Datenschutz – Verarbeitung von Amazon-Daten (Marketplace/Bestellabwicklung)

Als Händler auf Amazon verarbeiten wir Daten, die uns Amazon im Rahmen der Bestell- und Versandabwicklung zur Verfügung stellt („Amazon-Informationen“). Dazu gehören insbesondere Bestell- und Transaktionsdaten, Informationen zu bestellten Artikeln (einschließlich ggf. Personalisierungsdaten, sofern Bestandteil der Bestellung), Lieferanschrift sowie Versand- und Trackingdaten. Die Erhebung erfolgt über unser Amazon-Verkäuferkonto bzw. über von Amazon bereitgestellte Schnittstellen/Reports.

Zwecke und Rechtsgrundlagen

Wir verarbeiten Amazon-Informationen ausschließlich zur Abwicklung der Bestellung, zur Erstellung von Versandetiketten, zur Beauftragung und Durchführung des Versands, zur Übermittlung von Versand-/Trackinginformationen an Amazon sowie zur Sicherstellung der IT-Sicherheit und zur Missbrauchsprävention. Rechtsgrundlage ist in der Regel Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie – für Sicherheitsmaßnahmen – Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit unserer Systeme).

Weitergabe

Eine Weitergabe von Amazon-Informationen erfolgt nur, soweit dies für die Versandabwicklung erforderlich ist, insbesondere an Versanddienstleister (z. B. DHL, DPD, GLS, Trex, Hermes, GO, Deutsche Post). Die Übermittlung erfolgt elektronisch und verschlüsselt, soweit technisch verfügbar und vereinbart. Eine darüber hinausgehende Weitergabe oder Nutzung zu eigenen Marketingzwecken findet nicht statt.

Speicherdauer und Löschung

Personenbezogene Amazon-Informationen, die wir für die operative Bestell- und Versandabwicklung verarbeiten, speichern wir nur so lange, wie es hierfür erforderlich ist, und löschen bzw. anonymisieren sie spätestens innerhalb von 31 Tagen nach Versand der Bestellung. Sicherheits- und Prüfprotokolle werden zur Erkennung und Analyse von Sicherheitsvorfällen mindestens 12 Monate aufbewahrt; diese enthalten nach Möglichkeit nur technische Metadaten und keine unnötigen Inhalte aus Bestelldaten.

Technische und organisatorische Maßnahmen (TOM)

Zum Schutz von Amazon-Informationen setzen wir angemessene technische und organisatorische Maßnahmen ein. Dazu zählen insbesondere Netzwerksicherheitskontrollen wie Firewalls, Intrusion-Detection-/Intrusion-Prevention-Systeme (IDS/IPS), Antiviren-/Antimalware-Software sowie Netzwerksegmentierung zur Einschränkung des Zugriffs auf Datenbanken, Dateiserver sowie Desktop-/Entwicklerendpunkte. Der Zugriff auf Amazon-Informationen erfolgt ausschließlich aufgaben- und funktionsbezogen nach dem Need-to-know-Prinzip, umgesetzt über individuelle Nutzerkonten, Rollen und das Prinzip der geringsten Berechtigungen; Schnittstellenberechtigungen werden zentral (z. B. über Active Directory) gesteuert.

Amazon-Informationen werden während der Übertragung verschlüsselt (z. B. mittels TLS). Personenbezogene Daten (PII) werden zudem im Ruhezustand verschlüsselt (AES-128/RSA-2048 oder besser) und es wird ein Schlüsselverwaltungssystem betrieben. Anmeldedaten und Geheimnisse (z. B. Passwörter, Verschlüsselungsschlüssel, geheime Zugriffsschlüssel) werden sicher gespeichert; insbesondere werden keine Zugangsdaten in öffentlichen Repositories abgelegt, weitergegeben oder fest in Anwendungen codiert.

Wir erzwingen Passwortanforderungen (mindestens 12 Zeichen inkl. Sonderzeichen), Multi-Faktor-Authentifizierung (MFA) sowie einen 365-tägigen Ablauf und eine jährliche Rotation. Zur Erkennung von Missbrauch und Sicherheitsvorfällen verwenden wir Prüfprotokolle (Audit Logs), die mindestens zweiwöchentlich überprüft und mindestens 12 Monate aufbewahrt werden. Auffälligkeiten werden anhand von Benutzeraktivitäten erkannt (z. B. Anmeldefehler, Standort, Geräte-/User-Agent, Aktivitätsrate); auf Basis definierter Richtlinien werden Sicherheitswarnungen ausgelöst.

Vorfallsmanagement

Es besteht ein dokumentierter Vorfallsreaktionsplan mit definierten Rollen und Verfahren zur Vorfallsmeldung, der mindestens halbjährlich überprüft wird. Sicherheitsvorfälle, die Amazon-Informationen betreffen, werden innerhalb von 24 Stunden nach ihrer Entdeckung an security@amazon.com gemeldet.

Secure Development, Tests und Schwachstellenmanagement

Anwendungsänderungen werden vor der Produktivsetzung in einer dedizierten Testumgebung untersucht. Der Anwendungscode wird vor jeder Veröffentlichung auf Schwachstellen überprüft. Zusätzlich führen wir mindestens alle 30 Tage Schwachstellenscans sowie jährliche Penetrationstests durch und beheben kritische Ergebnisse innerhalb der geforderten Fristen (7 Tage bei kritisch, 30 Tage bei hoch) in allen Systemen, die Amazon-Informationen verarbeiten. Ein formaler Change-Management-Prozess regelt Verantwortlichkeiten für Test, Review und Freigabe sowie die Zugriffsbeschränkung, wer diese Aktionen durchführen darf.