Amazon-Datenverarbeitung & Datenschutzrichtlinie (Selling Partner API)

1) Auf dieser Seite verwendete Begriffe

• Amazon-Informationen: alle Informationen, die über Amazon-Services-APIs (einschließlich SP-API), Amazon-Portale oder öffentlich zugängliche Amazon-Websites bereitgestellt werden — ob öffentlich oder nicht öffentlich, einschließlich personenbezogener Daten.
• PII (personenbezogene Daten): Informationen, mit denen ein Amazon-Kunde oder ein Autorisierter Nutzer identifiziert oder kontaktiert werden kann (z. B. Name, Anschrift, E-Mail, Telefonnummer, IP-Adresse, Gerätekennungen).
• Autorisierter Nutzer: ein Amazon-Verkäufer bzw. -Vendor, der zur Nutzung der Amazon-Systeme und -Dienste berechtigt ist und unsere Anwendung über das von Amazon vorgeschriebene Drittanbieter-Autorisierungsverfahren freigeschaltet hat.
• Sicherheitsvorfall: jeder tatsächliche oder vermutete unbefugte Zugriff auf Amazon-Informationen sowie deren unbefugte Erhebung, Beschaffung, Nutzung, Übertragung, Offenlegung, Verfälschung oder ihr Verlust — ebenso die Kompromittierung einer Umgebung, in der sie liegen.
• Live-Kopien: online oder über das Netzwerk erreichbare Bestände von Amazon-Informationen (z. B. Produktivdatenbanken, Caches, Suchindizes).

2) Zweck und zulässige Nutzung

Wir greifen auf Amazon-Informationen ausschließlich zu und verarbeiten sie ausschließlich, um den Geschäftsbetrieb eines Autorisierten Nutzers im Rahmen der zulässigen Nutzung der Amazon-APIs zu unterstützen.

Wir greifen auf Amazon-Informationen zu keinem anderen Zweck zu, nutzen, teilen oder offenbaren sie zu keinem anderen Zweck, als die vom Autorisierten Nutzer freigeschalteten Octuno-Funktionen bereitzustellen und zu betreiben — ausgenommen, soweit geltendes Recht es verlangt.

3) Was wir erheben (Datenminimierung)

Wir fordern und rufen nur die Amazon-Informationen ab, die mindestens erforderlich sind, um die freigeschalteten Funktionen bereitzustellen, etwa:

• Bestellungen und Bestellstatus (einschließlich FBM/MFN, soweit Versandabläufe genutzt werden)
• versandbezogene Daten, die zum Erstellen von Labels und zur Versandbestätigung nötig sind
• Bestands- und Lagerdaten (einschließlich des FBA-Bestandskontexts)
• Daten zur Planung und Verwaltung von FBA-Anlieferungen (soweit freigeschaltet)
• Inhaltsfelder von Listings und Produkten (soweit freigeschaltet)
• betriebliche Kennungen, um Datensätze dem richtigen Verkäuferkonto und Marktplatz zuzuordnen

Wir beantragen keinen Zugriff auf Amazon-Informationen, die für die angeforderten Funktionen nicht erforderlich sind.

4) Warum wir erheben und wie wir die Daten nutzen (Funktionszwecke)

Octuno bietet ERP-Funktionen mit Schwerpunkt auf Amazon und weiteren Marktplätzen. Für angebundene Amazon-Konten können wir Amazon-Informationen verwenden für:

• Bestellsynchronisation und statistische Auswertung von Bestellungen für Prognose und Analyse
• Bestandsführung und Nachschubprognose (einschließlich FBA-Limits, soweit einschlägig)
• FBM/MFN-Versandabwicklung (Labelerstellung, Sendungsverfolgung, Versandbestätigung)
• Planung und Verwaltung von FBA-Anlieferungen über die API-Anbindung
• Rentabilitäts- und Betriebskalkulationen entlang der Katalog-, Bestell- und Versandabläufe
• Verwaltung von Produkttexten, einschließlich optionaler KI-gestützter Erzeugung von Listing-Inhalten

5) Autorisierung und Umgang mit Zugangsdaten (strikt)

5.1 Art des Zugriffs

Wir greifen auf Amazon-Informationen ausschließlich über die von Amazon vorgeschriebene Drittanbieter-Autorisierung zu.

5.2 Keine Erhebung von Portal-Zugangsdaten oder Access Keys

Wir fordern, akzeptieren und speichern zu keinem Zeitpunkt:

• Benutzernamen oder Passwörter für Seller Central oder Vendor Central
• Access Keys eines Autorisierten Nutzers
• Access Keys eines anderen Solution Providers

Wird Portalzugriff für einen berechtigten Ablauf benötigt, nutzen wir die von Amazon vorgesehenen Zugriffswege (z. B. Berechtigungen für Zweitnutzer) statt geteilter Zugangsdaten.

5.3 Disziplinierter Umgang mit Schlüsseln

Wir beantragen und unterhalten nur die Access Keys, die für die freigeschalteten Funktionen erforderlich sind, und richten unseren Betrieb an den Baselining-Vorgaben von Amazon aus (einschließlich fortlaufender erfolgreicher API-Aktivität, wo verlangt).

6) Regeln für personenbezogene Daten (strikte Begrenzung + Dokumentation)

6.1 Zulässige Zwecke der PII-Verarbeitung

Wir verarbeiten personenbezogene Daten von Amazon-Kunden nur, soweit dies zwingend erforderlich ist für:

• händlerseitigen Versand (MFN/FBM), z. B. Labelerstellung und Versandbestätigung, und/oder
• gesetzliche, steuerliche oder aufsichtsrechtliche Pflichten, soweit einschlägig

6.2 Unzulässige Zwecke der PII-Verarbeitung

Wir verwenden personenbezogene Daten von Amazon-Kunden nicht für:

• Marketing-Targeting
• das Erfinden oder Manipulieren von Bewertungen und vergleichbare unzulässige Praktiken
• jeden Zweck außerhalb des zulässigen Versands und gesetzlicher Pflichten

Ist die Verarbeitung personenbezogener Daten für eine Funktion erforderlich, dokumentieren wir die Notwendigkeit dieser Verarbeitung im Produkt- und Leistungskontext für die Autorisierten Nutzer.

7) Speicherdauer und Löschung

7.1 Speicherdauer für PII (harte Grenze)

Wir speichern personenbezogene Daten von Amazon-Kunden nicht länger als 30 Tage nach Zustellung der Bestellung und nur so lange, wie es für die zulässigen Zwecke erforderlich ist (händlerseitiger Versand und/oder gesetzliche Pflichten). Wo es betrieblich möglich ist, löschen wir früher (z. B. innerhalb von 30 Tagen nach der Versandbestätigung). Verlangt das Gesetz eine Aufbewahrung über 30 Tage hinaus, bewahren wir nur das Erforderliche und nur zu diesem gesetzlichen Zweck auf.

7.2 Löschung auf Anforderung von Amazon und die dafür geltenden Fristen

Fordert Amazon uns zur Löschung auf, löschen wir Amazon-Informationen dauerhaft und sicher innerhalb der von Amazon vorgegebenen Fristen, insbesondere:

• sichere Löschung innerhalb von 30 Tagen nach der Aufforderung durch Amazon (sofern keine gesetzliche Aufbewahrungspflicht besteht)
• dauerhafte Löschung aller Live-Kopien (online oder über das Netzwerk erreichbar) von Amazon-Informationen innerhalb von 90 Tagen nach der Mitteilung von Amazon, soweit nach den Amazon-Vorgaben einschlägig

7.3 Speicherdauer für nicht personenbezogene Daten

Amazon-Informationen ohne Personenbezug bewahren wir nicht länger auf, als es der Betrieb und die Amazon-Vorgaben erfordern (einschließlich der Löschung innerhalb von 18 Monaten, sofern das Gesetz keine längere Frist verlangt).

7.4 Standard für die sichere Löschung

Die sichere Löschung folgt branchenüblichen Sanitisierungsverfahren wie NIST 800-88.

8) Kennzeichnung und Trennung der Daten

Wir speichern Amazon-Informationen in einem separaten Datenspeicher oder kennzeichnen sie so, dass ihre Herkunft in jedem Datenspeicher erkennbar bleibt. Das trägt Nachvollziehbarkeit, Zugriffskontrolle, Löschpflichten und Prüfbarkeit.

9) Sicherheitsmaßnahmen

9.1 Netzwerkschutz

Wir schränken den öffentlichen Zugang zu Datenbanken, Dateiservern und Arbeitsplatz- bzw. Entwickler-Endgeräten ein durch:

• Netzwerk-Firewalls und Access Control Lists (ACLs), die nicht autorisierte IP-Adressen abweisen
• Netzwerksegmentierung
• IDS/IPS als gestaffelte Verteidigung, um schädliches Verhalten zu erkennen und zu unterbinden
• Virenschutz und Anti-Malware auf den Endgeräten, mindestens monatlich aktualisiert
• Maßnahmen, die verhindern, dass Nutzer den Endgeräteschutz abschalten

Der Zugang zu Systemen, die Amazon-Informationen verarbeiten, ist auf freigegebene interne Personen mit Entwicklungsaufgaben beschränkt, die mindestens jährlich an Schulungen zu Datenschutz und IT-Sicherheit teilnehmen.

9.2 Zugriffsverwaltung und Least Privilege

Wir setzen durch:

• einen formalen Prozess zur Vergabe von Zugängen und eine eindeutige Kennung je Person
• keine Sammel-, Standard- oder geteilten Konten und keine Weitergabe von Konten
• Zugriffsrechte nach Least Privilege und Need-to-know
• Baselining-Mechanismen, die den Zugang auf die notwendigen Konten begrenzt halten
• Kontosperre nach höchstens 10 fehlgeschlagenen Anmeldeversuchen
• Überprüfung der Zugriffsrechte mindestens vierteljährlich
• Entzug des Zugangs innerhalb von 24 Stunden nach dem Ausscheiden von Mitarbeitenden

9.3 Verwaltung von Zugangsdaten und Passwörtern

Für Systeme, die Amazon-Informationen verarbeiten, gilt:

• Passwortlänge: mindestens 12 Zeichen
• kein Bestandteil des Namens der nutzenden Person
• Groß- und Kleinbuchstaben, Ziffern und Sonderzeichen sind Pflicht
• Mindestalter des Passworts: 1 Tag
• Spätester Ablauf des Passworts: 365 Tage
• die Passworthistorie verhindert die Wiederverwendung der letzten 10 Passwörter
• MFA ist für alle Benutzerkonten verpflichtend
• Amazon-API-Schlüssel sind verschlüsselt, nur den notwendigen Personen zugänglich und werden mindestens alle 12 Monate gewechselt

9.4 Verschlüsselung bei der Übertragung

Wir verschlüsseln Amazon-Informationen bei der Übertragung mit sicheren Protokollen wie TLS 1.2+, SFTP und SSH-2.

Unverschlüsselte Kanäle deaktivieren wir auch dann, wenn sie ungenutzt sind. Endet die TLS-Verbindung auf nicht vertrauenswürdiger Multi-Mandanten-Infrastruktur, verschlüsseln wir zusätzlich auf Nachrichtenebene.

9.5 Verschlüsselung im Ruhezustand und Schlüsselverwaltung

Personenbezogene Daten — und jeden Datenspeicher, der solche enthält — verschlüsseln wir im Ruhezustand mit mindestens AES-128 oder RSA-2048 (oder stärker).

Wir betreiben eine Schlüsselverwaltung, die den gesamten Lebenszyklus abdeckt: Erzeugung, sichere Ablage, Wechsel und Widerruf. Auf kryptografisches Material greifen nur die Dienste und Prozesse zu, die es benötigen.

10) Private Geräte, Wechselmedien und DLP

Das Speichern von Amazon-Informationen auf privaten Geräten oder Wechselmedien (USB-Sticks, externe Festplatten, Mobiltelefone) ist untersagt. Ebenso untersagt ist die Ablage in ungesicherten öffentlichen Cloud-Freigaben (z. B. über öffentlich erreichbare Links).

Wir setzen ein:

• technische Sperren gegen unbefugtes Speichern oder Übertragen
• Data-Loss-Prevention-Maßnahmen (DLP), die unbefugte Datenbewegungen überwachen und erkennen
• automatische Alarmierung bei verdächtigen Zugriffs- oder Ausleitungsversuchen

11) Protokollierung, Überwachung und Untersuchungen

Wir protokollieren sicherheitsrelevante Ereignisse über alle Kanäle hinweg, die auf Amazon-Informationen zugreifen (Service-APIs, Speicher-APIs und Administrationsoberflächen), darunter:

• erfolgreiche und fehlgeschlagene Vorgänge
• Datum und Uhrzeit
• Zugriffsversuche
• Datenänderungen
• Systemfehler

Dazu gehört:

• Wir protokollieren privilegierte und administrative Aktionen sowie Konfigurationsänderungen auf Produktivsystemen, die Amazon-Informationen verarbeiten.
• Zugriffskontrolle und Manipulationsschutz über den gesamten Lebenszyklus der Protokolle.
• Protokolle enthalten keine personenbezogenen Daten, sofern das Gesetz es nicht verlangt.
• Auf Produktivsystemen, die Amazon-Kundendaten oder -Datenverkehr verarbeiten, ist Debug-Protokollierung nicht aktiv.
• Auswertung der Protokolle in Echtzeit (wo möglich) oder mindestens alle zwei Wochen.
• Aufbewahrung für mindestens 12 Monate, sofern das Gesetz keine längere Frist verlangt.
• Alarme für auffällige Aktivitäten (z. B. unerwartete Anfrageraten, ungewöhnliche Abrufmengen, mehrfache unbefugte Aufrufe, Zugriff auf Canary-Datensätze, wo eingesetzt).

Untersuchungen werden in unserem Incident-Response-Runbook dokumentiert.

12) Reaktion auf Sicherheitsvorfälle und Meldung an Amazon

Wir unterhalten ein Runbook zur Erkennung und Bearbeitung von Sicherheitsvorfällen, das umfasst:

• festgelegte Rollen und Zuständigkeiten
• die Arten von Vorfällen, die Amazon-Informationen betreffen
• Verfahren zu Eindämmung, Beseitigung und Wiederherstellung
• Dokumentation des Vorfalls, der Behebungsmaßnahmen und der Korrekturmaßnahmen gegen eine Wiederholung
• Umgang mit Beweismitteln und lückenlose Dokumentation der Beweiskette (Amazon auf Anforderung zugänglich, soweit einschlägig)

Meldung an Amazon: Wir benachrichtigen Amazon unter security@amazon.com innerhalb von 24 Stunden nach Feststellung eines Sicherheitsvorfalls, der Amazon-Informationen betrifft.

13) Backups, geografische Trennung, Wiederherstellung (RTO/RPO)

Verschlüsselte Sicherungen und Archive von Amazon-Informationen liegen an einem geografisch getrennten Sicherungsort. Sie werden offline oder nicht interaktiv vorgehalten, sind also nicht für den unmittelbaren, interaktiven Zugriff bestimmt.

Wir unterhalten dokumentierte Wiederherstellungsverfahren mit definierten RTO/RPO-Zielwerten und dokumentierten Tests der Wiederherstellung.

14) Schwachstellenmanagement

Wir unterhalten ein Runbook und Verfahren für das Schwachstellenmanagement, darunter:

• Schwachstellen-Scans mindestens alle 30 Tage
• Penetrationstests mindestens alle 365 Tage
• Prüfung des Codes auf Schwachstellen vor jedem Release

Fristen für die Behebung:

• kritische Schwachstellen werden innerhalb von 7 Tagen behoben
• Schwachstellen mit hohem Risiko werden innerhalb von 30 Tagen nach Entdeckung behoben

Befunde und der Fortschritt der Behebung werden mit dokumentierten Nachweisen verfolgt.

15) Sichere Entwicklung und SDLC-Maßnahmen

Wir halten Praktiken sicherer Entwicklung ein, darunter:

• keine fest im Code hinterlegten sensiblen Zugangsdaten (Schlüssel, Secret Access Keys, Passwörter)
• keine Offenlegung von Geheimnissen in öffentlichen Code-Repositories
• getrennte Test- und Produktivumgebungen
• Code-Review vor jedem Deployment
• Behebung von Laufzeitproblemen durch Fehlerkorrektur und erneutes Deployment mit dokumentierten Korrekturmaßnahmen

16) Unterauftragnehmer, Dienstleister und Versanddienstleister (soweit einschlägig)

Wir geben Amazon-Informationen nur weiter, soweit es für den händlerseitigen Versand erforderlich ist. Konkret werden Versanddaten der Empfänger über eine API an Versanddienstleister (z. B. DHL) übermittelt, und zwar über das Dienstleisterkonto des Händlers, um Labels zu erzeugen und den Versand zu bestätigen. Übermittelt werden dabei nur die mindestens erforderlichen Felder.

Ist ein Infrastrukturanbieter beteiligt, handelt dieser ausschließlich als Auftragsverarbeiter unter Vertraulichkeits- und Datenschutzpflichten und darf Amazon-Informationen nicht für eigene Zwecke nutzen.

Benötigt ein Unterauftragnehmer oder Dienstleister Zugriff auf Amazon-Informationen, führen wir vor der Freigabe und danach mindestens jährlich eine Risikobewertung durch und stellen vertraglich sicher, dass für ihn mindestens ebenso strenge Pflichten gelten wie für uns.

17) Zusagen zur zulässigen Nutzung (Acceptable Use Policy)

Wir tun Folgendes nicht:

• Drosselungskontingente oder Nutzungsgrenzen umgehen (auch nicht durch mehrere Solution-Provider-Konten innerhalb derselben Region)
• Daten über mehrere Autorisierte Nutzer hinweg zusammenführen, um sie an Dritte zu verkaufen oder weiterzugeben
• externe Datendienste anbieten oder bewerben, die aus Amazon stammende Daten vermarkten
• Erkenntnisse über das Geschäft von Amazon für eigene geschäftliche Zwecke veröffentlichen oder weitergeben
• personenbezogene Daten von Amazon-Kunden für Marketing-Targeting oder unzulässige Ansprache verwenden

Unsere Anwendung ist so ausgelegt, dass sie die Drosselungskontingente je Autorisiertem Nutzer einhält; Anfrageraten und clientseitige Fehler werden überwacht.

Haben wir den Verdacht, dass ein Autorisierter Nutzer unseren Dienst nutzt, um gegen seine Vereinbarung mit Amazon zu verstoßen, benachrichtigen wir Amazon unter spapi-abuse@amazon.com und sperren den Zugang dieses Nutzers.

Für SP-API-Support und für organisatorische Änderungen, die unseren Bedarf an Amazon-Informationen oder deren Nutzung betreffen, wenden wir uns an Amazon über: https://developer.amazonservices.com/support

18) Transparenz bei KI-Funktionen

Wo KI zum Einsatz kommt (z. B. KI-gestützte Texterzeugung für Listing-Inhalte):

• legen wir den Einsatz von KI gegenüber den Autorisierten Nutzern offen
• prüfen wir Integrität und Plausibilität der Ergebnisse, um das Risiko wesentlicher Auswirkungen fehlerhafter Ausgaben zu verringern — im Einklang mit unseren Qualitätspflichten

Wir verwenden weder Amazon-Informationen noch Amazon-Materialien, um Machine-Learning-Modelle oder große Sprachmodelle zu entwickeln oder zu verbessern.

19) Unterstützung bei Betroffenenrechten (DSAR)

Soweit datenschutzrechtlich einschlägig, unterstützt Octuno Autorisierte Nutzer bei der Beantwortung von Betroffenenanfragen (Auskunft, Berichtigung, Löschung, Einschränkung bzw. Beendigung der Verarbeitung). Anfragen laufen über unseren Support-Prozess. Wir prüfen die anfragende Person im Kontext des Autorisierten Nutzers, finden die betroffenen Daten aus Amazon-Quellen über die Herkunftskennzeichnung, führen die erforderliche Maßnahme aus (z. B. Export oder Löschung, soweit zulässig) und protokollieren den Abschluss. Für DSAR-Maßnahmen gelten dieselben Sicherheitsmaßnahmen sowie Aufbewahrungs- und Löschregeln wie in dieser Richtlinie beschrieben.

20) Verarbeitungsverzeichnis und Bestandsaufnahme der Amazon-Daten

Wir führen ein internes Verzeichnis der Verarbeitungstätigkeiten für die von Octuno verarbeiteten Amazon-Daten. Es dokumentiert die genutzten Amazon-API-Operationen, die erhobenen Datenfelder (einschließlich der Einstufung als personenbezogen), den Verarbeitungszweck, den Speicherort, die Verschlüsselung, die Aufbewahrungs- und Löschregeln sowie freigegebene Wege der Weitergabe, soweit einschlägig. Das Verzeichnis wird bei Änderungen an Funktionen oder Rollen fortgeschrieben.

21) Privilegierte Zugriffe und Fernzugriff

Administrative und privilegierte Zugriffe werden nach dem Least-Privilege-Prinzip vergeben, erfordern MFA und werden protokolliert. Privilegierte Aktionen an Systemen, die Amazon-Informationen verarbeiten, werden revisionssicher protokolliert. Administrativer Fernzugriff ist auf freigegebene Konten und kontrollierte Zugriffswege beschränkt. Der direkte Zugriff auf Umgebungen mit Amazon-Informationen von nicht verwalteten Privatgeräten aus ist untersagt.

22) Support-Prozess und Zugriffsmodell

Support-Anfragen laufen über einen Ticket- bzw. CRM-Prozess. Support-Mitarbeitende erhalten Zugriff nach dem Least-Privilege-Prinzip. Jeder Zugriff auf Amazon-Informationen zur Fehlersuche ist kontrolliert, protokolliert, wird nachträglich geprüft und ist, wo möglich, zeitlich befristet. Der Support fordert niemals Zugangsdaten zu Seller Central oder Vendor Central oder Access Keys an.

23) Portal-Berechtigungen und Offenlegung zu Mitarbeitenden und Auftragnehmern

Wenn unsere Mitarbeitenden, Beauftragten oder Auftragnehmer Amazon-Informationen verarbeiten oder auf sie zugreifen können, gilt:

• Wir legen dies in unserer Lösungsbeschreibung und in dieser Datenschutz- und Datenverarbeitungsrichtlinie ausdrücklich offen
• Diese Personen werden, soweit einschlägig, über die Portal-Benutzerberechtigungen verwaltet und durchlaufen die vorgeschriebene Verifizierung
• Der Zugriff bleibt auf das Notwendige beschränkt und wird mindestens vierteljährlich überprüft

24) Vernichtung von Geräten und sichere Entsorgung

Geräte und Medien, die Amazon-Informationen enthalten können oder Zugriff auf personenbezogene Daten hatten, werden nach einem sicheren Sanitisierungsverfahren gemäß NIST 800-88 entsorgt — durch sicheres Löschen oder, wo angebracht, physische Zerstörung. Die Entsorgung wird dokumentiert. Ausdrucke mit personenbezogenen Daten werden sicher vernichtet.

25) Erkennung außerhalb der geschützten Grenzen (Dark-Web-Prüfung)

Wir überwachen und alarmieren, um Hinweise darauf zu erkennen, dass Amazon-Informationen über ihre geschützten Grenzen hinaus offengelegt wurden (einschließlich Anzeichen für eine Veröffentlichung im Dark Web). Ein Alarm löst eine Untersuchung nach unserem Incident-Response-Runbook aus. Bestätigt sich ein Sicherheitsvorfall, benachrichtigen wir Amazon wie oben beschrieben innerhalb von 24 Stunden.

26) Kontakt

Support: support@octuno.io
Sicherheits- und Vorfallkontakt (IMPOC): Arsen Ishakov, security@octuno.io