Datenschutzerklärung

1. Verantwortlicher und Geltungsbereich

Diese Datenschutzerklärung informiert über die Verarbeitung personenbezogener Daten beim Besuch der Website noplastics.com, bei der Registrierung und Nutzung der Plattform „noplastics“ sowie im Zusammenhang mit den darüber angebotenen Funktionen und Leistungen.

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

noplastics UG (haftungsbeschränkt) i. G.
Mergelweg 5
73760 Ostfildern
Deutschland
vertreten durch den Geschäftsführer Marc Trautwein
E-Mail: info@noplastics.de
Telefon: 0176 31763848
Website: https://noplastics.com

2. Allgemeine Grundsätze der Datenverarbeitung

Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung unserer Website und Plattform, zur Anbahnung und Durchführung von Vertragsverhältnissen, zur Kommunikation, zur technischen Sicherheit, zur Durchführung der Compliance- und Dokumentationsfunktionen oder zur Erfüllung gesetzlicher Pflichten erforderlich ist oder eine sonstige Rechtsgrundlage nach Art. 6 DSGVO besteht.

Die Plattform ist technisch darauf ausgelegt, aus angebundenen Shopsystemen grundsätzlich nur produkt- und verpackungsbezogene Daten zu verarbeiten. Hierzu zählen insbesondere SKU, Produkttitel, Materialattribute, Maße, Gewichte, HS-Codes und Bestellmengen. Namen, private Wohnanschriften, Telefonnummern und Zahlungsdaten von Endkunden sollen über die Shop-Schnittstelle nicht eingelesen oder gespeichert werden.

Besondere Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO sind für die vertragsgemäße Nutzung von noplastics nicht erforderlich und sollen nicht über die Plattform übermittelt werden.

3. Aufruf der Website und technische Protokolldaten

Beim Aufruf unserer Website oder Plattform werden technisch erforderliche Verbindungs- und Protokolldaten verarbeitet. Hierzu können insbesondere IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene URL bzw. Ressource, Referrer-URL, Browser- und Geräteinformationen, Betriebssystem sowie technische Status- und Fehlerdaten gehören.

Die Verarbeitung erfolgt, um Website und Plattform auszuliefern, die Funktionsfähigkeit und IT-Sicherheit sicherzustellen, Angriffe und missbräuchliche Zugriffe zu erkennen sowie technische Fehler zu analysieren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im sicheren und stabilen Betrieb unserer digitalen Dienste. Soweit der Zugriff unmittelbar der Durchführung oder Anbahnung eines Vertrags mit einer natürlichen Person dient, kann ergänzend Art. 6 Abs. 1 lit. b DSGVO einschlägig sein.

Protokolldaten werden nur so lange gespeichert, wie dies für Betrieb, Fehleranalyse und Sicherheitszwecke erforderlich ist. Bei konkreten Sicherheitsvorfällen kann eine längere Speicherung zur Aufklärung und Rechtsverfolgung erforderlich sein.

4. Technisch notwendige Cookies und vergleichbare Technologien

Es werden keine gesonderten Analyse-, Marketing- oder Drittanbieter-Pixel eingesetzt. Verwendet werden lediglich technisch notwendige Session-Cookies oder vergleichbare Technologien, die insbesondere für Login, Sitzungsverwaltung, Sicherheitsfunktionen und die Bereitstellung ausdrücklich angeforderter Plattformfunktionen erforderlich sind. Soweit Informationen auf Ihrem Endgerät gespeichert oder von dort ausgelesen werden, erfolgt dies bei technisch unbedingt erforderlichen Vorgängen auf Grundlage von § 25 Abs. 2 Nr. 2 TDDDG. Die anschließende Verarbeitung personenbezogener Daten stützt sich – abhängig vom konkreten Zweck – auf Art. 6 Abs. 1 lit. b oder lit. f DSGVO.

5. Kontaktaufnahme und Support

Wenn Sie uns per E-Mail, Telefon, Kontaktformular oder über eine Supportfunktion kontaktieren, verarbeiten wir die von Ihnen mitgeteilten Kontaktdaten und den Inhalt Ihrer Anfrage sowie gegebenenfalls zugehörige Vertrags-, Account- oder technische Diagnosedaten. Die Verarbeitung dient der Bearbeitung und Beantwortung Ihres Anliegens.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Kommunikation der Anbahnung oder Durchführung eines Vertrags mit der betroffenen Person dient. Bei Ansprechpartnern eines Unternehmens oder bei sonstigen geschäftlichen Anfragen erfolgt die Verarbeitung regelmäßig auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse besteht in einer geordneten Geschäftskommunikation und Kundenbetreuung.

6. Registrierung, Nutzerkonto und Plattformverwaltung

Für die Nutzung der SaaS-Plattform ist ein Nutzerkonto erforderlich. Dabei verarbeiten wir insbesondere Unternehmens- und Kontaktdaten, Name und geschäftliche E-Mail-Adresse des Nutzers, Account- und Authentifizierungsdaten, gebuchten Tarif, Berechtigungen/Rollen sowie für Sicherheit und Nachvollziehbarkeit erforderliche Login- und Nutzungsprotokolle. Ist die betroffene Person selbst Vertragspartner, beruht die Verarbeitung auf Art. 6 Abs. 1 lit. b DSGVO. Wird ein Nutzerkonto für Beschäftigte, Geschäftsführer oder sonstige Ansprechpartner eines Unternehmenskunden eingerichtet, erfolgt die Verarbeitung regelmäßig auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der ordnungsgemäßen Verwaltung des Vertragsverhältnisses, der Bereitstellung personengebundener Zugriffsrechte sowie der Sicherheit und Nachvollziehbarkeit von Plattformhandlungen.

Accountdaten werden grundsätzlich für die Dauer des Vertragsverhältnisses gespeichert. Nach Vertragsende werden sie gelöscht oder gesperrt, soweit sie nicht für Abrechnung, Rechtsverteidigung, gesetzliche Aufbewahrung oder die vereinbarte Compliance-Archivierung weiterhin erforderlich sind.

7. Vertrags-, Abrechnungs- und Zahlungsdaten

Im Rahmen von Buchung und Abrechnung verarbeiten wir insbesondere Unternehmens- und Rechnungsdaten, Tarif- und Laufzeitdaten, steuerlich erforderliche Angaben sowie Zahlungs- und Transaktionsstatusinformationen.

Für die Zahlungsabwicklung nutzen wir den Zahlungsdienstleister Stripe. Die für die ausgewählte Zahlungsart erforderlichen Daten werden an Stripe übermittelt und dort verarbeitet. Je nach Zahlungsart kann Stripe insbesondere Zahlungsinstrument-, Abrechnungs-, Authentifizierungs- und Transaktionsdaten verarbeiten. noplastics verarbeitet die Informationen, die für Vertragsdurchführung, Zahlungsstatus, Abrechnung und Buchhaltung erforderlich sind. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO für die Vertrags- und Zahlungsabwicklung, Art. 6 Abs. 1 lit. f DSGVO bei geschäftlichen Ansprechpartnern sowie Art. 6 Abs. 1 lit. c DSGVO, soweit gesetzliche handels- oder steuerrechtliche Aufbewahrungs- und Nachweispflichten bestehen.

8. Shop-Anbindungen und produktbezogene Daten

noplastics kann über APIs oder Webhooks an Shopsysteme wie Shopify angebunden werden. Nach dem aktuellen Systemkonzept werden dabei ausschließlich für den Compliance-Workflow benötigte produkt- und verpackungsbezogene Daten übernommen, insbesondere SKU, Produkttitel, Materialattribute, Maße, Gewichte, HS-Codes und Bestellmengen. Personenbezogene Endkundendaten sollen an der Schnittstelle herausgefiltert werden.

Produkt- und Verpackungsdaten sind regelmäßig keine personenbezogenen Daten. Soweit einzelne Plattformhandlungen, Imports oder Freigaben einem konkreten Nutzerkonto zugeordnet und dadurch personenbeziehbar werden, erfolgt die Verarbeitung zur Vertragserfüllung bzw. Plattformadministration auf den in Ziffer 6 genannten Rechtsgrundlagen.

9. Compliance-Dokumente und Prüfprozesse

Im Rahmen des Compliance-Workflows können Kunden technische Unterlagen wie Materialstücklisten/BOM, Hersteller- und Lieferantenerklärungen, stoffbezogene Erklärungen sowie Labor- oder Prüfberichte hochladen oder über Lieferanten bereitstellen lassen. Solche Dokumente können personenbezogene Angaben enthalten, etwa Namen, geschäftliche Kontaktdaten, Funktionen oder Unterschriften von Ansprechpartnern bei Herstellern, Lieferanten, Laboren oder sonstigen Unternehmen.

Zur Nachvollziehbarkeit des Workflows protokolliert noplastics außerdem relevante Prozessschritte wie Uploads, Anfragen, Nachfassvorgänge, Statusänderungen, Prüf- und Freigabehandlungen sowie den jeweils handelnden Nutzer und Zeitpunkt. Diese Protokollierung dient der Bereitstellung der vereinbarten Dokumentations- und Nachweisfunktionen, der Integrität des Systems sowie der Nachvollziehbarkeit von Änderungen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die betroffene Person selbst Vertragspartner ist, und im Übrigen Art. 6 Abs. 1 lit. f DSGVO. Unsere berechtigten Interessen sowie diejenigen unserer Kunden bestehen in der strukturierten Erfüllung und Dokumentation von Compliance-Prozessen, der Nachweisbarkeit von Prozessschritten und der Abwehr bzw. Verteidigung gegen rechtliche Ansprüche.

Soweit personenbezogene Angaben Bestandteil einer Compliance-Akte oder eines Audit-Trails sind, können sie innerhalb der vertraglich vereinbarten Archivierungsdauer gespeichert werden. Diese ist an den für die jeweiligen Nachweisakten vorgesehenen Aufbewahrungszeiträumen ausgerichtet und kann – abhängig von der betreffenden Verpackung – bis zu fünf Jahre bzw. bei wiederverwendbaren Verpackungen bis zu zehn Jahre betragen. Soweit eine kürzere Speicherung ausreicht, werden personenbezogene Daten früher gelöscht oder anonymisiert.

10. Supplier Requests und Informationen für Lieferantenkontakte

Fehlen für einen Compliance-Datensatz Unterlagen oder Angaben, kann ein Kunde über noplastics eine B2B-Anfrage an seinen Lieferanten oder Hersteller auslösen und Nachfassnachrichten versenden lassen. Dabei können insbesondere Name, geschäftliche E-Mail-Adresse und Funktion eines Lieferantenkontakts, Unternehmenszugehörigkeit, Kommunikationsinhalte, Versandzeitpunkte und technische Zustellinformationen verarbeitet werden.

Die Kontaktdaten werden uns regelmäßig vom jeweiligen noplastics-Kunden für die Durchführung der Lieferantenanfrage bereitgestellt oder im Rahmen der Kommunikation vom betreffenden Lieferanten selbst mitgeteilt. Die Verarbeitung dient ausschließlich der Anforderung und Dokumentation produkt- oder verpackungsbezogener Unterlagen und nicht der Werbung gegenüber dem Lieferantenkontakt.

Rechtsgrundlage ist regelmäßig Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse von noplastics und dem jeweiligen Kunden besteht in der effizienten Abwicklung der geschäftlichen Lieferkette, der Beschaffung erforderlicher Produkt- und Verpackungsinformationen sowie der dokumentierten Durchführung des Compliance-Workflows.

Für den transaktionalen E-Mail-Versand setzen wir Resend (Plus Five Five, Inc., USA) ein. Angaben zu internationalen Datenübermittlungen finden Sie in Ziffer 15.

12. Transaktionaler E-Mail-Versand

Für systembezogene und transaktionale E-Mails – insbesondere Registrierungs-, Sicherheits-, Service- und Supplier-Request-Nachrichten – nutzen wir Resend, einen Dienst der Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA.

Dabei werden die für Versand und Zustellung erforderlichen Daten verarbeitet, insbesondere E-Mail-Adressen, Nachrichteninhalte, Versand- und Zustellzeitpunkte sowie technische Versand- und Zustellinformationen. Resend verarbeitet Kundendaten nach eigenen Angaben als Auftragsverarbeiter und speichert Kundendaten in den USA. Für Übermittlungen aus dem EWR sieht der Anbieter Standardvertragsklauseln als Transfermechanismus vor.

Die Rechtsgrundlage der Verarbeitung richtet sich nach dem Zweck der jeweiligen Nachricht, insbesondere Art. 6 Abs. 1 lit. b DSGVO bei vertragsbezogener Kommunikation und Art. 6 Abs. 1 lit. f DSGVO bei geschäftlicher Service- oder Lieferantenkommunikation.

13. Hosting

Website, SaaS-Anwendung und Datenbank werden über einen amerikanischen Hostinganbieter betrieben. Für die Verarbeitung werden europäische Serverstandorte genutzt.

Der Hostinganbieter verarbeitet personenbezogene Kundendaten im Rahmen seiner Datenverarbeitungsbedingungen als Auftragsverarbeiter.

Rechtsgrundlage für den Einsatz des Hosters ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in einem sicheren, skalierbaren und leistungsfähigen Betrieb unserer digitalen Infrastruktur. Soweit das Hosting unmittelbar zur Erfüllung eines Vertrags mit einer natürlichen Person erforderlich ist, ist ergänzend Art. 6 Abs. 1 lit. b DSGVO einschlägig.

14. Empfänger und Kategorien von Empfängern

Innerhalb von noplastics erhalten nur diejenigen Personen Zugriff auf personenbezogene Daten, die diese für die Erfüllung ihrer Aufgaben benötigen. Darüber hinaus können personenbezogene Daten – jeweils nur im erforderlichen Umfang – insbesondere an folgende Empfänger oder Empfängerkategorien übermittelt werden:

• IT-, Hosting- und Infrastruktur-Dienstleister, insbesondere Google Cloud;
• E-Mail- und Kommunikationsdienstleister, insbesondere Resend;
• Zahlungsdienstleister, insbesondere Stripe;
• Unternehmenskunden, Lieferanten oder sonstige Geschäftspartner, soweit dies für den jeweiligen Compliance- oder Kommunikationsprozess erforderlich ist;
• Berater, insbesondere Rechts-, Steuer- und Wirtschaftsberater, soweit dies zur Beratung, Rechtsverfolgung oder Erfüllung gesetzlicher Pflichten erforderlich ist;
• Behörden, Gerichte oder sonstige öffentliche Stellen, soweit wir zur Offenlegung gesetzlich verpflichtet sind oder die Übermittlung zur Rechtsverfolgung erforderlich ist.

Eine Veräußerung personenbezogener Daten zu eigenen Zwecken Dritter findet nicht statt.

15. Datenübermittlungen in Drittländer

Einzelne von uns eingesetzte Dienstleister haben ihren Sitz außerhalb des Europäischen Wirtschaftsraums oder können Unterauftragsverarbeiter bzw. Supportstrukturen in Drittländern einsetzen. Dies betrifft insbesondere Resend in den USA sowie gegebenenfalls einzelne Verarbeitungen im Umfeld von Google Cloud und Stripe.

Drittlandübermittlungen erfolgen nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Soweit für den jeweiligen Empfänger ein Angemessenheitsbeschluss der Europäischen Kommission besteht, kann die Übermittlung hierauf gestützt werden. Für zertifizierte US-Unternehmen kann hierzu insbesondere das EU-U.S. Data Privacy Framework gehören. Soweit kein Angemessenheitsbeschluss greift, werden insbesondere die von der Europäischen Kommission genehmigten Standardvertragsklauseln und, soweit erforderlich, ergänzende Schutzmaßnahmen eingesetzt.

16. Speicherdauer und Löschung

Wir speichern personenbezogene Daten grundsätzlich nur so lange, wie sie für den jeweiligen Verarbeitungszweck erforderlich sind. Anschließend werden sie gelöscht oder anonymisiert, sofern keine gesetzlichen, vertraglichen oder berechtigten Gründe für eine weitere Speicherung bestehen.

Für einzelne Datenkategorien gelten insbesondere folgende Kriterien:

• Website- und Sicherheitsprotokolle: solange dies für Betrieb, Fehleranalyse und IT-Sicherheit erforderlich ist; bei Sicherheitsvorfällen gegebenenfalls länger bis zur Aufklärung;
• Kontakt- und Supportdaten: bis zur abschließenden Bearbeitung sowie darüber hinaus, soweit sie für ein Vertragsverhältnis oder die Rechtsverteidigung benötigt werden;
• Account- und Vertragsdaten: grundsätzlich für die Vertragsdauer und anschließend im Rahmen gesetzlicher Aufbewahrungs- und Verjährungsfristen;
• Zahlungs- und Rechnungsdaten: nach Maßgabe handels- und steuerrechtlicher Aufbewahrungspflichten;
• Compliance-Akten, Audit-Logs und darin enthaltene personenbezogene Angaben: soweit Bestandteil der vereinbarten Nachweis- und Archivierungsfunktion, innerhalb der hierfür vorgesehenen Dauer, die je nach Verpackung bis zu fünf bzw. zehn Jahre betragen kann;
• Supplier-Request-Kommunikation: bis zum Abschluss des jeweiligen Vorgangs und, soweit sie Bestandteil des Audit-Trails oder der Compliance-Akte wird, entsprechend der dortigen Archivierungsdauer.

Backups können Daten für einen begrenzten zusätzlichen Zeitraum enthalten. Diese werden im Rahmen der regulären Backup-Zyklen überschrieben oder gelöscht und grundsätzlich nicht für andere Zwecke weiterverarbeitet.

17. Datensicherheit

Wir treffen angemessene technische und organisatorische Maßnahmen, um personenbezogene Daten gegen Verlust, Manipulation, unbefugten Zugriff und sonstige unzulässige Verarbeitung zu schützen. Hierzu gehören insbesondere rollen- und berechtigungsbezogene Zugriffskontrollen, Transportverschlüsselung, technische Protokollierung sowie Sicherheitsmaßnahmen der eingesetzten Cloud- und Infrastruktur-Dienstleister. Die Maßnahmen werden entsprechend dem Stand der Technik und dem jeweiligen Risiko überprüft und weiterentwickelt.

Die Datenübertragung zwischen Ihrem Browser und unseren Diensten erfolgt grundsätzlich verschlüsselt über TLS/HTTPS.

18. Rechte betroffener Personen

Sie haben nach Maßgabe der gesetzlichen Voraussetzungen insbesondere folgende Rechte:

• Auskunft über die von uns verarbeiteten personenbezogenen Daten (Art. 15 DSGVO);
• Berichtigung unrichtiger oder Vervollständigung unvollständiger Daten (Art. 16 DSGVO);
• Löschung personenbezogener Daten (Art. 17 DSGVO);
• Einschränkung der Verarbeitung (Art. 18 DSGVO);
• Datenübertragbarkeit, soweit die gesetzlichen Voraussetzungen vorliegen (Art. 20 DSGVO);
• Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. e oder lit. f DSGVO (Art. 21 DSGVO);
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Zur Ausübung Ihrer Rechte können Sie sich an info@noplastics.de oder die oben genannten Kontaktdaten wenden. Wir können bei begründeten Zweifeln an der Identität geeignete zusätzliche Informationen zur Identitätsprüfung anfordern.

19. Besonderer Hinweis zum Widerspruchsrecht

Soweit wir personenbezogene Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, haben Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit das Recht, gegen diese Verarbeitung Widerspruch einzulegen. Wir verarbeiten die betreffenden Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

20. Beschwerderecht bei einer Aufsichtsbehörde

Sie haben gemäß Art. 77 DSGVO das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren. Für noplastics ist insbesondere folgende Aufsichtsbehörde zuständig:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI BW)
Heilbronner Straße 35
70191 Stuttgart
Postanschrift: Postfach 10 29 32, 70025 Stuttgart
Telefon: 0711 615541-0
E-Mail: poststelle@lfdi.bwl.de

21. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich unsere Website, Plattformfunktionen, eingesetzte Dienstleister oder rechtliche Anforderungen ändern. Maßgeblich ist die jeweils auf noplastics.com veröffentlichte Fassung.