Datenschutz­erklärung.

Verantwortlicher und Kontakt

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) für die Verarbeitungen auf dieser Website und im Rahmen des Dienstes Dropavo ist, soweit Dropavo nicht als Auftragsverarbeiter für Händler tätig wird (Abschnitt 02):

Anbieter

LackVision
Inhaber Ali Dal

Anschrift

Artlandstraße 44
49477 Ibbenbüren
Deutschland

Telefon

+49 5451 962649

E-Mail (auch für Datenschutzanfragen)

[email protected]

Ein Datenschutzbeauftragter ist nicht benannt, weil die Voraussetzungen einer Benennungspflicht nach Art. 37 DSGVO und § 38 BDSG nicht vorliegen. Anfragen zum Datenschutz richten Sie bitte an die oben genannte E-Mail-Adresse.

Überblick: Rollen und Grundsätze

Dropavo ist eine Software für Händler, ausschließlich für Unternehmer, mit der Produkte, Lieferanten, Bestellungen und Versand verwaltet werden. Dabei sind zwei Rollen zu unterscheiden:

• Eigene Verarbeitung (Dropavo als Verantwortlicher): Daten von Besuchern der Website, von registrierten Nutzern (Händler und deren Teammitglieder), Vertrags- und Abrechnungsdaten, Support-Anfragen, Daten zur Sicherheit des Dienstes und die internen Auswertungen nach Abschnitt 10.
• Verarbeitung im Auftrag (Dropavo als Auftragsverarbeiter, Art. 28 DSGVO): Daten der Endkunden der Händler, etwa aus Bestellungen angebundener Shops und Marktplätze, auf der Sendungsverfolgungsseite und in Versand-E-Mails an Endkunden. Verantwortlicher ist hier der jeweilige Händler. Grundlage ist der Auftragsverarbeitungsvertrag. Endkunden wenden sich mit Anliegen zu ihren Daten bitte an den Händler, bei dem sie bestellt haben; an Dropavo gerichtete Anfragen leiten wir an den Händler weiter.

Eine gesetzliche Pflicht, uns personenbezogene Daten bereitzustellen, besteht nicht. Name, E-Mail-Adresse und Passwort sind jedoch für den Vertragsschluss erforderlich; ohne sie können wir kein Konto einrichten. Welche weiteren Angaben eine Funktion braucht, etwa die Zugangsdaten eines Shops, zeigt der Kundenbereich an der jeweiligen Stelle.

Besuch der Website

Cloudflare: Auslieferung und Schutz

Die Website wird über das Netzwerk der Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA, ausgeliefert. Cloudflare übernimmt die Namensauflösung (DNS), die verschlüsselte Verbindung (TLS), die Zwischenspeicherung, den Schutz vor Angriffen und die gesicherte Verbindung (Tunnel) zu unserem Server. Dabei verarbeitet Cloudflare bei jedem Aufruf die IP-Adresse, Datum und Uhrzeit, die aufgerufene Adresse, die zuvor besuchte Seite (Referrer), Browser- und Geräteangaben (User-Agent), mitgesendete Cookies und die übertragenen Inhalte. Weil die verschlüsselte Verbindung bei Cloudflare endet, kann Cloudflare die übertragenen Inhalte technisch einsehen. Cloudflare ist unser Auftragsverarbeiter.

Cloudflare sendet außerdem die Kopfzeilen „NEL“ und „Report-To“ (Network Error Logging). Der Browser speichert diese Vorgabe für bis zu sieben Tage. Schlägt in dieser Zeit eine Verbindung zu dropavo.com fehl, schickt er einen Fehlerbericht direkt an Cloudflare (a.nel.cloudflare.com). Ein solcher Bericht enthält die IP-Adresse, die aufgerufene Adresse einschließlich etwaiger Parameter, die Art des Fehlers und den Zeitpunkt; erfolgreiche Aufrufe werden nicht gemeldet. Cloudflare nutzt die Berichte, um Störungen im eigenen Netz zu erkennen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in einer sicheren, schnellen und stabilen Bereitstellung der Website und in der Abwehr von Angriffen. Bei angemeldeten Nutzern dient die Verarbeitung zugleich der Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Zur Übermittlung in die USA siehe Abschnitt 14.

Cloudflare verschleiert auf unseren Seiten angezeigte E-Mail-Adressen, um sie vor dem automatischen Auslesen durch Spam-Programme zu schützen. Dazu wird ein kleines Skript von Cloudflare über unsere eigene Domain geladen; es setzt keine Cookies. Je nach Schutzeinstellung kann Cloudflare Sicherheits-Cookies setzen (siehe Abschnitt 19).

Unser Server

Unser Server führt kein Zugriffsprotokoll mit den IP-Adressen der Besucher. Er schreibt Betriebs- und Fehlerprotokolle, zum Beispiel Startmeldungen, Fehlermeldungen angebundener Schnittstellen, Kennungen von Vorgängen und Zählerstände. Fehlermeldungen von Schnittstellen können im Einzelfall Auszüge aus deren Antworten enthalten. Die Protokolldateien werden täglich geprüft und ab 10 MB rotiert; je Protokolldatei bleiben höchstens fünf ältere Fassungen erhalten, und bei jeder Rotation werden ältere Fassungen gelöscht, die älter als 30 Tage sind. Für die laufende Datei gibt es keine feste zeitliche Höchstdauer. Das Systemprotokoll des Servers wird nach höchstens 30 Tagen gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt im sicheren Betrieb und in der Fehlerbehebung.

Zum Schutz vor Missbrauch, etwa vor massenhaften Anmeldeversuchen, zählen wir Anfragen je Netzwerk in Zeitfenstern von 15 Minuten. Dafür wird aus der IP-Adresse (bei IPv6 aus dem /64-Netz) ein Hashwert gebildet; die IP-Adresse selbst wird dabei nicht gespeichert. Der Hashwert ist pseudonymisiert, nicht anonym. Die Zähler gelten nur für ihr Zeitfenster und werden danach gelöscht, in der Regel spätestens 30 Minuten nach dessen Ende. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt im Schutz der Konten und des Dienstes.

Meldet ein Browser einen Verstoß gegen unsere Sicherheitsrichtlinie (Content Security Policy), speichern wir die technische Meldung ohne IP-Adresse und ohne Browserkennung.

Schriften, Schlagzeilen und Demo

Schriftarten werden von unserem Server ausgeliefert; der Browser baut dafür keine Verbindung zu Google oder anderen Schriftanbietern auf. Die Wirtschafts-Schlagzeilen auf der Startseite ruft unser Server höchstens alle 30 Minuten aus dem öffentlichen RSS-Feed von n-tv.de ab; dabei werden keine Daten der Besucher übermittelt. Erst wer eine Schlagzeile anklickt, gelangt zu n-tv.de; dort gilt die Datenschutzerklärung von n-tv. Die Produktdemo arbeitet ausschließlich mit Beispieldaten im Arbeitsspeicher des Browsers; Eingaben in der Demo werden nicht an uns übertragen.

Registrierung, Konto und Arbeitsbereich

Bei der Registrierung verarbeiten wir Name, E-Mail-Adresse, Passwort und optional einen Shop- bzw. Arbeitsbereichsnamen. Das Passwort wird nur als Hashwert (scrypt mit individuellem Salt) gespeichert. Vor der Nutzung des Kundenbereichs muss die E-Mail-Adresse über einen Bestätigungslink bestätigt werden.

Bei der Registrierung und beim Anlegen eines weiteren Arbeitsbereichs bestätigt der Nutzer, als Unternehmer zu handeln, und akzeptiert die AGB einschließlich des Auftragsverarbeitungsvertrags. Als Nachweis speichern wir den Zeitpunkt, die Fassung der Vertragstexte und das bestätigende Konto beim Arbeitsbereich und im Aktivitätsprotokoll. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und f DSGVO; das berechtigte Interesse liegt im Nachweis des Vertragsschlusses.

Zum Konto speichern wir außerdem:

• Zeitpunkte der Registrierung, der Bestätigung, der letzten Anmeldung und der letzten Aktivität (höchstens alle fünf Minuten aktualisiert);
• Anmeldesitzungen mit zufälliger Sitzungskennung, Ablaufdatum (30 Tage), letzter Aktivität, gekürzter Browserkennung (User-Agent) und dem Vermerk, ob und womit der zweite Faktor bestätigt wurde, jedoch ohne IP-Adresse; abgelaufene Sitzungen löschen wir 30 Tage nach ihrem Ablauf;
• den Zeitpunkt der letzten Passwortänderung und die Hashwerte der letzten 10 Passwörter sowie weiterer, die vor weniger als 10 Tagen ersetzt wurden (höchstens 30; für die Passwortregeln unten; ältere Einträge werden bei jeder Änderung gelöscht);
• Einstellungen wie Sprache, Zeitzone, Benachrichtigungen, Standard-Lieferland und Gebührenmodell, die Rolle im Arbeitsbereich (Inhaber, Admin oder Mitarbeiter) sowie Tarif und Status eines Abonnements.

Eine Rechnungsanschrift oder USt-IdNr. des Händlers speichert Dropavo derzeit nicht (zur Abrechnung über Stripe siehe Abschnitt 11). Laden Inhaber oder Admins weitere Personen in ihren Arbeitsbereich ein, verarbeiten wir die E-Mail-Adresse der eingeladenen Person, die vorgesehene Rolle und einen Einladungslink, der 7 Tage gilt, und senden ihr die Einladung per E-Mail. Nicht angenommene Einladungen löschen wir 30 Tage nach ihrem Ablauf.

Zweck ist die Bereitstellung von Konto und Arbeitsbereich, die Anmeldung und die Kommunikation zum Vertrag. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Für die Einladung von Teammitgliedern ist Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse des Händlers und von Dropavo liegt in der Zusammenarbeit im Team. Stammen Daten eingeladener Personen nicht von ihnen selbst, ist Quelle der einladende Händler.

Schutz der Anmeldung

Fehlgeschlagene Anmeldeversuche werden je Netzwerk, je E-Mail-Adresse und Netzwerk sowie je E-Mail-Adresse gezählt, jeweils nur als Hashwert; ab einer bestimmten Zahl wird die Anmeldung vorübergehend gebremst. Die Zähler je Netzwerk gelten 15 Minuten, die Serie der Fehlversuche je E-Mail-Adresse bis eine Stunde nach dem letzten Fehlversuch; danach werden sie gelöscht. Die Meldungen verraten dabei nicht, ob ein Konto existiert. Nach einer erfolgreichen Anmeldung setzt Dropavo das Cookie ds_device mit einer Zufallskennung des Browsers; gespeichert wird nur ein Hashwert aus E-Mail-Adresse und dieser Kennung, und zwar für 90 Tage ab der letzten erfolgreichen Anmeldung. So können fremde Fehlversuche das Konto im eigenen Browser nicht sperren. Eine Änderung des Passworts oder der E-Mail-Adresse beendet alle anderen Sitzungen und widerruft die Tokens der Browser-Erweiterung und der API dieses Nutzers. Versuche mit dem zweiten Faktor zählen wir je Konto (15 Minuten und Kalendertag) und je Netzwerk (15 Minuten), ebenfalls nur als Hashwert; erreichen die Fehlversuche eines Kontos die Grenze für 15 Minuten, erhält es einmal einen Sicherheitshinweis per E-Mail. Nach jeder Bestätigung des zweiten Faktors bekommt die Sitzung eine neue Kennung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt im Schutz der Konten vor Missbrauch.

Zweiter Faktor und Passwortregeln

Für Mitglieder von Arbeitsbereichen, in denen ein Amazon-Shop angebunden ist oder war (dort können noch Käuferdaten liegen), verlangt Dropavo nach den Vorgaben von Amazon einen zweiten Faktor bei der Anmeldung; alle anderen Nutzer können ihn freiwillig einrichten. Zur Wahl stehen ein Passkey (Anmeldung mit Fingerabdruck, Gesichtserkennung oder Geräte-PIN nach dem Standard WebAuthn, auch ohne Passwort) oder eine Authenticator-App (sechsstelliger Einmalcode nach RFC 6238); dazu gibt es zehn einmal nutzbare Ersatzcodes. Gefragt wird nur bei der Anmeldung; eine Anmeldung gilt danach wie bisher 30 Tage auf diesem Gerät.

• Passkey: Wir speichern nur die Kennung und den öffentlichen Schlüssel des Passkeys, seinen Signaturzähler, die unterstützten Übertragungswege, einen selbst gewählten Namen sowie die Zeitpunkte der Einrichtung und der letzten Nutzung. Fingerabdruck, Gesichtsbild und Geräte-PIN prüft allein das Gerät des Nutzers; biometrische Daten erhält Dropavo nicht.
• Authenticator-App: Den geheimen Schlüssel speichern wir mit AES-256-GCM verschlüsselt, dazu den Zeitpunkt der Einrichtung und den zuletzt verwendeten Zeitabschnitt, damit kein Code zweimal gilt. Ein neuer Schlüssel muss innerhalb von 15 Minuten mit einem Code bestätigt werden, sonst wird er verworfen.
• Ersatzcodes: nur als Hashwert, mit dem Zeitpunkt der Verwendung. Neue Ersatzcodes ersetzen die alten.

In denselben Arbeitsbereichen gelten strengere Passwortregeln: mindestens 12 Zeichen mit Groß- und Kleinbuchstaben, Zahl und Sonderzeichen, kein Teil des eigenen Namens oder des Teils der E-Mail-Adresse vor dem @, keines der letzten 10 Passwörter und keines, das vor weniger als 10 Tagen ersetzt wurde, freiwillige Änderungen höchstens einmal am Tag. Ist ein Passwort älter als 365 Tage oder erfüllt es die Regeln nicht, muss es nach der nächsten Anmeldung mit Passwort erneuert werden. Diese Daten bleiben gespeichert, bis der Nutzer den Faktor entfernt oder das Konto gelöscht wird. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und f DSGVO; das berechtigte Interesse liegt im Schutz der Konten und der Käuferdaten sowie in der Erfüllung der Vorgaben der Plattformen.

Bei Verstößen gegen die Nutzungsbedingungen kann der Betreiber ein Konto sperren; gespeichert werden Zeitpunkt, Grund und sperrende Person (Art. 6 Abs. 1 lit. b und f DSGVO).

Nutzung des Kundenbereichs

Im Kundenbereich verwaltet der Händler Produkte, Preisregeln, Lieferantenkonten, Bestellungen, Berichte und Einstellungen seines Arbeitsbereichs. Dazu speichern wir die eingegebenen und importierten Daten sowie:

• Aktivitätsprotokoll: welches Teammitglied wann welche Aktion ausgeführt hat (z. B. Import, Preisänderung, Bestellung beim Lieferanten), damit der Arbeitsbereich nachvollziehbar bleibt. Gelöschte Produkte bleiben dort zur Wiederherstellung vermerkt.
• Benachrichtigungen, gespeicherte Suchen und KI-Nutzung (Art der Nutzung und Zahl der verbrauchten Credits).
• Lieferantenkonten: Bezeichnung, die verschlüsselten Zugangsschlüssel (OAuth-Tokens) des Händlers beim Lieferanten und Einstellungen wie Lieferland, Währung, Sprache und automatische Zahlung.
• Bildsuche: Für die Suche hochgeladene Bilder werden nur im Arbeitsspeicher des Servers gehalten und nur für die Suche an AliExpress übermittelt. Sie sind höchstens 10 Minuten nutzbar und werden danach beim nächsten Zugriff auf diesen Zwischenspeicher entfernt, spätestens beim Neustart des Servers.
• Wechselkurse: Für Umrechnungen ruft unser Server höchstens stündlich die Referenzkurse der Europäischen Zentralbank ab; dabei werden keine personenbezogenen Daten übermittelt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für das Aktivitätsprotokoll zusätzlich Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt in der Nachvollziehbarkeit und Sicherheit der Arbeit im Team. Für Daten von Endkunden, die in Bestellungen enthalten sind, gilt Abschnitt 06.

Produktbilder von fremden Servern

Produkt- und Shopbilder werden im Kundenbereich direkt von den Servern der Lieferanten und Shops geladen, zum Beispiel von den Bildservern von AliExpress und Alibaba.com oder von cdn.shopify.com; Beispielbilder in Demo-Shops stammen von picsum.photos. Beim Laden erhält der jeweilige Bildserver technisch bedingt die IP-Adresse und Browserangaben des Nutzers. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und f DSGVO; die Anzeige der importierten Produkte ist Teil der Leistung, und das berechtigte Interesse liegt darin, nicht jedes Bild auf unserem Server vorhalten zu müssen. Für die Verarbeitung auf den Bildservern sind deren Betreiber verantwortlich.

Angebundene Shops und Marktplätze

Verbindet ein Händler einen Shop oder Marktplatz, autorisiert er Dropavo über das Verfahren der Plattform (OAuth) oder mit eigenen Zugangsschlüsseln, in seinem Namen auf seine Daten zuzugreifen. Vorgesehen sind Anbindungen an Shopify, WooCommerce, Shopware, PrestaShop, Magento, Wix, eBay, Amazon, Etsy, Kaufland, OTTO, TikTok Shop und Walmart; welche davon bereits nutzbar sind, hängt von deren Freigabe ab.

Verarbeitete Daten

• Von der Plattform zu Dropavo: Produkte mit Varianten, Preisen und Bestand; Bestellungen mit Bestellnummer, Positionen, Beträgen und Status; Name und Lieferanschrift der Käufer, gegebenenfalls mit Firma, Adresszusatz, Region, Telefonnummer und Steuernummer; soweit die Plattform sie übermittelt, auch E-Mail-Adresse und Telefonnummer, die Käuferkennung der Plattform (z. B. eBay-Nutzername) und Notizen des Käufers. Von Amazon speichert Dropavo keine E-Mail-Adresse der Käufer. Liefert eine Plattform Lieferdaten erst nach Zahlung oder Freigabe, verarbeiten wir sie erst dann.
• Von Dropavo zur Plattform: Produktdaten, Preise und Bestände sowie Versandbestätigungen mit Sendungsnummer und Versanddienstleister.
• Eigene Übertragung per Token: Für Shops mit der Verbindungsart „Eigene Übertragung per API-Token“ können Inhaber und Admins mit einem Token der Browser-Erweiterung bzw. der API Bestellungen an Dropavo übertragen, einschließlich Name, E-Mail-Adresse, Telefonnummer, Lieferanschrift und Notiz der Käufer, und offene Versandaufgaben abrufen (Bestellnummer, Name des Käufers, Sendungsnummer, Versanddienstleister und Artikel). Die veröffentlichte Browser-Erweiterung nutzt diese Schnittstelle derzeit nicht (Abschnitt 12).
• Zugangsschlüssel: Tokens und Schlüssel der Plattformen werden mit AES-256-GCM verschlüsselt gespeichert und nur für die jeweilige Anbindung genutzt. Beim manuellen Trennen der Verbindung oder bei der Deinstallation über die Plattform wird der Zugang gelöscht.

Amazon

Die Amazon-Schnittstelle nutzt Dropavo über eine bei Amazon registrierte Anwendung der Best Aura LLC, die demselben Inhaber gehört. Kundendaten verarbeitet ausschließlich LackVision auf den Systemen von Dropavo; die Best Aura LLC erhält keine Kundendaten. Wer in einem Arbeitsbereich mit Amazon-Shop arbeitet, meldet sich mit zweitem Faktor an (Abschnitt 04).

Rolle von Dropavo

Für die Daten der Endkunden ist der Händler Verantwortlicher. Dropavo verarbeitet sie als Auftragsverarbeiter nach Art. 28 DSGVO ausschließlich zur Erfüllung des Vertrags mit dem Händler und nach dessen Weisungen: Abruf und Abgleich von Bestellungen, Weitergabe an den gewählten Lieferanten, Sendungsverfolgung und Support. Einzelheiten regelt der Auftragsverarbeitungsvertrag. Quelle der Daten ist die jeweilige Plattform des Händlers. Die Plattformen selbst sind keine Auftragsverarbeiter von Dropavo; für ihre Verarbeitung gelten deren eigene Datenschutzbestimmungen.

Löschanfragen der Plattformen setzen wir um: Bei Shopify (customers/redact und shop/redact) und eBay (Marketplace Account Deletion) werden die betroffenen Bestellungen automatisch anonymisiert. Name, E-Mail-Adresse, Telefonnummer, Käuferkennung und Notizen werden entfernt oder ersetzt, die Anschrift wird bis auf das Land gekürzt; bei Shopify werden zusätzlich die Versand-E-Mails an diese Käufer im Versandausgang geschwärzt. Käuferdaten aus Amazon-Bestellungen anonymisieren wir nach den Vorgaben von Amazon automatisch 14 Tage nach der Zustellung, spätestens nach festen Höchstfristen (Abschnitt 15). Auskunftsanfragen über Shopify leiten wir an den Händler weiter.

Bestellungen bei Lieferanten

Lässt der Händler eine Bestellung bei einem Lieferanten aufgeben, manuell oder automatisch nach seinen Regeln, übermittelt Dropavo je Bestellung die für den Versand an den Endkunden nötigen Daten an das Lieferantenkonto des Händlers. Der Händler kauft dabei im eigenen Namen beim Lieferanten und bezahlt ihn direkt.

• AliExpress (Alibaba.com Singapore E-Commerce Private Limited, Singapur): Name des Empfängers, Lieferanschrift (Straße, Adresszusatz, Postleitzahl, Ort, Region, Land), Telefonnummer mit Ländervorwahl und Sprache; Firma und USt-IdNr. nur bei Empfängern in der EU oder im Vereinigten Königreich und nur, wenn beide angegeben sind; außerdem als Bestellnotiz die vom Händler hinterlegte Notiz an den Lieferanten oder, ohne Notiz, die Bestellnummer des Shops. Zur Prüfung der Anschrift ruft Dropavo die Regionen und Orte des Ziellandes bei AliExpress ab; übermittelt wird dabei nur der Ländercode. Ist die automatische Zahlung eingestellt, veranlasst Dropavo, dass AliExpress die dort vom Händler hinterlegte Zahlungsart belastet.
• Alibaba.com (Vertragspartner nach den Nutzungsbedingungen von Alibaba.com, für Nutzer außerhalb Chinas in der Regel ebenfalls die Alibaba.com Singapore E-Commerce Private Limited, Singapur): Name des Empfängers, Lieferanschrift und Telefonnummer, ohne Firma und USt-IdNr., außerdem die Bestellnummer des Shops und eine vom Händler hinterlegte Notiz an den Lieferanten. Bezahlt der Händler über Dropavo mit seiner bei Alibaba.com hinterlegten Zahlungsart, verlangt Alibaba.com Gerätedaten des zahlenden Nutzers (IP-Adresse, Browserkennung, Sprache, Bildschirmauflösung und Art des Geräts). Diese werden nur in diesem Moment weitergegeben und von Dropavo nicht gespeichert.
• Verkäufer auf den Plattformen: Ausgeführt werden die Bestellungen von den jeweiligen Verkäufern auf AliExpress bzw. Alibaba.com, überwiegend Unternehmen in China. Sie erhalten über die Plattform die für den Versand nötigen Daten.
• Keine E-Mail-Adressen: Die E-Mail-Adresse der Endkunden wird an keinen Lieferanten übermittelt.
• Weitere Abfragen: Dropavo nutzt die Schnittstellen der Lieferanten außerdem für Produkt-, Preis-, Versand- und Bildsuchen sowie für Status und Sendungsnummern der Lieferanten-Bestellungen.

Die Plattformen und die Verkäufer verarbeiten die Daten als eigene Verantwortliche nach ihren Datenschutzbestimmungen; sie sind keine Auftragsverarbeiter von Dropavo. Die Übermittlung erfolgt je Bestellung im Auftrag und auf Weisung des Händlers, der als Verantwortlicher für sie einsteht. Für Singapur und China besteht kein Angemessenheitsbeschluss der EU-Kommission, und geeignete Garantien nach Art. 46 DSGVO bestehen nicht. Die Übermittlung ist erforderlich, um den Kaufvertrag zwischen Händler und Endkunde zu erfüllen (Art. 49 Abs. 1 lit. b DSGVO) und um den Vertrag zu erfüllen, den der Händler im Interesse des Endkunden mit dem Lieferanten schließt (Art. 49 Abs. 1 lit. c DSGVO). Dabei bestehen Risiken: In diesen Ländern ist kein dem EU-Recht gleichwertiges Datenschutzniveau gewährleistet; insbesondere können staatliche Stellen auf die Daten zugreifen, ohne dass betroffenen Personen wirksame Rechtsbehelfe zur Verfügung stehen. Händler informieren ihre Kunden darüber in ihrer eigenen Datenschutzerklärung.

Für die Zugangsdaten des Händlers bei den Lieferanten ist Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO. Für die Gerätedaten beim Bezahlen über Alibaba.com ist Rechtsgrundlage ebenfalls Art. 6 Abs. 1 lit. b DSGVO; die Übermittlung nach Singapur bzw. China beruht auf Art. 49 Abs. 1 lit. b DSGVO und wird erst ausgelöst, wenn der Nutzer die Zahlung startet.

Sendungsverfolgung und E-Mails an Endkunden

Händler mit passendem Tarif können eine Sendungsverfolgungsseite unter dropavo.com/track/… freischalten. Endkunden geben dort Bestellnummer und E-Mail-Adresse ein, bei Bestellungen ohne E-Mail-Adresse die Postleitzahl. Die Eingaben werden als Teil der Seitenadresse übertragen; sie können deshalb im Browserverlauf und in den Protokollen von Cloudflare erscheinen. Angezeigt werden Bestellstatus, Sendungsnummern, Versandereignisse und die bestellten Artikel mit Bildern. Das Logo des Händlers und die Produktbilder werden von den Servern geladen, die Händler bzw. Lieferant dafür angeben; diese erhalten dabei die IP-Adresse des Endkunden. Zum Schutz vor dem Ausprobieren fremder Bestellnummern sind Abfragen begrenzt (30 je 15 Minuten und IP-Adresse, gezählt über einen Hashwert der IP-Adresse, sowie 10 je Bestellung). Die Seite nennt den Shop als Verantwortlichen, verlinkt dessen Datenschutzerklärung, sofern der Händler sie hinterlegt hat, sowie Impressum und Datenschutzerklärung von Dropavo. Sie setzt keine eigenen Cookies und ist für Suchmaschinen gesperrt.

Aktiviert der Händler Versand-E-Mails, sendet Dropavo in seinem Auftrag E-Mails an die E-Mail-Adresse des Endkunden, wenn eine Sendung verschickt oder zugestellt wurde oder ein Problem auftritt. Diese E-Mails enthalten unter anderem Name, Bestellnummer und Sendungsdaten und werden über Resend versendet (Abschnitt 09). Ihre Kopien im Versandausgang werden 90 Tage nach dem Versand geschwärzt.

In beiden Fällen ist der Händler Verantwortlicher und Dropavo Auftragsverarbeiter; Endkunden wenden sich mit Fragen an den Händler.

E-Mails, Support und Kontakt

Dropavo versendet E-Mails, die für Konto und Vertrag nötig sind: Bestätigung der E-Mail-Adresse, Begrüßung, Zurücksetzen und Änderung des Passworts, Hinweise zum zweiten Faktor (neuer oder entfernter Passkey bzw. Authenticator-App, neue Ersatzcodes, Anmeldung mit Ersatzcode, mehrere Fehlversuche nach einer Anmeldung mit Passwort), Änderung der E-Mail-Adresse, Teameinladungen, Hinweise zu Abonnement und Zahlung, Hinweise zu Bestellungen, die Aufmerksamkeit brauchen, Zahlungserinnerungen für offene Lieferanten-Bestellungen, Eingangsbestätigungen für Support-Anfragen und, falls in den Einstellungen aktiviert, eine tägliche Zusammenfassung der Benachrichtigungen. Newsletter oder Werbe-E-Mails versenden wir nicht.

Der Versand erfolgt über Resend, Inc., USA, als Auftragsverarbeiter, über die EU-Region von Resend (Irland). Übermittelt werden Empfängeradresse, Betreff und Inhalt der E-Mail. Zum Nachweis des Versands und zur Fehlersuche speichern wir jede E-Mail im Versandausgang (Empfänger, Betreff, Textfassung, Status). E-Mails an Endkunden und andere Personen, die nicht Mitglied des Arbeitsbereichs sind, werden dort 90 Tage nach dem Versand geschwärzt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für Sicherheitshinweise wie „Passwort geändert“ oder Änderungen am zweiten Faktor zusätzlich Art. 6 Abs. 1 lit. f DSGVO (Schutz des Kontos).

Support und Kontakt

Support-Anfragen aus dem Kundenbereich speichern wir mit Betreff, Nachricht, Referenznummer und Zuordnung zu Nutzer und Arbeitsbereich. Der Nutzer erhält eine Eingangsbestätigung; die Anfrage wird mit ihrem Inhalt an unser Postfach [email protected] weitergeleitet, mit der E-Mail-Adresse des Nutzers als Antwortadresse. Das Postfach wird bei Apple (iCloud Mail, Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irland) betrieben; dort gehen auch E-Mails ein, die direkt an uns gesendet werden. Einen gesonderten Vertrag zur Auftragsverarbeitung haben wir mit Apple für dieses Postfach nicht geschlossen; es gelten die Bedingungen und die Datenschutzrichtlinie von Apple. Bitte senden Sie uns deshalb keine Daten von Endkunden per E-Mail oder über das Support-Formular; für Fragen zu einer Bestellung genügt die Bestellnummer.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei Kunden und bei Anfragen vor Vertragsschluss, im Übrigen Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt in der Beantwortung der Anfrage. E-Mails im Postfach löschen wir, sobald die Anfrage erledigt ist und keine Aufbewahrungspflicht entgegensteht; geschäftliche Korrespondenz (Handels- und Geschäftsbriefe) bewahren wir bis zu sechs Jahre auf (§ 257 HGB, § 147 AO). Support-Anfragen im Kundenbereich bleiben gespeichert, solange das Konto besteht.

Support-Zugriff und interne Auswertungen

Die interne Admin-Konsole von Dropavo ist nur dem Betreiber zugänglich. Erforderlich sind ein freigegebenes und bestätigtes Konto und zusätzlich eine eigene Admin-Passphrase, also ein zweites Geheimnis. Die Admin-Sitzung endet nach der eingestellten Dauer (standardmäßig vier, höchstens acht Stunden) und wird nach 30 Minuten ohne Aktivität gesperrt.

Daten der Händler und interne Auswertungen

Für Support, Betrieb und Missbrauchsabwehr sieht der Betreiber die Konto- und Arbeitsbereichsdaten der Händler, darunter Name, E-Mail-Adresse, Tarif, letzte Anmeldung, letzte Aktivität und aktive Sitzungen (mit dem aus der Browserkennung abgeleiteten Gerätetyp). Außerdem wertet er Nutzungs- und Umsatzkennzahlen der Arbeitsbereiche aus, etwa Ranglisten nach Umsatz, Wachstumskennzahlen und meistverkaufte Produkte, um das Angebot zu steuern, abzusichern und weiterzuentwickeln. Bestellungen aus Amazon fließen in händlerübergreifende Kennzahlen und Ranglisten nicht ein.

Diese Kennzahlen berechnet Dropavo aus Bestellbeträgen, Mengen und Produkten der Bestellungen, ohne Angaben zu Endkunden; die Ergebnisse enthalten keine Endkundendaten und werden nicht an Dritte weitergegeben. Soweit dafür Bestellungen ausgewertet werden, die Dropavo im Auftrag der Händler verarbeitet, handelt Dropavo insoweit als eigener Verantwortlicher; die Händler haben dieser Nutzung in den AGB (§ 8 Abs. 4) und im Auftragsverarbeitungsvertrag (§ 5 Abs. 1) zugestimmt. Rechtsgrundlage ist jeweils Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt im wirtschaftlichen und sicheren Betrieb des Dienstes und in der Unterstützung der Kunden.

Bestellungen und Daten der Endkunden

Um Anfragen zu beantworten (etwa „Wo ist meine Bestellung?“) und Fehler zu beheben, kann der Betreiber Bestellungen der Händler einschließlich der Kontaktdaten der Endkunden (Name, Lieferanschrift, E-Mail-Adresse, Telefonnummer) einsehen. Dafür gelten feste Regeln:

• Sichtbar sind nur Bestellungen des laufenden Kalendermonats und der vier vorangegangenen Monate.
• In der Support-Ansicht der Bestellungen (Liste, Suche und Einzelansicht) sind die Kontaktdaten außer bei Amazon im Klartext sichtbar.
• Käuferdaten aus Amazon sind für den Betreiber immer verdeckt: In Listen, Suchen, Einzelansichten, Einsichten und Auszügen erscheinen nur Initialen, Ort und Land, nie Name, Anschrift, E-Mail-Adresse oder Telefonnummer im Klartext.
• In den Bestelltabellen eines einzelnen Nutzers oder Arbeitsbereichs sind Kundendaten verdeckt; der Klartext einer Bestellung wird dort nur mit dokumentiertem Grund angezeigt.
• Auszüge gibt es nur für einen Händler und einen Monat, nur mit Angabe eines Grundes und in begrenzter Zahl. Einen Sammelauszug über mehrere Händler gibt es nicht.
• Jede Seitenansicht, Suche, Einzelansicht und jeder Auszug der Support-Ansicht wird mit den Kennungen der angezeigten Bestellungen protokolliert, jedoch ohne Kontaktdaten.

Diese Regeln betreffen die Anzeige für den Betreiber; die Daten selbst bleiben im Arbeitsbereich des Händlers unverändert. Der Zugriff erfolgt als Auftragsverarbeiter im Rahmen des Auftragsverarbeitungsvertrags, im Regelbetrieb über die Admin-Konsole. Auf die Datenbank und die Datensicherungen greift der Betreiber nur zur Wartung, Fehlerbehebung und Wiederherstellung zu.

Protokollierung

Aktionen in der Admin-Konsole, Einsichten in Kundendaten, Suchen und Auszüge werden mit E-Mail-Adresse des Admins, Aktion, Ziel, gegebenenfalls Grund, Zeitpunkt, IP-Adresse und Browserkennung protokolliert. Aufrufe der Seiten einzelner Nutzer und Arbeitsbereiche werden zusammengefasst protokolliert, höchstens einmal je 30 Minuten, Admin-Sitzung und Ziel. Die Protokolle werden nach 24 Monaten automatisch gelöscht, Admin-Sitzungen 30 Tage nach ihrem Ablauf. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt im Nachweis rechtmäßiger Zugriffe und im Schutz vor Missbrauch.

Zahlungen (sobald verfügbar)

Die Online-Buchung kostenpflichtiger Tarife wird gerade eingerichtet. Sobald sie verfügbar ist, erfolgt die Zahlung über die Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland. Bei der Buchung wird der Nutzer auf die Bezahlseite von Stripe (checkout.stripe.com) weitergeleitet und gibt seine Zahlungsdaten dort direkt bei Stripe ein. Dropavo erhält keine Karten- oder Kontodaten.

Dropavo übermittelt an Stripe die E-Mail-Adresse des buchenden Nutzers, die Kennung des Arbeitsbereichs sowie Tarif und Abrechnungszeitraum. Auf der Bezahlseite fragt Stripe zusätzlich die Rechnungsanschrift und, soweit vorhanden, die USt-IdNr. ab; Stripe speichert diese Angaben und erstellt damit die Rechnungen. Dropavo speichert die Kunden- und Abonnementkennung von Stripe sowie Status und Laufzeit des Abonnements. Stripe verarbeitet Zahlungsdaten teilweise als eigener Verantwortlicher, etwa zur Betrugsprävention und zur Erfüllung gesetzlicher Pflichten; eine Übermittlung an die Stripe, Inc. in den USA ist dabei möglich (Abschnitt 14). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für Rechnungen und die Aufbewahrung von Buchungsbelegen Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 14 UStG, § 257 HGB und § 147 AO.

Browser-Erweiterung „Dropavo Importer“

Die Chrome-Erweiterung „Dropavo Importer“ hat einen einzigen Zweck: AliExpress-Produkte in die Import-Liste des eigenen Dropavo-Arbeitsbereichs zu übernehmen. Sie läuft nur auf Produkt-, Such-, Shop- und Kategorieseiten von aliexpress.com und aliexpress.us, nicht auf Anmelde- oder Bezahlseiten. Als Berechtigungen hat sie nur ihren eigenen Speicher („storage“) und die Verbindung zu dropavo.com. Vor der ersten Nutzung zeigt sie diese Informationen und fragt nach der Zustimmung; ohne Zustimmung liest sie keine AliExpress-Seiten und überträgt keine Seiteninhalte. Gelesen wird erst, wenn ein Import gestartet wird.

• Gelesene Daten: Inhalte der jeweiligen AliExpress-Seite, nämlich Produkt-ID, Titel, Bilder, Varianten mit Preisen, Bestand und SKU-Merkmalen, Versandangaben, Shopname, Bewertung und Verkaufszahl. Bei markierten Suchtreffern ruft die Erweiterung die Produktseiten nacheinander in der AliExpress-Sitzung des Nutzers ab. Auf Listenseiten prüft sie nur lokal, ob ein Import möglich ist.
• Cookies von AliExpress: Innerhalb der AliExpress-Seite liest die Erweiterung die AliExpress-Cookies aep_usuc_f (Sprache, Währung, Region) und _m_h5_tk (Schlüssel für die Produktabfrage von AliExpress). Beide werden nur für die Abfrage bei AliExpress selbst verwendet und nie an Dropavo übertragen.
• Nicht gelesen: Browserverlauf, andere Webseiten, AliExpress-Zugangsdaten, Bestell- und Zahlungsdaten. Die Erweiterung überträgt keine Bestell- oder Kundendaten.
• Empfänger: ausschließlich Dropavo (dropavo.com), verschlüsselt per HTTPS, in den eigenen Arbeitsbereich. Übertragen werden die Produktdaten und der gewählte Shop. Zur Anzeige im Fenster der Erweiterung ruft sie bei bestehender Verbindung Name und E-Mail-Adresse des Nutzers, seine Rolle, Arbeitsbereich und Tarif, die Zahl der Produkte in der Import-Liste, die Shops, das Standard-Lieferland und die Währung ab. Keine Weitergabe an Dritte, keine Werbung, kein Tracking.
• Speicherung im Browser (chrome.storage.local, nicht synchronisiert): Verbindungs-Token, Zeitpunkt der Verbindung, gewählter Shop, die Zustimmung (Version und Zeitpunkt) und die zuletzt abgerufenen Angaben zu Konto und Arbeitsbereich (wie unter „Empfänger“). Diese Angaben bleiben gespeichert, bis sie beim nächsten Abruf ersetzt werden oder die Verbindung getrennt wird; ist das Token abgelaufen oder widerrufen, werden Token und Konto-Angaben gelöscht.
• Speicherung bei Dropavo: Importierte Produktdaten bleiben im Arbeitsbereich, bis sie gelöscht werden. Vom Token speichern wir nur einen Hashwert sowie Erstell-, Ablauf- und letzten Nutzungszeitpunkt und ob es aus einer Anmeldung mit bestätigtem zweitem Faktor stammt; ein Token gilt höchstens 365 Tage.
• Widerruf: Zustimmung im Fenster der Erweiterung widerrufen, Verbindung trennen, Tokens im Kundenbereich unter „Chrome-Erweiterung & API“ widerrufen oder die Erweiterung in Chrome entfernen. Danach werden keine Daten mehr übertragen.

Rechtsgrundlage für das Auslesen der AliExpress-Seiten und die Übertragung der Produktdaten ist die Einwilligung des Nutzers (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO), die jederzeit mit Wirkung für die Zukunft widerrufen werden kann. Das Speichern von Token, Zustimmung, gewähltem Shop und Konto-Angaben im Browser ist für die vom Nutzer ausdrücklich gewünschte Verbindung mit Dropavo unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Die Verarbeitung der übertragenen Daten im Arbeitsbereich erfolgt zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

Limited-Use-Erklärung: Die Nutzung der Informationen, die die Erweiterung erhält, und ihre Übertragung an andere Anwendungen entsprechen der Chrome-Web-Store-Richtlinie zu Nutzerdaten einschließlich der Anforderungen zur eingeschränkten Nutzung („Limited Use“). Die Daten dienen nur dem Produktimport, werden nicht für personalisierte Werbung genutzt und nur dann von Menschen gelesen, wenn der Nutzer zustimmt, es für Sicherheit oder Missbrauchsabwehr nötig ist oder das Gesetz es verlangt.

KI-gestützte Produkttexte (optional)

Händler können Titel und Beschreibung importierter Produkte mit „KI-Optimierung“ umschreiben lassen (1 Credit je Vorgang). Ist die KI-Anbindung aktiv, was der Kundenbereich anzeigt, sendet unser Server den Produkttitel, die Produktbeschreibung des Lieferanten und die Zielsprache an die Schnittstelle der Anthropic PBC, San Francisco, USA (Modell Claude). Personen- oder Kundendaten werden dabei nicht übermittelt; Produkttexte sollten keine personenbezogenen Angaben enthalten. Ohne KI-Anbindung läuft eine einfache, regelbasierte Überarbeitung auf unserem Server. Gespeichert werden das Ergebnis und die Zahl der verbrauchten Credits. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; zur Übermittlung in die USA siehe Abschnitt 14.

Empfänger und Übermittlung in Drittländer

Personenbezogene Daten erhalten nur die folgenden Stellen und nur, soweit es für den jeweiligen Zweck nötig ist. Als Auftragsverarbeiter gekennzeichnete Dienstleister sind nach Art. 28 DSGVO vertraglich gebunden. Daten werden nicht verkauft. An Behörden geben wir Daten nur weiter, wenn wir dazu gesetzlich verpflichtet sind.

Übermittlungen in die USA stützen sich auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO), soweit der Empfänger danach zertifiziert ist; die Zertifizierung lässt sich unter www.dataprivacyframework.gov prüfen. Im Übrigen und ergänzend gelten die Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss (EU) 2021/914, Art. 46 Abs. 2 lit. c DSGVO). Eine Kopie der Standardvertragsklauseln erhalten Sie auf Anfrage an [email protected]. Zu Übermittlungen an Lieferanten in Singapur und China siehe Abschnitt 07.

Speicherdauer und Löschung

Wir speichern personenbezogene Daten nur, solange es für den jeweiligen Zweck erforderlich ist. Konto-, Arbeitsbereichs- und Vertragsdaten, Aktivitätsprotokoll, Benachrichtigungen, Support-Anfragen und E-Mails an Mitglieder des Arbeitsbereichs im Versandausgang bleiben gespeichert, solange das Konto besteht; für einzelne Daten gelten kürzere, automatische Fristen (siehe unten). Das Aktivitätsprotokoll wird im Kundenbereich je nach Tarif nur für 3 bis 15 Tage angezeigt, bleibt aber gespeichert, solange das Konto besteht. Eine Funktion, mit der Nutzer ihr Konto selbst löschen, gibt es derzeit nicht. Nach Vertragsende löschen oder anonymisieren wir die Daten innerhalb von 30 Tagen, auf Anfrage an [email protected] unverzüglich, spätestens innerhalb eines Monats, jeweils soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Diese Löschungen nehmen wir derzeit manuell vor.

Bestell- und Endkundendaten

Bestelldaten einschließlich der Daten der Endkunden bleiben im Arbeitsbereich, bis der Händler den Shop endgültig löscht oder die Löschung bei uns veranlasst, eine Plattform die Löschung verlangt (Abschnitt 06) oder der Vertrag endet. Einzelne Bestellungen kann der Händler im Kundenbereich archivieren, aber nicht selbst löschen; Löschungen und Anonymisierungen einzelner Bestellungen nehmen wir auf seine Weisung vor. Löscht der Inhaber einen Shop in Dropavo endgültig, werden dessen Bestellungen mit Positionen und Lieferanten-Bestellungen gelöscht und die Versand-E-Mails an die Endkunden dieses Shops im Versandausgang geschwärzt, soweit diese nicht auch in einem anderen Shop des Arbeitsbereichs bestellt haben; Produkte bleiben ohne Shop-Zuordnung erhalten.

Käuferdaten aus Amazon-Bestellungen (Name, Telefonnummer, Käuferkennung, Notiz und Anschrift bis auf das Land; eine E-Mail-Adresse der Käufer speichert Dropavo bei Amazon nicht) werden 14 Tage nach der Zustellung automatisch anonymisiert, bei mehreren Lieferungen nach der letzten. Ist keine Zustellung gemeldet, gilt Amazons spätestes Lieferdatum als Zustellung, fehlt es, das Bestelldatum zuzüglich 30 Tagen – in jedem Bestellstatus, auch bei offenen, in Prüfung befindlichen oder fehlgeschlagenen Bestellungen. Stornierte Bestellungen werden 14 Tage nach dem Bestelldatum anonymisiert oder, falls später, 14 Tage nach dem letzten Versand bzw. der letzten Zustellung; Bestellungen, die ohne Lieferanten-Bestellung erfüllt wurden, 14 Tage nach dem Bestelldatum. Wird ein Amazon-Shop getrennt oder der Zugriff bei Amazon widerrufen, werden seine Käuferdaten 14 Tage danach anonymisiert. Für noch offene Bestellungen erhält der Händler 7 Tage vorher einen Hinweis. Weil Datensicherungen nach höchstens 14 Tagen gelöscht werden, sind Amazon-Käuferdaten spätestens 30 Tage nach der (angenommenen) Zustellung bzw. dem Trennen aus allen Kopien entfernt. Für Bestellungen anderer Plattformen gilt keine automatische Frist.

Automatische Fristen

• Links zur Bestätigung der E-Mail-Adresse gelten 48 Stunden, Links zur Änderung der E-Mail-Adresse 24 Stunden und Links zum Zurücksetzen des Passworts 2 Stunden; Bestätigungs- und Passwortlinks lassen sich nur einmal verwenden. Einladungslinks gelten 7 Tage.
• Anmeldesitzungen enden nach 30 Tagen; bei Abmeldung wird die Sitzung sofort gelöscht, abgelaufene Sitzungen 30 Tage nach ihrem Ablauf. Nicht angenommene Einladungen werden 30 Tage nach ihrem Ablauf gelöscht.
• Zähler zum Schutz vor Missbrauch gelten 15 Minuten, die Serie der Fehlversuche je E-Mail-Adresse bis eine Stunde nach dem letzten Fehlversuch, Zähler für den zweiten Faktor je Konto auch einen Kalendertag; danach werden sie gelöscht, in der Regel spätestens 30 Minuten nach Ablauf. Die Kennung eines bekannten Browsers gilt 90 Tage ab der letzten erfolgreichen Anmeldung und wird danach ebenso gelöscht.
• Einmalige Anfragen für Passkeys gelten 5 Minuten, ein noch nicht bestätigter neuer Schlüssel der Authenticator-App 15 Minuten; danach werden sie automatisch gelöscht.
• Autorisierungsvorgänge bei Shops und Lieferanten (OAuth) gelten höchstens 10 Minuten, bei WooCommerce 30 Minuten, und nur einmal; der Vermerk für die Rückkehr in den Kundenbereich gilt bei WooCommerce 40 Minuten.
• Eingehende Bestellmeldungen der Plattformen (Webhooks) werden vollständig nur bis zur Verarbeitung gespeichert, danach nur mit technischen Angaben; Einträge zur Erkennung doppelter Meldungen werden nach 7 Tagen gelöscht.
• Der HTML-Inhalt einer E-Mail wird im Versandauftrag nach dem Versand gelöscht; die Textfassung bleibt im Versandausgang. E-Mails an Endkunden und andere Personen, die nicht Mitglied des Arbeitsbereichs sind, werden dort 90 Tage nach dem Versand geschwärzt.
• Für die Bildsuche hochgeladene Bilder sind höchstens 10 Minuten nutzbar und werden danach aus dem Arbeitsspeicher entfernt, spätestens beim Neustart des Servers.
• Tokens der Browser-Erweiterung und der API gelten höchstens 365 Tage.
• Protokolle der Admin-Konsole werden nach 24 Monaten gelöscht, Admin-Sitzungen 30 Tage nach ihrem Ablauf.
• Server-Protokolle werden ab 10 MB rotiert; je Protokolldatei bleiben höchstens fünf ältere Fassungen erhalten, und bei jeder Rotation werden Fassungen gelöscht, die älter als 30 Tage sind. Für die laufende Datei gibt es keine feste zeitliche Höchstdauer. Das Systemprotokoll des Servers wird nach höchstens 30 Tagen gelöscht.
• Datensicherungen entstehen täglich, sind mit AES-256-GCM verschlüsselt und werden nach höchstens 14 Tagen gelöscht, auch die verschlüsselte Kopie auf einem eigenen Gerät des Betreibers in Deutschland. Gelöschte Daten können bis dahin noch in Sicherungen enthalten sein.
• E-Mails in unserem Postfach [email protected] löschen wir nach Erledigung der Anfrage, soweit keine Aufbewahrungspflicht besteht; geschäftliche Korrespondenz bewahren wir bis zu sechs Jahre auf (§ 257 HGB, § 147 AO).
• Buchungs- und Steuerunterlagen wie Rechnungen bewahren wir für die gesetzlichen Fristen von sechs, acht bzw. zehn Jahren auf (§ 257 HGB, § 147 AO).

Rechte der betroffenen Personen

Betroffene Personen haben nach der DSGVO folgende Rechte:

• Auskunft über die verarbeiteten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO, siehe Abschnitt 17),
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Für die Ausübung genügt eine formlose Nachricht an [email protected]. Zum Schutz vor Missbrauch können wir einen Nachweis der Identität verlangen, etwa eine Nachricht von der im Konto hinterlegten E-Mail-Adresse. Wir antworten innerhalb eines Monats (Art. 12 Abs. 3 DSGVO). Endkunden von Händlern wenden sich an den jeweiligen Händler; wir unterstützen ihn bei der Beantwortung.

Widerspruchsrecht nach Art. 21 DSGVO

Beschwerderecht bei der Aufsichtsbehörde

Betroffene Personen haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für uns zuständig ist:

Aufsichtsbehörde

Die Landesbeauftragte für Datenschutz und
Informationsfreiheit Nordrhein-Westfalen (LDI NRW)

Anschrift

Kavalleriestraße 2–4
40213 Düsseldorf

Website

www.ldi.nrw.de

Die Beschwerde kann auch bei der Aufsichtsbehörde am Ort des gewöhnlichen Aufenthalts oder des Arbeitsplatzes eingelegt werden.

Cookies und Speicher im Browser

Dropavo verwendet ausschließlich technisch notwendige Cookies. Sie sind für die ausdrücklich gewünschten Funktionen unbedingt erforderlich: Anmeldung, Shop-Auswahl, Schutz des Kontos und sichere Auslieferung. Ihr Speichern und Auslesen ist deshalb nach § 25 Abs. 2 Nr. 2 TDDDG ohne Einwilligung zulässig; ein Cookie-Banner ist nicht erforderlich und wird nicht angezeigt. Analyse-, Tracking- oder Werbe-Cookies setzen wir nicht. Rechtsgrundlage für die weitere Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO, bei Sicherheits-Cookies Art. 6 Abs. 1 lit. f DSGVO (Schutz von Konten und Dienst).

Die Cookies von Dropavo sind für Skripte nicht lesbar (httpOnly), werden nur über HTTPS übertragen und nur für dropavo.com gesetzt. Für die Autorisierung bei Shops und Lieferanten verwendet Dropavo keine Cookies; der Ablauf wird auf dem Server gespeichert. Im Browser-Speicher (localStorage) merkt sich nur die Admin-Konsole die gewählte Diagrammansicht (dropavo-admin-chart:…); das betrifft nur den Betreiber. Außerdem speichert der Browser die von Cloudflare gesendete Vorgabe für Fehlerberichte (NEL, Abschnitt 03) für bis zu sieben Tage; sie ist kein Cookie und enthält nur die Adresse, an die Fehlerberichte gehen, und deren Gültigkeitsdauer. Zum Speicher der Browser-Erweiterung siehe Abschnitt 12.

Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt. Automatische Abläufe wie Preisregeln, Bestandsabgleich oder automatische Bestellungen beim Lieferanten führen Einstellungen des Händlers aus und treffen keine Entscheidungen über Personen. Konten sperrt der Betreiber nur manuell; die vorübergehende Bremse nach fehlgeschlagenen Anmeldeversuchen dient allein der Sicherheit.

Datensicherheit

Wir schützen die Daten mit technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, insbesondere:

• verschlüsselte Übertragung (HTTPS/TLS mit HSTS); die Anwendung ist aus dem Internet nur über einen verschlüsselten Cloudflare-Tunnel erreichbar, direkt erreichbar ist nur der Wartungszugang des Servers (SSH, nur mit Schlüssel);
• Betrieb von Server, Datenbank und Datensicherungen im Rechenzentrum der netcup GmbH in Nürnberg (Deutschland); Datensicherungen mit AES-256-GCM verschlüsselt, ebenso die Kopie auf einem eigenen Gerät des Betreibers in Deutschland;
• Passwörter nur als scrypt-Hashwert mit individuellem Salt; Zugangsschlüssel für Shops und Lieferanten und Käuferdaten aus Amazon-Bestellungen mit AES-256-GCM verschlüsselt; API- und Admin-Tokens nur als Hashwert;
• Begrenzung von Anmeldeversuchen, Pflicht zur Bestätigung der E-Mail-Adresse, Trennung der Arbeitsbereiche und Rollenrechte;
• für Mitglieder von Arbeitsbereichen mit Amazon-Shop ein zweiter Faktor bei der Anmeldung (Passkey oder Authenticator-App) und strengere Passwortregeln (Abschnitt 04); von Passkeys nur der öffentliche Schlüssel, keine biometrischen Daten; Schlüssel der Authenticator-App verschlüsselt; Ersatzcodes und frühere Passwörter nur als Hashwert;
• Prüfung der Signaturen eingehender Plattform-Meldungen, Schutz vor Anfragen an interne Netze (SSRF) und strenge Sicherheitsrichtlinien im Browser (Content Security Policy);
• Admin-Konsole nur mit Freigabe, zusätzlicher Admin-Passphrase und Protokollierung der Zugriffe auf Kundendaten; Käuferdaten aus Amazon sind dort immer verdeckt;
• automatische Löschfristen (Abschnitt 15) und tägliche Datensicherung mit Integritätsprüfung.

Weitere Einzelheiten enthält Anlage 1 des Auftragsverarbeitungsvertrags.

Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich der Dienst, die eingesetzten Anbieter oder die Rechtslage ändern, etwa bei einem Wechsel des Rechenzentrums oder beim Start der Online-Zahlung. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung; ihr Stand ist oben angegeben. Über wesentliche Änderungen informieren wir registrierte Nutzer zusätzlich im Kundenbereich oder per E-Mail.