Datenschutzhinweise für Beschäftigte

1. Wer ist verantwortlich?

Verantwortlich für die Verarbeitung ist die PrimeHub GbR, vertreten durch ihre Gesellschafter. Die Anschrift findest du in deinem Arbeitsvertrag. Fragen zum Datenschutz richtest du an die Geschäftsführung.

2. Welche Daten, wofür und auf welcher Grundlage?

scan2list ist das interne Werkzeug der PrimeHub GbR, um Artikel zu erfassen, zu bepreisen und bei Amazon anzubieten.

• Benutzerkonto und Anmeldung: Name, E-Mail-Adresse, Rolle, Status des Kontos, Passwort (nur verschlüsselt als Hash, nie im Klartext), Zeitpunkt der letzten Anmeldung und Sitzungsdaten. Zweck: Nur berechtigte Personen sollen Zugriff auf die Amazon-Konten der Firma haben. Grundlage: Art. 6 Abs. 1 lit. b DSGVO in Verbindung mit deinem Beschäftigungsverhältnis.
• Schutz vor Passwort-Raten: Bei jeder Anmeldung und Sitzungs-Erneuerung wird die IP-Adresse verarbeitet. scan2list speichert sie nur unkenntlich gemacht (als geheimer Hash) und löscht sie nach 24 Stunden; an deiner Sitzung beim Anmeldedienst wird sie gespeichert, solange die Sitzung besteht. Grundlage: Art. 6 Abs. 1 lit. f DSGVO – unser berechtigtes Interesse an der Sicherheit der Konten.
• Einladung: Name, E-Mail-Adresse und Rolle für die Einladung zu deinem Konto. Den Einladungslink gibt die Geschäftsführung selbst weiter, scan2list verschickt ihn nicht. Grundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Nachvollziehbarkeit der Arbeit: Wer wann zwischen Amazon-Konten oder Marktplätzen gewechselt hat, und an Durchgängen, Sendungen und Einstellungen, wer sie angelegt oder geändert hat. Zweck: Fehler wie ein Listing im falschen Amazon-Konto aufklären. Grundlage: Art. 6 Abs. 1 lit. f DSGVO.
• Kontaktperson für den Versand: Name, Telefonnummer und ggf. E-Mail-Adresse der Person, die als Absender von Sendungen an Amazon eingetragen ist. Grundlage: Art. 6 Abs. 1 lit. b und f DSGVO – Amazon verlangt diese Angaben für jeden Versandauftrag.
• Freischaltungs-Protokoll: die E-Mail-Adressen der Empfänger, an die das Protokoll gesendet wird. Die E-Mail selbst enthält nur Artikeldaten. Grundlage: Art. 6 Abs. 1 lit. f DSGVO – interne Arbeitsorganisation.

Eine Leistungs- oder Verhaltenskontrolle ist mit scan2list nicht beabsichtigt. Es findet keine automatisierte Entscheidungsfindung und kein Profiling statt.

3. Cookies

scan2list setzt nur technisch notwendige Cookies, damit du angemeldet bleibst und Sicherheitsprüfungen funktionieren. Es gibt keine Werbe-, Analyse- oder Tracking-Cookies.

4. Wer bekommt die Daten?

• Supabase (Datenbank und Anmeldedienst) – Speicherort Frankfurt am Main (EU). Auftragsverarbeitung nach Art. 28 DSGVO.
• Vercel (Betrieb der Anwendung, Server in Frankfurt) – verarbeitet Anfragen und kurzzeitige Server-Protokolle mit IP-Adresse. Auftragsverarbeitung nach Art. 28 DSGVO. Vercel ist ein US-Unternehmen; eine Übermittlung in die USA ist durch das EU-US Data Privacy Framework bzw. Standardvertragsklauseln abgesichert.
• Amazon erhält als eigener Verantwortlicher nur die Absender-Kontaktdaten zu Sendungen.
• Beim Festlegen eines Passworts prüft scan2list, ob es aus bekannten Datenlecks stammt („Have I Been Pwned“). Dabei werden nur die ersten fünf Zeichen eines Prüfwerts (Hash) übertragen – weder das Passwort noch Daten über dich.

5. Wie lange werden die Daten gespeichert?

• Benutzerkonto: bis die Geschäftsführung es löscht, in der Regel mit dem Ende des Beschäftigungsverhältnisses. Deine persönlichen Daten sind dann sofort entfernt; Arbeitsergebnisse bleiben ohne Bezug zu dir erhalten („Gelöschter Benutzer“).
• IP-Adressen zum Schutz der Anmeldung: 24 Stunden.
• Nicht angenommene Einladungen: 30 Tage; angenommene werden sofort gelöscht.
• Protokoll der Kontowechsel: 12 Monate.
• Kontaktdaten in abgeschlossenen oder stornierten Sendungen: 90 Tage.
• Freischaltungs-Protokolle mit ihren Empfängern: 12 Monate.

6. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage eines berechtigten Interesses (Art. 21). Wende dich dafür an die Geschäftsführung; wir antworten innerhalb eines Monats.

Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO).

7. Musst du die Daten angeben?

Name und E-Mail-Adresse sind nötig, damit du ein Konto bekommst und scan2list nutzen kannst. Ohne sie ist die Arbeit mit scan2list nicht möglich.