Datenschutzerklärung

1. Verantwortliche Stelle

Verantwortlich für dieses Onboarding-Portal ist die fly fulfillment GmbH, Schulzacker 4, 35638 Leun, Deutschland. Du erreichst uns telefonisch unter +49 178 6337217 und per E-Mail an admin@fly-fulfillment.com. Ein Datenschutzbeauftragter ist nicht bestellt.

2. Welche Daten im Portal anfallen

Wenn du das Kunden-Onboarding ausfüllst, verarbeiten wir den Firmennamen sowie Namen und Kontaktdaten deiner Ansprechperson. Hinzu kommen deine Angaben zu Artikeln und SKUs, Verkaufszahlen, Shops und Marktplätzen, Wareneingang, Lagerung, Versand, Retouren und geplantem Versandstart. Je nach deiner Auswahl verarbeiten wir auch JTL- und DHL-Zugangsdaten, Abrechnungsnummern, Entscheidungen zum Versandangebot, hochgeladene PDFs sowie freiwillige Fragen und Hinweise. Bitte gib nur Daten ein, die für die Zusammenarbeit benötigt werden.

Im internen Bereich verarbeiten wir Benutzernamen, Passwort-Hashes, Angaben zum zweiten Faktor, Sitzungsdaten und sicherheitsrelevante Ereignisse. Beim Aufruf des Portals können außerdem IP-Adresse, Zeitpunkt, angeforderte Seite und technische Browserdaten in Server- oder Anwendungsprotokollen anfallen. Das interne Sicherheitsprotokoll enthält Aktion, Ergebnis, Zeitpunkt, Benutzer- beziehungsweise Kundenbezug und gegebenenfalls eine gehashte Sitzungskennung; es speichert keine Passwörter oder Formularinhalte.

3. Wofür wir die Daten verwenden

Wir nutzen deine Angaben, um die Zusammenarbeit vorzubereiten und durchzuführen, Fulfillment-Leistungen einzurichten, Versand und Retouren zu planen und Rückfragen zu klären. Bei natürlichen Personen als Vertragspartner stützen wir uns auf Art. 6 Abs. 1 lit. b DSGVO. Für Ansprechpersonen eines Unternehmens und für die sichere Bereitstellung des Portals gilt unser berechtigtes Interesse an der Durchführung der Geschäftsbeziehung und dem Schutz des Dienstes (Art. 6 Abs. 1 lit. f DSGVO). Soweit gesetzliche Aufbewahrungspflichten bestehen, ist Art. 6 Abs. 1 lit. c DSGVO einschlägig.

Als Pflichtfelder gekennzeichnete Angaben benötigen wir für das Onboarding. Ohne sie kann das Formular nicht abgeschlossen werden. Freitextangaben sind freiwillig. Eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO findet im Portal nicht statt.

4. Server, Datenbank und Sicherungen

Das Portal wird auf einem Hetzner-Cloud-Server in Nürnberg betrieben und über Coolify bereitgestellt. Es verwendet eine eigene PostgreSQL-Datenbank für das Onboarding; diese ist von der weiteren FlyFlow-Kerndatenbank getrennt. Kundeneinträge, Formularantworten und hochgeladene PDFs liegen in der Onboarding-Datenbank. Formularinhalte mit Zugangsdaten und neue PDF-Dateien werden vor der Speicherung durch die Anwendung verschlüsselt. Passwörter werden als Hash und nicht im Klartext gespeichert.

Für die Wiederherstellung werden PostgreSQL-Datenbank-Dumps erstellt. Diese werden zusätzlich mit Restic verschlüsselt in einem getrennten Hetzner-Object-Storage-Bucket in Falkenstein gesichert. Für den Cloud-Server sind darüber hinaus Hetzner-Server-Backups aktiviert. Bei einem Wiederherstellungstest wurde ein Datenbank-Dump aus der Offsite-Sicherung in einer getrennten Testdatenbank eingespielt. Die produktive Datenbank wurde dafür nicht überschrieben.

5. Wer Zugriff erhält

Innerhalb der fly fulfillment GmbH erhalten nur Personen Zugriff, die das Onboarding, die technische Einrichtung oder die operative Abwicklung bearbeiten. Hetzner Online GmbH stellt die Infrastruktur für Server, Datenbankbetrieb und Objektspeicher bereit. Soweit es für die anschließende Fulfillment-Leistung erforderlich ist, können einzelne Angaben später in JTL-, Shopify-, DHL- oder andere vereinbarte Versandprozesse übernommen werden. Das Portal selbst sendet Formularantworten nicht automatisch an diese Dienste; externe Links werden erst beim Anklicken geöffnet.

6. Speicherdauer und Löschung

Offene Onboardings werden 90 Tage nach Ablauf des Kundenlinks und abgeschlossene Onboardings 24 Monate nach Abschluss zur Löschung geprüft. Die Löschung erfolgt derzeit durch einen berechtigten Administrator und noch nicht automatisch. Vorher wird geprüft, ob Daten für die Geschäftsbeziehung oder wegen gesetzlicher Pflichten länger benötigt werden. Ein Kundeneintrag einschließlich der zugehörigen Uploads kann im Portal einzeln gelöscht werden.

Im internen Sicherheitsprotokoll werden Einträge, die älter als 90 Tage sind, beim Schreiben neuer Ereignisse entfernt. Das Löschen eines Kunden im laufenden Portal entfernt seine Daten nicht sofort aus älteren Datenbank- oder Server-Backups. Sie können dort bis zur Löschung der jeweiligen Sicherung enthalten bleiben. Die konkreten Aufbewahrungsfristen für Backups und technische Hosting-Protokolle werden noch verbindlich festgelegt.

7. Cookies und Anmeldungen

Für interne Anmeldungen setzen wir ein technisch notwendiges Sitzungscookie mit einer festen Höchstdauer von 24 Stunden. Nach erfolgreichem Authenticator-Schritt kann ein eigener Browser ausdrücklich für 30 Tage gemerkt werden. Nur wenn du diese Option auswählst, wird dafür ein zusätzliches geschütztes Cookie gesetzt. Bei jeder neuen Anmeldung bleibt das Passwort erforderlich. Für den geschützten Kundenlink wird nach der Passworteingabe ein Sitzungscookie mit einer Höchstdauer von acht Stunden gesetzt.

Diese Cookies sind auf die Anmeldung und den ausdrücklich gewählten Komfort beim zweiten Faktor beschränkt. Das Portal verwendet keine Analyse- oder Marketing-Cookies und lädt keine externen Web-Schriftarten.

8. Sicherheit und Standort

Die öffentliche Website nutzt HTTPS. Der interne Bereich erfordert Passwort und zweiten Faktor; ein bestätigter Browser kann den zweiten Faktor für die gewählte Zeit überspringen. Kunden erhalten einen individuellen, zufällig erzeugten Link mit eigenem Passwort und Ablaufdatum. Nach dem Abschicken ist eine erneute Einreichung gesperrt. Die Anmeldung und sensible Abrufe werden protokolliert und gegen wiederholte Fehlversuche begrenzt.

Der Produktivserver steht in Nürnberg und der aktuell genutzte Offsite-Bucket in Falkenstein, jeweils in Deutschland. Eine planmäßige Übertragung der Portaldaten an OpenAI Sites oder Google Drive ist in dieser Installation nicht vorgesehen. Die Verarbeitung bei externen Dienstleistern nach einem späteren, gesonderten Export ist davon zu unterscheiden.

9. Deine Rechte

Du hast nach Maßgabe der DSGVO Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit. Gegen Verarbeitungen aufgrund berechtigter Interessen kannst du Widerspruch einlegen. Du kannst dich außerdem bei einer Datenschutzaufsichtsbehörde beschweren. Für Anfragen schreibe an admin@fly-fulfillment.com.