternehmen übermittelt Amazon-Daten nicht an Dritte, es sei denn, dies ist unmittelbar zur Abwicklung einer Bestellung erforderlich — insbesondere durch die Weitergabe von Name und Lieferadresse an Logistikpartner bzw. Versanddienstleister zur Zustellung der Ware an den Käufer — oder gesetzlich vorgeschrieben. Jede Übermittlung beschränkt sich auf den jeweils minimal erforderlichen Datenumfang. Es werden keine Amazon-Daten aus externen Quellen außerhalb von Amazon bezogen.

6. Aufbewahrungsdauer und Löschung von PII

Personenbezogene Daten / PII von Amazon-Käufern werden nur so lange gespeichert, wie dies zur Abwicklung der Bestellung erforderlich ist. Sofern keine abweichenden gesetzlichen Aufbewahrungspflichten bestehen, werden sie innerhalb von 14 Tagen nach Zustellung der Bestellung gelöscht. Die Löschung erfolgt nach Ablauf der Frist automatisch.

7. Sicherheit und Reaktion auf Sicherheitsvorfälle

Das Unternehmen setzt technische und organisatorische Maßnahmen zum Schutz von Amazon-Daten ein, darunter Zugriff über das unternehmenseigene VPN, rollenbasierte Zugriffskontrolle, Protokollierung und Monitoring. Änderungen an der Anwendung werden vor der Bereitstellung in der Produktionsumgebung in einer separaten Testumgebung geprüft; reale PII werden zu Testzwecken nicht verwendet. Anwendungscode wird vor jedem Release im Rahmen der CI/CD-Pipeline automatisiert auf Schwachstellen geprüft (statische Code-Analyse / SAST sowie Abhängigkeitsprüfung / SCA); erkannte Schwachstellen werden vor der Bereitstellung behoben. Im Unternehmen besteht ein formalisierter Incident-Response-Plan mit klar zugewiesenen Rollen. Sicherheitsvorfälle, die Amazon-Daten betreffen, meldet das Unternehmen innerhalb von 24 Stunden nach Feststellung des Vorfalls an Amazon unter [email protected].

8. Kontaktinformationen

Verantwortlicher für die Datenverarbeitung und Ansprechpartner für Sicherheitsvorfälle: Sergey Evdokimov, [email protected].