Datenschutzerklärung

4.1 SSL-/TLS-Verschlüsselung

Die Kommunikation zwischen Deinem Browser und unseren Servern erfolgt über HTTPS (TLS-Verschlüsselung). Dies schützt die übertragenen Daten vor dem Zugriff Dritter.

4.2 Server-Logfiles

Bei jedem Aufruf unserer Website erfasst der Webserver automatisch:

• IP-Adresse (anonymisiert nach 7 Tagen durch Kürzung des letzten Oktetts: IPv4 letzte 8 Bits genullt, IPv6 letzte 80 Bits genullt)
• Datum und Uhrzeit der Anfrage
• Aufgerufene Seite / URL
• Referrer-URL
• Browser-Typ und Version
• Betriebssystem

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Die Daten werden zur Sicherstellung des Betriebs und zur Abwehr von Angriffen genutzt. Logfiles werden nach 30 Tagen gelöscht.

4.3 Hosting

Unsere Website wird gehostet bei:

Hetzner Online GmbH
Industriestr. 25
91710 Gunzenhausen, Deutschland

Rechenzentrum: Falkenstein/Vogtl. (Deutschland, EU).

AV-Vereinbarung: hetzner.com/rechtliches/auftragsdatenverarbeitung

Es liegt ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO) vor. Alle Daten werden ausschließlich auf Servern in Deutschland verarbeitet. Ein CDN oder WAF (z. B. Cloudflare) wird aktuell nicht eingesetzt; der Reverse-Proxy (Nginx) wird auf demselben Server betrieben.

5.1 Registrierung und Login

Bei der Registrierung für Faktor400 verarbeiten wir:

• E-Mail-Adresse
• Passwort (nach aktuellem Stand der Technik gehasht gespeichert, nie im Klartext)
• Name (optional)
• Zeitpunkt der Registrierung

Die Authentifizierung erfolgt über Supabase Auth (Supabase Pte. Ltd., Singapur; Datenbank und Anmeldedienst liegen in der EU-Region Frankfurt). Supabase verantwortet das Passwort-Hashing (bcrypt, serverseitig), die E-Mail-Verifizierung und den Passwort-Reset-Flow. Die Anmeldung läuft über unseren Server: Die Anmelde-Tokens von Supabase bleiben dort, Dein Browser erhält nur ein HttpOnly-Sitzungscookie (__Host-f400_session) und speichert kein Zugangs-Token im Local Storage. Die öffentliche Demo nutzt keine Supabase-Anmeldung (siehe 6.1).

Weitere Informationen: supabase.com/privacy

Login über Google (OAuth 2.0): Alternativ kannst Du Dich über Deinen Google-Account registrieren und anmelden. Dabei werden folgende Daten übermittelt (OAuth-Scopes: email, profile):

• E-Mail-Adresse
• Profilname (Vor- und Nachname)
• Profilbild-URL
• Google-User-ID

Für Googles eigene Datenverarbeitung gilt deren Datenschutzerklärung: policies.google.com/privacy

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

5.2 Amazon-Verkäuferdaten

Im Rahmen der Nutzung von Faktor400 verbinden Nutzer ihren Amazon Seller-Account über die Amazon SP-API und/oder Amazon Ads API. Dabei verarbeiten wir Geschäftsdaten wie Produktdaten, Inventardaten, Gebühren, Werbekampagnen-Daten und aggregierte Umsatz-/Bestellkennzahlen. Für diese Daten ist BeyondWega Verantwortlicher i. S. d. DSGVO.

5.3 Amazon-Endkunden-Daten (Auftragsverarbeitung)

Hinweis: Diese Datenschutzerklärung richtet sich primär an Website-Besucher und registrierte Faktor400-Nutzer. Die nachfolgende Erläuterung zur Verarbeitung von Amazon-Käuferdaten dient der Transparenz über unsere Rolle als Auftragsverarbeiter; die primäre datenschutzrechtliche Information der Käufer obliegt dem jeweiligen Seller als Verantwortlichem.

Die über die Amazon SP-API abgerufenen Bestelldaten können personenbezogene Daten von Amazon-Käufern enthalten (Käufername, Lieferadresse, ggf. Telefonnummer). Für diese Daten ist der Seller der Verantwortliche (Controller); BeyondWega agiert als Auftragsverarbeiter (Processor) i. S. d. Art. 28 DSGVO.

Zwischen BeyondWega und dem Seller wird bei Anbindung der SP-API ein Auftragsverarbeitungsvertrag (AVV) geschlossen. Siehe AVV

Tatsächlich von Faktor400 gespeicherte Endkunden-PII: Faktor400 extrahiert und speichert von den über die SP-API potenziell verfügbaren Käuferdaten ausschließlich die von Amazon maskierte E-Mail-Adresse. Käufername, Telefonnummer sowie Straße, PLZ und Ort der Lieferadresse werden nicht extrahiert und nicht gespeichert; aus der Lieferadresse wird nur das Lieferland (Ländercode) für die umsatzsteuerliche Zuordnung übernommen (Datenminimierung, Art. 5 Abs. 1 lit. c DSGVO). Zahlungsdaten der Käufer (Karten- oder Kontodaten) werden ebenfalls nicht gespeichert; zur Bestellung übernommen wird nur die von Amazon gemeldete Zahlungsart (z. B. „Other“ oder „COD“).

Amazon Data Protection Policy (DPP): Unabhängig von der DSGVO unterliegen SP-API-Daten der Amazon Data Protection Policy. Diese schreibt u. a. vor, dass personenbezogene Käuferdaten (PII) nur für Zwecke der Bestellabwicklung verwendet werden dürfen und innerhalb von 30 Tagen nach Versand gelöscht werden müssen (sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen). Faktor400 setzt diese Anforderung um, indem die einzige gespeicherte Käufer-PII — die maskierte E-Mail-Adresse — automatisiert 30 Tage nach dem Ende des Versandzeitraums, den Amazon für die jeweilige Bestellung angibt (fehlt diese Angabe: Ende des Lieferzeitraums, sonst Bestelldatum), pseudonymisiert wird (das E-Mail-Feld wird genullt). Der GoBD-relevante Bestell-Header (Bestellnummer, Datum, Beträge) bleibt erhalten und kann über die Bestellnummer theoretisch re-identifizierbar bleiben — die gespeicherten Restdaten sind daher pseudonym, nicht vollständig anonym. Aggregierte Geschäftsdaten (Umsatz, ASIN-Kennzahlen) sind nicht betroffen.

Speicherdauer: Amazon-Daten werden so lange gespeichert, wie das Nutzerkonto aktiv ist. Nach Kontolöschung werden alle Daten innerhalb von 30 Tagen gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Nach dem Ende der Testphase bleiben die Daten im Gratis-Tarif gespeichert, solange das Konto besteht (vgl. AGB § 3 und § 9).

5.4 Abrechnungsdaten

Wir speichern Rechnungsadresse, Firmenname, USt-IdNr., Rechnungshistorie, Zahlungsstatus und gewählten Tarif. Diese Daten unterliegen Aufbewahrungspflichten (§ 147 AO, § 257 HGB) und werden bis zu 10 Jahre nach Vertragsende aufbewahrt.

5.5 Zahlungsabwicklung

Stripe Payments Europe, Limited (SPEL)
1 Grand Canal Street Lower, Grand Canal Dock, Dublin 2, Irland

Stripe ist für die Verarbeitung von Kreditkarten- und Zahlungsdaten eigenständig Verantwortlicher. Wir speichern selbst keine Kreditkarten- oder Bankverbindungsdaten.

5.6 Transaktionale E-Mails

Für den Versand transaktionaler E-Mails nutzen wir Plus Five Five, Inc. („Resend“, 2261 Market Street #5039, San Francisco, CA 94114, USA). Die Datenübermittlung in die USA erfolgt auf Basis des EU-US Data Privacy Framework (Art. 45 DSGVO). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

6.1 Technisch notwendige Cookies

Wir setzen Cookies ein, die für den Betrieb der Website und der Plattform technisch erforderlich sind (z. B. Session-Token, Spracheinstellung). Diese Cookies werden ohne Einwilligung gesetzt.

Rechtsgrundlage: § 25 Abs. 2 TDDDG (technisch erforderlich), Art. 6 Abs. 1 lit. f DSGVO.

In der App läuft die Anmeldung über unseren Server: Die Anmelde-Tokens von Supabase bleiben dort, Dein Browser erhält nur ein HttpOnly-Sitzungscookie (__Host-f400_session); während einer Google-Anmeldung oder eines Passwort-Zurücksetzens kommt kurzzeitig ein weiteres HttpOnly-Cookie hinzu. Im Local Storage liegen nur zwischengespeicherte Profildaten (auth_user), kein Zugangs-Token. In der öffentlichen Demo gibt es keine Anmeldung: Für die anonyme Demo-Sitzung liegt ein Zugangs-Token (auth_token) im Local Storage, das Verlängerungs-Token im HttpOnly-Cookie __Host-f400_refresh_token. Die Spracheinstellung wird als Cookie (faktor400-language) gespeichert. All diese Speicherungen sind technisch notwendig und fallen unter § 25 Abs. 2 TDDDG.

6.2 Analyse und Marketing

In der Faktor400-App setzen wir PostHog als Analyse-Tool ein. Die Analyse-Daten werden in der EU-Region von PostHog (eu.posthog.com) gespeichert. Vertragspartner ist PostHog, Inc. (USA); eine Verarbeitung auch in den USA ist möglich (siehe § 8).

Erhobene Daten: Explizit definierte Events (z. B. Seitenaufrufe, Feature-Nutzung). Autocapture ist deaktiviert; es werden nur bewusst instrumentierte Events erfasst. Session-Recording ist deaktiviert. Die Do-Not-Track-Einstellung des Browsers wird respektiert (respect_dnt: true). Der Nutzer wird anhand seiner App-Nutzer-ID identifiziert (keine Supabase-UID).

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) i. V. m. § 25 Abs. 1 TDDDG. Analyse-Cookies werden nur nach ausdrücklicher Einwilligung (über Cookie-Banner) gesetzt. Du kannst Deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen.

Anbieter: PostHog, Inc., 2261 Market St., #4008, San Francisco, CA 94114, USA. Auftragsverarbeitungsvertrag (DPA) vom 9. Oktober 2026; Speicherung in der EU-Region, Übermittlung in die USA auf Basis der EU-Standardvertragsklauseln (siehe § 8).

Auf der Landing Page (faktor400.com) werden aktuell keine Analyse- oder Marketing-Cookies eingesetzt.

Recht auf Beschwerde

Du hast das Recht, Dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Die für uns zuständige Aufsichtsbehörde ist:

Die/Der Landesbeauftragte für den Datenschutz Niedersachsen
Prinzenstraße 5, 30159 Hannover
www.lfd.niedersachsen.de

Du kannst Dich auch an die Aufsichtsbehörde Deines Wohn- oder Arbeitsortes wenden.