Sicherheit & Datenschutz
Dieses Dokument beschreibt, wie Aux Fulfillment Informationen aus Marktplätzen (Amazon, OTTO, Kaufland, eBay u. a.) erhebt, verarbeitet, speichert, weitergibt und löscht, und welche technischen und organisatorischen Maßnahmen dabei gelten. Es erfüllt die Anforderungen der Amazon Data Protection Policy (DPP) und der Acceptable Use Policy für die Selling Partner API.
1. Zweck und Umfang der Verarbeitung
- Aux Fulfillment betreibt ein Lager- und Versandsystem (Partnerpanel, Admin-Panel, Lager-App) für Online-Händler („Mandanten“).
- Marktplatz-Informationen werden ausschließlich zur Auftragsabwicklung des jeweiligen Mandanten genutzt: Bestellimport, Bestandsabgleich, Kommissionierung, Verpackung, Versandlabel, Lieferschein, Rechnung an den Käufer, Retourenabwicklung sowie betriebliche Auswertungen des Mandanten.
- Keine Nutzung für Werbung, keine Profilbildung, kein Verkauf oder Tausch von Daten, keine Zusammenführung über Mandanten hinweg.
- Jeder Mandant sieht ausschließlich seine eigenen Daten (Mandantentrennung auf Datenbankebene über den Mandantenschlüssel in jeder Tabelle).
2. Datenklassifizierung
| Klasse | Beispiele | Behandlung |
|---|---|---|
| Personenbezogene Daten (PII) von Käufern | Name, Lieferanschrift, Rechnungsanschrift, Telefon, E-Mail | verschlüsselt gespeichert (AES-256-GCM), Zugriff nur mit Aufgabe, Löschung 30 Tage nach Versand |
| Bestell- und Bestandsdaten | Bestellnummer, Artikel, Mengen, Beträge, PLZ/Ort/Land, Status, Sendungsnummern | mandantengetrennt, Zugriff nach Rolle, Aufbewahrung nach handels- und steuerrechtlichen Fristen |
| Zugangsdaten | API-Token, Refresh-Token, Client-Secrets, Passwörter | Token verschlüsselt (AES-256-GCM), Passwörter gehasht (bcrypt), nie im Quellcode, nie in Protokollen |
| Geschäftsunterlagen des Mandanten | Rechnungen an Käufer, Kundenverzeichnis | Eigentum des Mandanten, gesetzliche Aufbewahrung (§ 147 AO, § 257 HGB: 10 Jahre) |
3. Speicherung, Verschlüsselung und Schlüsselverwaltung
- Betrieb auf einem dedizierten Server bei Hetzner Online GmbH in Deutschland (Rechenzentrum Nürnberg), Ubuntu LTS mit automatischen Sicherheitsupdates.
- Übertragung ausschließlich über TLS 1.2+ (HTTPS, Zertifikate Let’s Encrypt, automatische Erneuerung). Zugriff auf den Server nur per SSH mit Schlüssel, Passwort-Anmeldung und Root-Login deaktiviert.
- Käufer-PII aus Amazon wird feldweise mit AES-256-GCM verschlüsselt in der Datenbank abgelegt. Im Klartext verbleiben nur Postleitzahl, Ort, Land und Bestellnummer. Der Klartext entsteht ausschließlich im Arbeitsspeicher für den konkreten Arbeitsschritt (Kommissionierliste, Versandlabel, Packzettel, Rechnung, Anzeige im Panel).
- Schlüsselverwaltung: Der Datenschlüssel liegt außerhalb der Datenbank in einer Datei, die nur dem Anwendungsbenutzer lesbar ist (Rechte 0600); er ist nicht Teil des Quellcodes oder eines Repositories. Schlüsselrotation ist über Neuverschlüsselung der betroffenen Felder vorgesehen; Schlüssel werden getrennt von den Datensicherungen aufbewahrt.
- API-Zugangsdaten der Marktplätze (Refresh-Token, Client-Secrets) werden mit demselben Verfahren verschlüsselt gespeichert.
4. Aufbewahrung und Löschung
- Amazon-Käuferdaten (PII): automatische Löschung der verschlüsselten Namen-, Anschrift-, Telefon- und E-Mail-Daten 30 Tage nach Versand der Bestellung (bei Amazon-versendeten Bestellungen 30 Tage nach Bestelldatum). Erhalten bleiben Bestellnummer, Artikel, Beträge, Postleitzahl, Ort und Land.
- Rechnungen: Vom Mandanten an den Käufer ausgestellte Rechnungen sind eigene Geschäftsunterlagen des Mandanten und werden nach § 147 AO zehn Jahre aufbewahrt; der Zugriff ist auf den Mandanten beschränkt.
- Vom Mandanten selbst erfasste Kundendaten (Kundenverzeichnis) unterliegen der Verantwortung des Mandanten und werden nicht automatisch gelöscht.
- Löschläufe sind protokolliert (Anzahl, Zeitpunkt) und werden in der zweiwöchentlichen Prüfprotokoll-Auswertung kontrolliert.
5. Zugriffskontrolle
- Rollenmodell: Admin (Betrieb Aux), Lagerpersonal (nur offene Aufträge, keine Kundendaten außer Versandanschrift des Auftrags), Mandant (eigene Daten), Support-Zugriff nur nach ausdrücklicher Freigabe des Mandanten und zeitlich begrenzt.
- Jeder Benutzer wird individuell mit eigenem Konto (E-Mail) identifiziert; keine geteilten Konten. Anmeldungen, Fehlversuche, Sperren, Passwortänderungen, Support-Zugriffe und Datenänderungen werden mit Benutzer, Zeitstempel und IP protokolliert.
- Passwortrichtlinie: mindestens 12 Zeichen mit Sonderzeichen und mindestens zwei weiteren Zeichenklassen, bcrypt-Hash, Ablauf nach 365 Tagen mit erzwungener Änderung, Sperre nach wiederholten Fehlversuchen.
- Multi-Faktor-Authentifizierung (TOTP) ist für alle Konten verpflichtend.
- Prinzip der minimalen Rechte auf Serverebene: Anwendung läuft unter eigenem Systembenutzer, Datenverzeichnis nur für diesen lesbar, kein öffentlicher Zugriff auf Datenbank oder Dateien (Firewall: nur 22, 80, 443).
6. Netzwerk- und Systemsicherheit
- Firewall (ufw) mit Standard-Deny, offen nur SSH (Schlüssel) und HTTPS/HTTP (Weiterleitung auf HTTPS).
- Einbruchserkennung und -abwehr: fail2ban für SSH und Webzugriffe; Anmelde-Fehlversuche in der Anwendung werden gezählt und führen zur Sperre.
- Täglicher Malware-Scan (ClamAV) der Anwendungs- und Systemverzeichnisse mit Alarm ins Admin-Panel.
- Automatische Sicherheitsupdates des Betriebssystems (unattended-upgrades).
- Monatlicher Schwachstellenscan (Lynis-Systemaudit, offene Ports, ausstehende Sicherheitsupdates) mit Protokollierung im Admin-Panel; kritische Befunde werden innerhalb von 7 Tagen, hohe innerhalb von 30 Tagen behoben.
- Penetrationstest: jährlich vorgesehen; bis zur Beauftragung eines externen Dienstleisters erfolgt eine interne Prüfung der Anwendung gegen die OWASP-Top-10 (Authentifizierung, Sitzungen, Zugriffskontrolle, Eingabevalidierung) mit dokumentierten Befunden und denselben Behebungsfristen.
- Keine Speicherung von Marktplatz-Informationen auf privaten Geräten oder Wechseldatenträgern: Die Anwendung ist eine Browser-Anwendung ohne lokale Datenhaltung; Exporte sind auf berechtigte Rollen beschränkt und werden protokolliert.
7. Protokollierung und Überwachung
- Anwendungsprotokoll (Audit-Log) mit Benutzer, Aktion, Detail, IP und Zeitstempel für sicherheitsrelevante und datenverändernde Vorgänge; Aufbewahrung mindestens 12 Monate, keine automatische Löschung.
- Betriebsüberwachung alle 15 Minuten: hängende Abgleiche, fehlende Sicherungen, Speicherplatz, ausstehender Schwachstellenscan, ausstehende Protokollauswertung. Befunde erscheinen im Admin-Panel.
- Zweiwöchentliche Auswertung des Prüfprotokolls (automatischer Bericht: Anmeldungen, Fehlversuche, Sperren, auffällige IP-Adressen, Admin-Aktionen, Zugriffe auf Käuferdaten, Löschläufe, Konten ohne MFA); Bericht wird archiviert und vom Verantwortlichen geprüft.
8. Datensicherung und Wiederherstellung
- Verschlüsselte Sicherungen (restic, AES-256) zweimal täglich; jede Sicherung wird automatisch durch Probe-Wiederherstellung, Integritätsprüfung der Datenbank und Abgleich der Datensatzzahlen verifiziert.
- Die Sicherungen liegen verschlüsselt in einem eigenen, nur für root lesbaren Bereich des Servers; der Schlüssel der Sicherung wird getrennt von den Anwendungsdaten aufbewahrt. Eine zusätzliche Kopie an einem zweiten Standort ist für die nächste Ausbaustufe vorgesehen.
- Wiederherstellungsziele: RPO 12 Stunden, RTO 4 Stunden. Der Wiederherstellungsablauf ist dokumentiert und wird durch die automatische Probe-Wiederherstellung bei jeder Sicherung geübt.
9. Entwicklung, Test und Änderungsmanagement
- Jede Änderung wird zuerst in einer getrennten Testumgebung mit anonymisierten bzw. Testdaten geprüft (keine echten Käuferdaten in Test oder Entwicklung).
- Vor jeder Veröffentlichung: automatische Syntax- und Konsistenzprüfung des Anwendungscodes, Review der Änderung, Funktionsprüfung in der Testumgebung, dokumentierte Freigabe durch den Verantwortlichen. Veröffentlichen darf nur der Verantwortliche über einen kontrollierten Deploy-Ablauf.
- Zugangsdaten werden nie fest im Code hinterlegt; Konfiguration und Schlüssel liegen außerhalb des Anwendungsverzeichnisses.
- Code-Schwachstellen aus Entwicklung oder Betrieb werden als Vorfall erfasst, priorisiert (kritisch 7 Tage, hoch 30 Tage) und mit Nachweis der Behebung dokumentiert.
10. Weitergabe an Dritte und externe Quellen
| Empfänger | Daten | Zweck / Grundlage |
|---|---|---|
| Paketdienste (DHL, Hermes, DPD) im Auftrag des Mandanten | Empfängername, Lieferanschrift, ggf. Telefon/E-Mail für Zustellbenachrichtigung | Zustellung der Bestellung; Übertragung per TLS an die API des Paketdienstes |
| Hetzner Online GmbH (Deutschland) | Hosting der Systeme (kein inhaltlicher Zugriff) | Auftragsverarbeitung, Rechenzentrum in Deutschland |
Externe (nicht von Amazon stammende) Quellen für Amazon-Informationen: keine. Alle Amazon-Informationen werden ausschließlich über die Selling Partner API bezogen.
11. Incident-Response-Plan
Rollen
Incident Management Point of Contact (IMPOC): Ahsen Kerpic, Geschäftsführung Ahsen Supply GmbH, info@ahsensupply.de, +49 172 6584003. Vertretung: technischer Betrieb Aux Fulfillment.
Ablauf
- Erkennen – Alarm aus Überwachung, Malware-Scan, Protokollauswertung, Hinweis eines Mandanten oder Dritten.
- Eindämmen (sofort) – betroffene Konten sperren, Sitzungen beenden, API-Token widerrufen, betroffenes System vom Netz trennen, Schlüssel rotieren.
- Melden (innerhalb 24 Stunden nach Feststellung) – Sicherheitsvorfälle, die Amazon-Informationen betreffen, an
security@amazon.commit Beschreibung, Umfang, betroffenen Daten und Maßnahmen; betroffene Mandanten informieren; ggf. Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO binnen 72 Stunden. - Untersuchen – Protokolle sichern und auswerten, Ursache bestimmen, betroffene Datensätze bestimmen.
- Beheben – Schwachstelle schließen, Systeme aus verifizierter Sicherung wiederherstellen, Zugänge erneuern.
- Nachbereiten – Bericht mit Ursache, Zeitablauf, Maßnahmen; Anpassung von Richtlinien und Kontrollen.
Der Plan wird halbjährlich überprüft und bei Bedarf angepasst.
12. Rechte der Betroffenen und Kontakt
Anfragen zu Auskunft, Berichtigung oder Löschung richten Käufer an den jeweiligen Händler (Mandanten) als Verantwortlichen; Aux Fulfillment unterstützt als Auftragsverarbeiter innerhalb der vertraglichen Fristen. Kontakt Datenschutz: info@ahsensupply.de.