Datenschutzerklärung
Stand: 27. September 2026
1. Verantwortlicher
Rudler & Rocks GmbH
Bergwinkelsweg 23, 31171 Nordstemmen, Deutschland
Geschäftsführung: Florian Rudler
E-Mail: info@rudler-rocks.de
Telefon: +49 5044 99 99 590
Handelsregister: AG Hildesheim, HRB 203615
2. Allgemeines
Eazy-ERP ist ein cloudbasiertes Warenwirtschaftssystem (ERP) für Multichannel-Händler, bereitgestellt als Software-as-a-Service (SaaS). Diese Datenschutzerklärung informiert über die Verarbeitung personenbezogener Daten auf dieser Website und innerhalb der Anwendung.
Für Website-, Kontakt- und eigene Vertragsdaten ist Rudler & Rocks verantwortlich. Verarbeiten wir Käuferdaten im Auftrag eines Händlers, bleibt dieser für die Zwecke und Rechtsgrundlagen der Verarbeitung verantwortlich. Vor Beginn dieser Auftragsverarbeitung ist ein Vertrag nach Art. 28 DSGVO abzuschließen. Anfragen dazu richten Sie aninfo@rudler-rocks.de.
3. Rechtsgrundlagen
Die Verarbeitung personenbezogener Daten erfolgt auf Basis von:
- Art. 6 Abs. 1 lit. a DSGVO (Einwilligung)
- Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung)
- Art. 6 Abs. 1 lit. c DSGVO (Rechtliche Verpflichtung, z. B. § 257 HGB, § 14b UStG)
- Art. 6 Abs. 1 lit. f DSGVO (Berechtigtes Interesse)
4. Hosting
Die Anwendung wird auf Servern der Hetzner Online GmbH in Deutschland betrieben. Hetzner ist ISO 27001 zertifiziert. Anwendung und Datenbanken liegen ausschließlich in Deutschland. Ergänzende Dienste sind in Abschnitt 8 ausgewiesen.
5. Datenverarbeitung auf der Website
5.1 Server-Logfiles
Beim Besuch dieser Website werden automatisch erhoben: IP-Adresse (anonymisiert nach 7 Tagen), Datum/Uhrzeit, aufgerufene Seite, Browser-Typ. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
5.2 Kontaktaufnahme per E-Mail oder Telefon
Unsere Kontaktseite übermittelt keine Formulardaten an einen Website-Server. Die dort angebotenen E-Mail-Links öffnen das auf Ihrem Gerät eingerichtete E-Mail-Programm. Wenn Sie uns per E-Mail oder Telefon kontaktieren, verarbeiten wir Ihre Angaben zur Bearbeitung der Anfrage. Die Speicherdauer richtet sich nach dem Zweck der Anfrage und anwendbaren gesetzlichen Aufbewahrungspflichten. Rechtsgrundlage ist – abhängig vom Anliegen – Art. 6 Abs. 1 lit. b oder lit. f DSGVO.
5.3 Cookies
Diese Website verwendet ausschließlich technisch notwendige Cookies. Keine Tracking- oder Analyse-Cookies.
6. Datenverarbeitung in der Anwendung
6.1 Kundenkonto
Wir verarbeiten Benutzername, E-Mail-Adresse und die für die Anmeldung erforderlichen Kontodaten. Bei lokaler Anmeldung werden Passwörter gehasht gespeichert; bei Single-Sign-on über Microsoft Entra ID erfolgt die Anmeldung über den Identitätsanbieter. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Für administrative Zugriffe und den Zugriff auf Amazon-Käuferdaten gilt die Vorgabe einer Mehr-Faktor-Authentifizierung (MFA/2FA). Die öffentliche Amazon-Anbindung für externe Händler befindet sich in Vorbereitung. Ihre Freigabe setzt den Nachweis der erforderlichen Zugriffsschutz-, Verschlüsselungs- und Löschkontrollen voraus.
6.2 Marketplace-Daten
Eazy-ERP synchronisiert Daten über die offiziellen APIs von Marktplätzen (z. B. Amazon, Kaufland). Dabei werden Bestellungen, Produktdaten und — sofern für Versand und Rechnungserstellung erforderlich — Käuferinformationen (Name, Adresse) verarbeitet. Der Zugriff auf personenbezogene Käuferinformationen erfolgt ausschließlich über geschützte Zugriffstokens mit begrenzter Gültigkeit.
6.3 Datensicherheit
Der Zugriff ist durch ein rollenbasiertes Berechtigungssystem eingeschränkt. Sensible strukturierte Käuferdaten werden in der Datenbank feldweise verschlüsselt; sicherheitsrelevante Vorgänge werden protokolliert. Zur Freigabe der öffentlichen Amazon-Anbindung gehört auch der Verschlüsselungsnachweis für Dokumente mit Käuferdaten und ihre Sicherungskopien.
6.4 Mandantentrennung
Jeder Kunde erhält eine getrennte Datenumgebung. Berechtigungen begrenzen den Zugriff auf die jeweils zugeordnete Kundeninstanz.
6.5 Versanddienstleister
Für die Abwicklung von Sendungen übermittelt Eazy-ERP die zur Zustellung erforderlichen Empfängerdaten (Name und Lieferadresse, bei Bedarf E-Mail-Adresse oder Telefonnummer für die Zustellbenachrichtigung) an den vom Kunden ausgewählten Versanddienstleister. Angebunden sind derzeit die DHL Paket GmbH und die General Logistics Systems Germany GmbH & Co. OHG (GLS). Zweck ist die Versandabwicklung, die Erstellung von Versandetiketten, die Sendungsverfolgung und die Retourenabwicklung; bei GLS zusätzlich die Zollanmeldung für Sendungen in Länder außerhalb der EU. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Für die eigentliche Beförderung verarbeiten die Versanddienstleister die Sendungsdaten als eigenständig Verantwortliche nach ihren jeweiligen Datenschutzbestimmungen.
7. Amazon Ads (geplante Aktivierung)
Eazy-ERP bietet Amazon-Verkäufern ein Pilot-Onboarding für Kampagnen, Budgets, Targeting und Reporting zu Sponsored Products, Sponsored Brands und Sponsored Display. Dieser Abschnitt soll gelten, sobald Amazon den erforderlichen Ads-API-Zugang freigegeben hat und ein Kontoinhaber die Verbindung ausdrücklich aktiviert. Eazy-ERP soll dabei keine verwalteten Werbedienstleistungen erbringen und keine Kundenkampagnen als Managed Service verwalten.
7.1 Beabsichtigte Datenkategorien und Zweck
Nach der Freischaltung sollen ausschließlich Daten aus ausdrücklich autorisierten Werbekonten und Profilen verarbeitet werden. Dazu können Konto- und Profilkennungen, Kampagnen, Anzeigengruppen, Anzeigen, Targets, Keywords, Budgets, Gebote und von Amazon bereitgestellte Reportdaten gehören. Zweck soll die Bereitstellung der vom Nutzer aktivierten Ads-Funktionen in Eazy-ERP sein, insbesondere die strukturierte Darstellung, Verwaltung und Auswertung im von Amazon freigegebenen Umfang.
7.2 Autorisierung und Zugangsdaten
Die Verbindung soll über den von Amazon vorgesehenen OAuth-Prozess und nur nach ausdrücklicher Autorisierung durch den Kontoinhaber erfolgen. Erforderliche OAuth-Tokens sollen verschlüsselt und ausschließlich serverseitig gespeichert werden. Amazon-Passwörter sollen nicht abgefragt oder gespeichert werden. Die Autorisierung soll widerrufen und die Verbindung getrennt werden können; danach sollen keine neuen Ads-Daten aus dem getrennten Konto abgerufen werden.
7.3 Trennung, Löschung und Weitergabe
Bei Trennung des Werbekontos, Vertragsende oder einer entsprechenden Anforderung durch Amazon sollen Ads-Daten und zugehörige Tokens gelöscht werden. Soweit einzelne Daten gesetzlich zwingend aufzubewahren sind, sollen sie getrennt gesperrt, ausschließlich zur Erfüllung dieser Pflicht verarbeitet und nach Ablauf der gesetzlichen Aufbewahrungsfrist endgültig gelöscht werden. Amazon-Ads-Daten sollen nicht verkauft und nicht für eigenständige Werbezwecke Dritter weitergegeben werden.
8. Dienstleister und Datenempfänger
| Anbieter | Zweck | Standort |
|---|---|---|
| Hetzner Online GmbH | Server-Hosting | Deutschland |
| GitHub Inc. | Quellcode-Hosting, CI/CD | USA (EU-Standardvertragsklauseln) |
| Amazon Web Services EMEA SARL | Schlüsselverwaltung und Verschlüsselung (KMS), verschlüsselte Datenbank-Backups, Sicherheits-Log-Archiv | Deutschland (Region eu-central-1, Frankfurt) |
| Microsoft Ireland Operations Limited | Authentifizierung und Single-Sign-on (Entra ID); Microsoft Graph für angebundene Support-Postfächer. Kundeneigene Verbindungen setzen deren Aktivierung voraus. | EU |
| DHL Paket GmbH | Versandabwicklung, Versandetiketten, Sendungsverfolgung, Retouren | Deutschland |
| General Logistics Systems Germany GmbH & Co. OHG (GLS) | Versandabwicklung, Versandetiketten, Sendungsverfolgung, Retouren, Zollanmeldung außerhalb der EU | Deutschland |
Versanddienstleister sind hier als Empfänger der zur Zustellung erforderlichen Daten aufgeführt. Für die eigentliche Beförderung handeln sie als eigenständig Verantwortliche und nicht als Auftragsverarbeiter.
9. Aufbewahrung und Löschung
Maßgeblich sind Verarbeitungszweck, Datenart und die jeweils anwendbare gesetzliche Pflicht. Eine Aufbewahrungspflicht für einzelne Belege rechtfertigt keine pauschale Speicherung vollständiger Käuferprofile oder sämtlicher Bestelldaten. Für die öffentliche Amazon-Anbindung bilden die folgenden Vorgaben die Grundlage der vor Freigabe nachzuweisenden Löschkontrollen.
| Datenart | Frist | Grundlage |
|---|---|---|
| Operative personenbezogene Amazon-Käuferdaten | Nur solange für den zulässigen Zweck erforderlich, längstens 30 Tage nach Lieferung. Länger ausschließlich für eine konkret anwendbare gesetzliche Pflicht, beschränkt auf die dafür erforderlichen Daten. | Amazon SP-API Data Protection Policy; Art. 5 Abs. 1 lit. e DSGVO |
| Rechnungen und Buchungsbelege nach deutschem Recht | Regelmäßig 8 Jahre ab Ende des maßgeblichen Kalenderjahres; gesetzliche Verlängerungen bleiben unberührt. | § 14b UStG, § 257 HGB, § 147 AO |
| Gesetzlich erforderliche OSS/IOSS-Aufzeichnungen | 10 Jahre ab Ende des Jahres des Umsatzes oder Geschäftsvorgangs; nur die gesetzlich erforderlichen Aufzeichnungen. | § 22 Abs. 1 UStG i. V. m. §§ 18j, 18k UStG |
| Sonstige Bestell-, Konto- und Vertragsdaten | Bis der jeweilige Verarbeitungszweck entfällt; danach Löschung, soweit keine konkrete gesetzliche Pflicht oder andere tragfähige Rechtsgrundlage fortbesteht. Für Amazon-Daten gelten zusätzlich die kürzeren zweckgebundenen Fristen und Löschvorgaben. | Art. 5 Abs. 1 lit. e, Art. 6 und Art. 17 DSGVO |
| Kontaktanfragen | In der Regel bis 6 Monate nach Abschluss der Anfrage; länger nur bei Vertragsbezug oder gesetzlicher Aufbewahrungspflicht | Art. 6 Abs. 1 lit. b oder lit. f DSGVO; gesetzliche Aufbewahrungspflichten |
Für Amazon-SP-API-Daten gilt zusätzlich: Spätestens 30 Tage nach dem frühesten einschlägigen Ereignis – Löschaufforderung durch Amazon, Widerruf der Autorisierung, Vertrags- oder Zugriffsende, Wegfall der Verarbeitungsberechtigung oder Ende der Teilnahme am Amazon-Dienst – sind die Daten einschließlich vorhandener Kopien zu löschen. Nur gesetzlich zwingend aufzubewahrende Daten dürfen für die Dauer und den Zweck dieser Pflicht verbleiben. Bloße Anonymisierung ersetzt die von Amazon verlangte Löschung nicht.
Gesetzlich aufzubewahrende Amazon-Käuferdaten sind vom operativen Zugriff zu trennen, verschlüsselt zu speichern und auf berechtigte Personen zu beschränken. Sie dürfen nicht für Werbung, allgemeine Kundenprofile oder andere Zwecke weiterverwendet werden. Die Löschvorgaben umfassen Exporte, Dokumente und Sicherungskopien; eine Wiederherstellung darf abgelaufene Daten nicht erneut für den operativen Zugriff verfügbar machen. Bei Verarbeitung im Auftrag gelten zusätzlich die dokumentierten rechtmäßigen Weisungen des Händlers. Erforderliche abweichende gesetzliche Fristen, etwa für Händler außerhalb Deutschlands, sind auf die jeweils betroffenen Unterlagen zu begrenzen.
Grundlagen: Amazon-Hinweise zur Aufbewahrung und Löschung,§ 14b UStG,§ 257 HGB und§ 22 UStG.
10. Ihre Rechte
Sie haben gegenüber uns folgende Rechte:
- Auskunft (Art. 15 DSGVO)
- Berichtigung (Art. 16 DSGVO)
- Löschung (Art. 17 DSGVO)
- Einschränkung der Verarbeitung (Art. 18 DSGVO)
- Datenübertragbarkeit (Art. 20 DSGVO)
- Widerspruch (Art. 21 DSGVO)
Zur Ausübung Ihrer Rechte wenden Sie sich an: info@rudler-rocks.de
11. Beschwerderecht
Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren:
Die Landesbeauftragte für den Datenschutz Niedersachsen
Prinzenstraße 5, 30159 Hannover
poststelle@lfd.niedersachsen.de
12. Änderungen
Wir behalten uns vor, diese Datenschutzerklärung anzupassen. Die aktuelle Version gilt ab dem oben genannten Stand.