Zurück zur Startseite

Datenschutzerklärung

1. Einleitung

Willkommen auf CommerceBuddy.de. Wir, die Zombolo GmbH, Betreiber von commercebuddy.de, legen großen Wert auf den Schutz Ihrer Daten und die Wahrung Ihrer Privatsphäre. Die Verarbeitung personenbezogener Daten erfolgt ausschließlich gemäß den Vorgaben der Datenschutz-Grundverordnung (DSGVO), des Bundesdatenschutzgesetzes (BDSG) sowie weiterer anwendbarer Rechtsvorschriften.

2. Datenerhebung und -verwendung

Um unsere Dienste zu verbessern, sammeln wir Daten über die Interaktionen mit unserer Webseite und unseren Diensten. Diese Daten umfassen, sind aber nicht beschränkt auf:

• Besuchte Seiten und Inhalte
• Datum und Uhrzeit des Zugriffs
• Typ des verwendeten Browsers
• Verwendetes Betriebssystem
• Referrer URL (die zuvor besuchte Seite)

Wir betonen, dass diese Daten ausschließlich anonym erfasst und analysiert werden. Es ist uns nicht möglich, diese Daten einer bestimmten Person zuzuordnen.

3. Verwendung von Google Ads API

Wir verwenden die Google Ads API, um die Effizienz unserer Werbekampagnen zu verbessern und relevante Anzeigen für unsere Nutzer zu schalten. Durch die Google Ads API können wir Informationen über die Leistung unserer Anzeigen erfassen und unsere Marketingstrategien optimieren. Alle durch die Google Ads API erfassten Daten werden anonym behandelt und dienen ausschließlich internen Analysezwecken.

4. Zweck und Rechtsgrundlage der Verarbeitung (Amazon-Geschäft)

Personenbezogene Daten von Amazon-Käufern werden ausschließlich für folgende Zwecke verarbeitet:

• Abwicklung von Bestellungen und Direktversand (MFN)
• Erstellung und Bereitstellung gesetzeskonformer Steuerrechnungen
• Bearbeitung von Kundenanfragen (z. B. Stornierungen, Lieferprobleme, Retouren)

Rechtsgrundlage:

• Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) — Versand, Retouren, Support
• Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Pflicht) — Rechnungsstellung gemäß § 14 UStG, § 147 AO und EU-Richtlinie 2006/112/EG

Empfänger personenbezogener Daten:

• DHL Paket Deutschland AG (Versand)
• General Logistics Systems Germany GmbH & Co. OHG (GLS) (Versand)

Eine Weitergabe erfolgt ausschließlich im für die physische Zustellung zwingend erforderlichen Umfang (Name, Lieferanschrift). Auftragsverarbeitungsverträge gemäß Art. 28 DSGVO mit beiden Dienstleistern bestehen. Keine Weitergabe an Marketing-, Werbe- oder Profilbildungs-Drittparteien. Keine Weitergabe an Anwendungen anderer Selling-Partner-API-Entwickler.

Datenhaltung in Drittländern:

Eine Übermittlung in Drittländer außerhalb der EU/des EWR findet nicht statt. Sämtliche Speicherung, Verarbeitung und Backups erfolgen ausschließlich in ISO-27001-zertifizierten Rechenzentren innerhalb der EU.

5. Datenerhebung und -speicherung

• Daten werden ausschließlich über die Amazon Selling Partner API erhoben.
• Speicherung erfolgt auf sicheren Servern in der EU.
• Verschlüsselung: Alle Daten werden sowohl während der Übertragung (TLS 1.2/1.3) als auch im Ruhezustand (AES-256) verschlüsselt.
• Zugriff ist auf berechtigte Personen mit MFA-geschützten Accounts beschränkt.

6. Aufbewahrungsfristen

• Operative Daten (Versand, Abwicklung, Support): Löschung oder Anonymisierung spätestens 30 Tage nach Versand.
• Steuerlich relevante Daten (Rechnungen): Aufbewahrung entsprechend gesetzlicher Vorschriften bis zu 10 Jahre.
• Website-Daten: nur so lange gespeichert, wie es für die oben genannten Zwecke erforderlich ist oder wie es die gesetzlichen Vorschriften zur Aufbewahrung von Daten vorsehen.
• Nach Ablauf der Fristen: sichere Löschung oder Anonymisierung.

7. Betroffenenrechte

Betroffene Personen können jederzeit Auskunft, Berichtigung, Löschung oder Einschränkung der Verarbeitung verlangen sowie der Verarbeitung widersprechen. Darüber hinaus besteht ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde.

Sie haben das Recht auf Berichtigung, Sperrung oder, abgesehen von der vorgeschriebenen Datenspeicherung zur Geschäftsabwicklung, Löschung Ihrer persönlichen Daten. Bitte kontaktieren Sie uns dazu direkt.

8. Sicherheit und Zugriffskontrollen

• Strikte Zugriffsrechte nach Need-to-know-Prinzip (rollenbasiert, RBAC)
• Individuelle, nicht-geteilte Benutzerkonten
• Multi-Faktor-Authentifizierung über Hardware-Token (YubiKey/WebAuthn) und/oder TOTP für alle Mitarbeiterzugänge verpflichtend
• SSH-Zugang ausschließlich mit Hardware-Schlüssel-Authentifizierung und IP-Allowlist
• Default-Deny-Firewall, IDS/IPS, Geo-IP-Filter, Rate-Limiting, Fail2ban
• Login-Lockout nach 5 Fehlversuchen, Logging aller Zugriffe und Berechtigungsänderungen
• Passwort-Hashing mit bcrypt; Passwortkomplexität (min. 12 Zeichen, Sonderzeichen) wird technisch erzwungen
• Verschlüsselte Backups an zwei geografisch getrennten EU-Standorten
• Regelmäßige Sicherheitsüberprüfungen (Vulnerability Scans, automatisierte Code-Scans, Penetrationstests)
• Protokollierung und Monitoring; Logs enthalten keine personenbezogenen Daten — Request- und Response-Bodies werden vor dem Schreiben durch einen PII-Filter maskiert

9. Datenlöschung

Daten werden nach Ablauf der Aufbewahrungsfrist automatisiert gelöscht oder unwiderruflich anonymisiert.

10. Änderungen dieser Datenschutzerklärung

Wir behalten uns das Recht vor, diese Datenschutzerklärung jederzeit mit Wirkung für die Zukunft zu ändern. Die jeweils aktuelle Version ist auf unserer Webseite verfügbar. Bitte besuchen Sie die Webseite regelmäßig und informieren Sie sich über die geltende Datenschutzerklärung.

11. Sicherheitsvorfälle und Meldepflichten

Im Falle eines Sicherheitsvorfalls, der Amazon-Daten betrifft, informieren wir Amazon innerhalb von 24 Stunden nach Entdeckung schriftlich per E-Mail an security@amazon.com. Die zuständige Datenschutzaufsichtsbehörde wird gemäß Art. 33 DSGVO innerhalb von 72 Stunden benachrichtigt; betroffene Personen werden gemäß Art. 34 DSGVO informiert, sofern erforderlich. Der Incident-Response-Plan umfasst Eindämmung, forensische Analyse, Behebung, Credential-Rotation und Lessons-Learned-Dokumentation und wird mindestens jährlich getestet.

12. Kontakt

Wenn Sie Fragen zum Datenschutz auf CommerceBuddy.de haben, schreiben Sie uns bitte eine E-Mail oder kontaktieren Sie uns direkt über die auf der Webseite angegebenen Kontaktinformationen.

Stand: Mai 2026