Datenschutzerklärung

Stand: Oktober 2026 · Verantwortlicher: ALTENBRAND Datentechnik GmbH

1. Datenschutz auf einen Blick

Allgemeine Hinweise

Die folgenden Hinweise geben einen einfachen Überblick darüber, was mit Ihren personenbezogenen Daten passiert, wenn Sie unsere Website besuchen. Personenbezogene Daten sind alle Daten, mit denen Sie persönlich identifiziert werden können. Ausführliche Informationen zum Thema Datenschutz entnehmen Sie unserer unter diesem Text aufgeführten Datenschutzerklärung.

Datenerfassung

Wer ist verantwortlich? Die Datenverarbeitung erfolgt durch den Websitebetreiber. Kontaktdaten finden Sie im Impressum.

Wie erfassen wir Ihre Daten? Zum einen durch Ihre Mitteilung (z. B. per E-Mail oder Telefon), zum anderen automatisch durch unsere IT-Systeme (technische Daten wie Browser, Betriebssystem, Uhrzeit).

Ihre Rechte

Sie haben jederzeit das Recht auf unentgeltliche Auskunft über Herkunft, Empfänger und Zweck Ihrer Daten sowie auf Berichtigung, Löschung oder Einschränkung der Verarbeitung. Außerdem steht Ihnen ein Beschwerderecht bei der zuständigen Aufsichtsbehörde zu.

Wofür nutzen wir Ihre Daten?

Die Daten werden erhoben, um eine fehlerfreie Bereitstellung der Website zu gewährleisten. Eine Analyse Ihres Nutzerverhaltens findet nicht statt.

Analyse-Tools und Tools von Drittanbietern

Diese Website verwendet keine Analyse-Tools, Tracking-Cookies oder Drittanbieter-Skripte. Es findet keine statistische Auswertung Ihres Surf-Verhaltens statt.

2. Allgemeine Hinweise und Pflichtinformationen

Datenschutz

Die Betreiber dieser Seiten nehmen den Schutz Ihrer persönlichen Daten sehr ernst. Wir behandeln Ihre personenbezogenen Daten vertraulich und entsprechend der gesetzlichen Datenschutzvorschriften sowie dieser Datenschutzerklärung.

Wenn Sie diese Website benutzen, werden verschiedene personenbezogene Daten erhoben. Die vorliegende Datenschutzerklärung erläutert, welche Daten wir erheben und wofür wir sie nutzen. Sie erläutert auch, wie und zu welchem Zweck das geschieht.

Wir weisen darauf hin, dass die Datenübertragung im Internet (z. B. bei der Kommunikation per E-Mail) Sicherheitslücken aufweisen kann. Ein lückenloser Schutz der Daten vor dem Zugriff durch Dritte ist nicht möglich.

Hinweis zur verantwortlichen Stelle

ALTENBRAND Datentechnik GmbH

vertreten durch Geschäftsführer Frank Altenbrand

Am Gelicht 5, D-35279 Neustadt

+49 (0) 6692 202290

info@altenbrand.de

Verantwortliche Stelle ist die natürliche oder juristische Person, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten (z. B. Namen, E-Mail-Adressen o. Ä.) entscheidet.

Widerruf Ihrer Einwilligung zur Datenverarbeitung

Viele Datenverarbeitungsvorgänge sind nur mit Ihrer ausdrücklichen Einwilligung möglich. Sie können eine bereits erteilte Einwilligung jederzeit widerrufen. Dazu reicht eine formlose Mitteilung per E-Mail an uns. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Datenverarbeitung bleibt vom Widerruf unberührt.

Widerspruchsrecht gegen die Datenerhebung (Art. 21 DSGVO)

Widerspruchsrecht

Wenn die Datenverarbeitung auf Grundlage von Art. 6 Abs. 1 lit. e oder f DSGVO erfolgt, haben Sie jederzeit das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, gegen die Verarbeitung Ihrer personenbezogenen Daten Widerspruch einzulegen; dies gilt auch für ein auf diese Bestimmungen gestütztes Profiling.

Wenn Sie Widerspruch einlegen, werden wir Ihre betroffenen personenbezogenen Daten nicht mehr verarbeiten, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen (Widerspruch nach Art. 21 Abs. 1 DSGVO).

Werden Ihre personenbezogenen Daten verarbeitet, um Direktwerbung zu betreiben, so haben Sie das Recht, jederzeit Widerspruch gegen die Verarbeitung Sie betreffender personenbezogener Daten zum Zwecke derartiger Werbung einzulegen; dies gilt auch für das Profiling, soweit es mit solcher Direktwerbung in Verbindung steht (Widerspruch nach Art. 21 Abs. 2 DSGVO).

Beschwerderecht bei der zuständigen Aufsichtsbehörde

Im Falle von Verstößen gegen die DSGVO steht den Betroffenen ein Beschwerderecht bei einer Aufsichtsbehörde, insbesondere in dem Mitgliedstaat ihres gewöhnlichen Aufenthalts, ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes zu. Das Beschwerderecht besteht unbeschadet anderweitiger verwaltungsrechtlicher oder gerichtlicher Rechtsbehelfe.

Recht auf Datenübertragbarkeit

Sie haben das Recht, Daten, die wir auf Grundlage Ihrer Einwilligung oder in Erfüllung eines Vertrags automatisiert verarbeiten, an sich oder an einen Dritten in einem gängigen, maschinenlesbaren Format aushändigen zu lassen. Sofern Sie die direkte Übertragung der Daten an einen anderen Verantwortlichen verlangen, erfolgt dies nur, soweit es technisch machbar ist.

Auskunft, Löschung und Berichtigung

Sie haben im Rahmen der geltenden gesetzlichen Bestimmungen jederzeit das Recht auf unentgeltliche Auskunft über Ihre gespeicherten personenbezogenen Daten, deren Herkunft und Empfänger und den Zweck der Datenverarbeitung und ggf. ein Recht auf Berichtigung oder Löschung dieser Daten. Hierzu sowie zu weiteren Fragen zum Thema personenbezogene Daten können Sie sich jederzeit unter der im Impressum angegebenen Adresse an uns wenden.

Recht auf Einschränkung der Verarbeitung

Sie haben das Recht, die Einschränkung der Verarbeitung Ihrer personenbezogenen Daten zu verlangen. Das Recht besteht in folgenden Fällen:

Wenn Sie die Richtigkeit Ihrer bei uns gespeicherten Daten bestreiten, benötigen wir Zeit zur Prüfung. Für die Dauer der Prüfung können Sie die Einschränkung verlangen.
Wenn die Verarbeitung Ihrer Daten unrechtmäßig geschah/geschieht, können Sie statt der Löschung die Einschränkung verlangen.
Wenn wir Ihre Daten nicht mehr benötigen, Sie sie jedoch zur Ausübung, Verteidigung oder Geltendmachung von Rechtsansprüchen benötigen, können Sie statt der Löschung die Einschränkung verlangen.
Wenn Sie einen Widerspruch nach Art. 21 Abs. 1 DSGVO eingelegt haben, muss eine Abwägung vorgenommen werden. Solange noch nicht feststeht, wessen Interessen überwiegen, können Sie die Einschränkung verlangen.

Wenn Sie die Verarbeitung eingeschränkt haben, dürfen diese Daten – von ihrer Speicherung abgesehen – nur mit Ihrer Einwilligung oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder zum Schutz der Rechte einer anderen Person oder aus Gründen eines wichtigen öffentlichen Interesses verarbeitet werden.

Widerspruch gegen Werbe-E-Mails

Der Nutzung von im Rahmen der Impressumspflicht veröffentlichten Kontaktdaten zur Übersendung von nicht ausdrücklich angeforderter Werbung und Informationsmaterialien wird hiermit widersprochen. Die Betreiber der Seiten behalten sich ausdrücklich rechtliche Schritte im Falle der unverlangten Zusendung von Werbeinformationen, etwa durch Spam-E-Mails, vor.

3. Datenerfassung auf unserer Website

Cookies und lokale Speicherung

Diese Website setzt keine eigenen HTTP-Cookies. Insbesondere werden keine Tracking-Cookies, Analyse-Cookies oder Marketing-Cookies verwendet.

Für die Speicherung Ihrer Designpräferenz (z. B. helles oder dunkles Farbschema) nutzt die Website den sogenannten localStorage Ihres Browsers. Dabei handelt es sich nicht um HTTP-Cookies, sondern um einen clientseitigen Speichermechanismus, der ausschließlich lokal auf Ihrem Gerät verbleibt und nicht an unsere Server übermittelt wird. Sie können diese Daten jederzeit über die Einstellungen Ihres Browsers löschen.

Es ist möglich, dass der Hosting-Anbieter (Microsoft Azure Static Web Apps) im Rahmen der technischen Bereitstellung technisch notwendige Cookies setzt (z. B. für Load Balancing oder Sicherheitsfunktionen). Diese Cookies dienen ausschließlich der technischen Infrastruktur und enthalten keine personenbezogenen Daten. Die Rechtsgrundlage hierfür ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der technisch fehlerfreien Bereitstellung der Website).

Ein Cookie-Consent-Banner ist nicht erforderlich, da weder Tracking- noch Marketing-Cookies eingesetzt werden.

Hosting

Diese Website wird auf Microsoft Azure Static Web Apps in der Region West Europe (Niederlande) gehostet. Microsoft fungiert als Auftragsverarbeiter gemäß Art. 28 DSGVO. Ein entsprechender Auftragsverarbeitungsvertrag ist über die Microsoft Product Terms automatisch Bestandteil unseres Azure-Vertrags.

Wer die Adresse merchantcentral.de ohne „www“ aufruft, wird über Cloudflare auf diese Website weitergeleitet. Dabei verarbeitet Cloudflare Ihre IP-Adresse und die Anfragedaten, gestützt auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer erreichbaren und geschützten Domain). Zu Cloudflare als Auftragsverarbeiter und zur Übermittlung in die USA siehe Abschnitt 5 d).

Server-Log-Dateien

Der Hosting-Provider (Microsoft Azure) erhebt und speichert automatisch Informationen in so genannten Server-Log-Dateien, die Ihr Browser automatisch übermittelt. Dies sind:

Browsertyp und Browserversion
Verwendetes Betriebssystem
Referrer URL
Hostname des zugreifenden Rechners
Uhrzeit der Serveranfrage
IP-Adresse

Eine Zusammenführung dieser Daten mit anderen Datenquellen wird nicht vorgenommen.

Die Erfassung dieser Daten erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Der Websitebetreiber hat ein berechtigtes Interesse an der technisch fehlerfreien Darstellung und der Optimierung seiner Website – hierzu müssen die Server-Log-Files erfasst werden.

Speicherdauer: Die Server-Log-Dateien werden von Microsoft Azure automatisch nach 30 Tagen gelöscht.

Anfrage per E-Mail, Telefon oder Telefax

Wenn Sie uns per E-Mail, Telefon oder Telefax kontaktieren, wird Ihre Anfrage inklusive aller daraus hervorgehenden personenbezogenen Daten (Name, Anfrage) zum Zwecke der Bearbeitung Ihres Anliegens bei uns gespeichert und verarbeitet. Diese Daten geben wir nicht ohne Ihre Einwilligung weiter.

Die Verarbeitung dieser Daten erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO, sofern Ihre Anfrage mit der Erfüllung eines Vertrags zusammenhängt oder zur Durchführung vorvertraglicher Maßnahmen erforderlich ist. In allen übrigen Fällen beruht die Verarbeitung auf Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) und/oder auf unseren berechtigten Interessen (Art. 6 Abs. 1 lit. f DSGVO).

Die von Ihnen an uns per Kontaktanfragen übersandten Daten verbleiben bei uns, bis Sie uns zur Löschung auffordern, Ihre Einwilligung zur Speicherung widerrufen oder der Zweck für die Datenspeicherung entfällt (z. B. nach abgeschlossener Bearbeitung Ihres Anliegens). Zwingende gesetzliche Bestimmungen – insbesondere gesetzliche Aufbewahrungsfristen – bleiben unberührt.

4. Analyse-Tools und Werbung

Diese Website verwendet keine Analyse-Tools, Tracking-Cookies oder Werbedienste. Es werden keine Drittanbieter-Skripte eingebunden und es findet keine Auswertung Ihres Nutzungsverhaltens statt.

Automatisierte Entscheidungsfindung

Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling gemäß Art. 22 DSGVO statt.

5. Datenverarbeitung in der merchantCENTRAL Software

Die nachfolgenden Informationen betreffen die Verarbeitung personenbezogener Daten im Rahmen der Nutzung unserer Software merchantCENTRAL — einer Erweiterung (App) für Microsoft Dynamics 365 Business Central. Diese Datenverarbeitungen erfolgen unabhängig von Ihrem Besuch unserer Website.

Verantwortliche Stelle

Verantwortlich für die nachfolgend beschriebene Datenverarbeitung ist die ALTENBRAND Datentechnik GmbH (siehe Abschnitt 2 dieser Datenschutzerklärung).

a) Lizenzvalidierung

Umfang der Datenverarbeitung

Bei der Nutzung von merchantCENTRAL wird in regelmäßigen Abständen eine automatische Lizenzprüfung durchgeführt. Dabei werden folgende Daten an unseren Lizenzserver übermittelt:

Lizenzschlüssel (verschlüsselt übertragen)
Microsoft Entra Tenant-ID Ihrer Business-Central-Umgebung
Name der Business-Central-Umgebung
Typ der Umgebung (Produktion oder Sandbox)

Zweck der Verarbeitung

Die Lizenzvalidierung dient der Überprüfung der Berechtigung zur Nutzung der Software sowie der Freischaltung der lizenzierten Module.

Rechtsgrundlage

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Die Lizenzprüfung ist technisch notwendig, um die vertraglich vereinbarten Softwarefunktionen bereitzustellen.

b) Heartbeat (Nutzungssignal)

Umfang der Datenverarbeitung

merchantCENTRAL sendet einmal täglich ein automatisches Nutzungssignal („Heartbeat") an unseren Lizenzserver. Dabei werden folgende Daten übermittelt:

Lizenzschlüssel (verschlüsselt übertragen)
Microsoft Entra Tenant-ID
Name der Business-Central-Umgebung
Typ der Umgebung (Produktion oder Sandbox)
Zeitstempel der Übermittlung

Zweck der Verarbeitung

Der Heartbeat dient der Erkennung aktiver Installationen, der Vermeidung von Lizenzmissbrauch sowie der Bereitstellung von Nutzungsstatistiken für die Lizenzverwaltung.

Rechtsgrundlage

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherstellung der ordnungsgemäßen Lizenznutzung).

c) Demo-Registrierung

Umfang der Datenverarbeitung

Wenn Sie sich für den kostenfreien Demo-Modus von merchantCENTRAL registrieren, werden folgende Daten über einen Registrierungsassistenten in der Software erhoben und an unseren Lizenzserver übermittelt:

Firmenname
Name des Ansprechpartners
E-Mail-Adresse
Land
Telefonnummer (optional)
Straße, Stadt und Postleitzahl
USt-IdNr. (optional)
Website (optional)
Microsoft Entra Tenant-ID
Name und Typ der Business-Central-Umgebung
Liste der installierten merchantCENTRAL-Module
Ihre DSGVO-Einwilligung (Einwilligungszeitstempel)

Zweck der Verarbeitung

Die Daten werden zur Einrichtung Ihres Demo-Zugangs, zur Kontaktaufnahme bezüglich der Demo-Nutzung sowie zur Überführung in eine Produktivlizenz verwendet.

Rechtsgrundlage

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Sie erteilen Ihre Einwilligung aktiv im Registrierungsassistenten. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie uns unter info@altenbrand.de kontaktieren.

d) Datenempfänger und Speicherort

Alle im Rahmen der Lizenzierung erhobenen Daten werden auf Servern von Microsoft Azure in der Region Germany West Central (Frankfurt, Deutschland) gespeichert. Microsoft fungiert als Auftragsverarbeiter gemäß Art. 28 DSGVO. Ein entsprechender Auftragsverarbeitungsvertrag (AVV/DPA) ist über die Microsoft Product Terms automatisch Bestandteil unseres Azure-Vertrags.

Die Daten werden in Azure Table Storage gespeichert und über eine gesicherte API (Azure Functions mit API-Key-Authentifizierung) verarbeitet. Die Übertragung erfolgt ausschließlich über verschlüsselte HTTPS-Verbindungen.

Dem Lizenzserver ist Cloudflare vorgeschaltet (Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA). Cloudflare nimmt alle Anfragen entgegen, entschlüsselt sie zur Prüfung (TLS-Terminierung) und leitet sie verschlüsselt an Azure weiter. So werden Angriffe und Missbrauch erkannt und abgewehrt (Web Application Firewall, Begrenzung der Anfragerate). Dabei verarbeitet Cloudflare IP-Adressen und die Inhalte der Anfragen – bei der Demo-Registrierung also auch die übermittelten Firmen- und Kontaktdaten. Dasselbe gilt für die Zahlungsbenachrichtigungen, die PayPal und Stripe an den Lizenzserver senden (Abschnitte h) und i)). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren Betrieb unserer Dienste).

Cloudflare verarbeitet diese Daten als Auftragsverarbeiter gemäß Art. 28 DSGVO; der Auftragsverarbeitungsvertrag (Cloudflare Customer DPA) ist Bestandteil unseres Vertrags mit Cloudflare. Die Übermittlung in die USA stützt sich auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO), unter dem Cloudflare zertifiziert ist. Entfällt er, gelten die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO), die im Auftragsverarbeitungsvertrag bereits vereinbart sind.

Daten über Angriffe und Bedrohungen in seinem Netz – etwa die Bewertung auffälliger IP-Adressen – nutzt Cloudflare zusätzlich zu eigenen Zwecken, um seine Sicherheitsdienste zu betreiben und zu verbessern. Für diese Verarbeitung ist Cloudflare selbst verantwortlich. Weitere Informationen: https://www.cloudflare.com/privacypolicy/

Für die Zahlungsabwicklung über Stripe sowie für den automatischen E-Mail-Versand werden weitere Dienstleister eingesetzt; Einzelheiten dazu finden Sie in den Abschnitten i) und j).

e) Speicherdauer

Datenkategorie	Speicherdauer
Lizenzvalidierungsdaten	Für die Dauer des Lizenzvertrags, maximal 12 Monate nach Vertragsende
Heartbeat-Daten	12 Monate, danach automatische Löschung
Demo-Registrierungsdaten	6 Monate nach Ablauf des Demo-Zeitraums, sofern keine Produktivlizenz erworben wird
Aktivitätsprotokoll (BC-intern)	180 Tage, danach automatische Löschung
Kontakt- und Zahlungsdaten in BC	Bis 12 Monate nach Vertragsende; auf Anfrage jederzeit Anonymisierung möglich
Telemetrie der Apps (Abschnitt n))	90 Tage, danach automatische Löschung

Nach Ablauf der Speicherdauer werden die Daten automatisch gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten bestehen.

f) Ihre Rechte

Ihnen stehen die in Abschnitt 2 dieser Datenschutzerklärung beschriebenen Rechte zu (Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit, Widerspruch). Wenden Sie sich hierzu an info@altenbrand.de.

Zur Ausübung des Rechts auf Löschung (Art. 17 DSGVO) hinsichtlich in unserem Lizenzmanagement gespeicherter Kontaktdaten (Name, E-Mail-Adresse, Telefon, Anschrift) genügt eine formlose Anfrage per E-Mail. Die Anonymisierung der personenbezogenen Felder erfolgt technisch in unserer Lizenzmanagement-Software; die Lizenzhistorie und Abrechnungsdaten bleiben aus gesetzlichen Gründen erhalten.

g) Erforderlichkeit der Datenbereitstellung

Die Bereitstellung der unter a) und b) genannten Daten ist für die Nutzung von merchantCENTRAL technisch erforderlich. Ohne die Lizenzvalidierung können die Softwarefunktionen nicht freigeschaltet werden.

Die Bereitstellung der unter c) genannten Daten ist freiwillig. Ohne die Demo-Registrierung können Sie den kostenfreien Demo-Modus jedoch nicht nutzen.

h) Zahlungsabwicklung über PayPal

Umfang der Datenverarbeitung

Wenn Sie sich für die Zahlungsmethode PayPal-Abonnement entscheiden, werden folgende Daten im Rahmen der Zahlungsabwicklung verarbeitet:

E-Mail-Adresse Ihres PayPal-Kontos
PayPal-Abonnement-ID
PayPal-Transaktions-IDs (pro Zahlung)
Zahlungsbetrag und Währung
Zahlungsstatus und -datum
Nächstes Abrechnungsdatum

Datenempfänger

Die Zahlungsabwicklung erfolgt durch:

PayPal (Europe) S.à r.l. et Cie, S.C.A. 22-24 Boulevard Royal, L-2449 Luxembourg

PayPal verarbeitet Ihre Zahlungsdaten als eigenständiger Verantwortlicher gemäß den eigenen PayPal-Datenschutzgrundsätzen.

Zweck der Verarbeitung

Die Verarbeitung dient der Durchführung der wiederkehrenden Abonnement-Zahlungen für die von Ihnen lizenzierten merchantCENTRAL-Module.

Rechtsgrundlage

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Die Zahlungsabwicklung ist integraler Bestandteil des Lizenzvertrags.

Speicherdauer

Zahlungsdaten werden für die Dauer des Abonnements sowie 10 Jahre nach Vertragsende aufbewahrt (§ 147 AO, § 257 HGB — steuerrechtliche Aufbewahrungspflicht).

Freiwilligkeit

Die Nutzung von PayPal ist freiwillig. Als Alternative stehen die Zahlung per SEPA-Lastschrift sowie Stripe zur Verfügung. Die Wahl der Zahlungsmethode hat keinen Einfluss auf den Preis oder den Funktionsumfang der Software.

i) Zahlungsabwicklung über Stripe

Umfang der Datenverarbeitung

Wenn Sie sich für die Zahlungsmethode Stripe-Abonnement entscheiden, werden folgende Daten im Rahmen der Zahlungsabwicklung verarbeitet:

Stripe-Abonnement-ID
Stripe-Transaktions-IDs (pro Zahlung)
Zahlungsbetrag und Währung
Zahlungsstatus und -datum
Nächstes Abrechnungsdatum

Datenempfänger

Die Zahlungsabwicklung erfolgt durch:

Stripe Payments Europe Ltd. 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland

Stripe verarbeitet Ihre Zahlungsdaten als eigenständiger Verantwortlicher gemäß den eigenen Stripe-Datenschutzrichtlinien.

Zweck der Verarbeitung

Die Verarbeitung dient der Durchführung der wiederkehrenden Abonnement-Zahlungen für die von Ihnen lizenzierten merchantCENTRAL-Module.

Rechtsgrundlage

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Speicherdauer

Zahlungsdaten werden für die Dauer des Abonnements sowie 10 Jahre nach Vertragsende aufbewahrt (§ 147 AO, § 257 HGB — steuerrechtliche Aufbewahrungspflicht).

Freiwilligkeit

Die Nutzung von Stripe ist freiwillig. Als Alternative stehen die Zahlung per SEPA-Lastschrift sowie PayPal zur Verfügung.

j) Automatische E-Mail-Benachrichtigungen

Umfang der Datenverarbeitung

merchantCENTRAL versendet automatisch E-Mail-Benachrichtigungen in folgenden Situationen:

Demo-Ablaufwarnung: Eine E-Mail wird ca. 7 Tage vor Ablauf eines Demo-Zugangs an die bei der Demo-Registrierung hinterlegte E-Mail-Adresse versandt.
Zahlungserinnerung: Bei ausstehenden Zahlungen wird eine Erinnerung an die hinterlegte E-Mail-Adresse gesendet.

Dabei werden folgende Daten verarbeitet: Name des Ansprechpartners, E-Mail-Adresse, Tenant-ID (pseudonymisiert) sowie betroffene Modulinformationen.

Versandinfrastruktur

Die E-Mails werden über Microsoft Azure Communication Services (ACS) in der Region Germany West Central (Frankfurt, Deutschland) versendet. Microsoft fungiert dabei als Auftragsverarbeiter gemäß Art. 28 DSGVO. Ein entsprechender Auftragsverarbeitungsvertrag ist über die Microsoft Product Terms automatisch Bestandteil unseres Azure-Vertrags.

Zweck der Verarbeitung

Die Benachrichtigungen dienen der rechtzeitigen Information über ablaufende Demo-Zugänge sowie der Erinnerung an ausstehende Zahlungen.

Rechtsgrundlage

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) für Demo-Ablaufwarnungen sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) für Zahlungserinnerungen.

k) Aktivitätsprotokoll (internes BC-Protokoll)

Umfang der Datenverarbeitung

merchantCENTRAL führt ein internes Aktivitätsprotokoll innerhalb Ihrer Business-Central-Datenbank. Darin werden folgende Daten gespeichert:

Microsoft Entra Tenant-ID (pseudonymisiert)
Kundenname (Unternehmensbezeichnung)
Modulcode und Art der Aktivität (z. B. Demo-Start, Lizenzaktivierung, Sperrung)
Zeitstempel und ausführender Benutzer

Zweck der Verarbeitung

Das Protokoll dient der internen Nachvollziehbarkeit von Lizenzaktionen und der Betriebssicherheit des Lizenzmanagements.

Rechtsgrundlage

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Nachvollziehbarkeit von Lizenzoperationen und der Fehlerbehebung).

Speicherdauer

Einträge im Aktivitätsprotokoll werden automatisch nach 180 Tagen gelöscht.

l) Token-Dienst für den Amazon-Connector

Umfang der Datenverarbeitung

Der Amazon-Connector von merchantCENTRAL meldet sich über die Anwendung von ALTENBRAND an der Amazon Selling Partner API an. Dafür betreiben wir einen Token-Dienst (mca-token.merchantcentral.de). Er verwahrt die Zugangsdaten dieser Anwendung sowie den Refresh-Token, den Sie beim Verbinden Ihres Amazon-Verkäuferkontos erteilen, und stellt daraus kurzlebige Zugangstoken für Ihre Business-Central-Umgebung aus. Dabei werden folgende Daten verarbeitet:

Refresh-Token Ihres Amazon-Verkäuferkontos
Microsoft Entra Tenant-ID Ihrer Business-Central-Umgebung
Kontocode des Amazon-Kontos in merchantCENTRAL und Ihre Amazon-Verkäuferkennung (Seller ID)
Status und Zeitpunkte der Verbindung (Einrichtung, Zustimmung bei Amazon, letzte Ausgabe eines Zugangstokens)
ein Zugriffsprotokoll je Aufruf: Zeitpunkt, Vorgang, Ergebnis und IP-Adresse des Aufrufers

Beim Verbinden melden Sie sich mit Ihrem Microsoft-Konto an. Der Token-Dienst übernimmt aus dieser Anmeldung ausschließlich die Tenant-ID; Name und E-Mail-Adresse werden nicht gespeichert.

Amazon-Geschäftsdaten – etwa Bestellungen, Artikel, Käufer- oder Lieferdaten – verarbeitet der Token-Dienst nicht. Sie werden ausschließlich direkt zwischen Ihrer Business-Central-Umgebung und Amazon ausgetauscht. Zugangstoken hält der Dienst nur kurzzeitig im Arbeitsspeicher; Token- und Schlüsselwerte erscheinen in keinem Protokoll.

Zweck der Verarbeitung

Der Token-Dienst verbindet Ihr Amazon-Verkäuferkonto mit Business Central, ohne dass die Zugangsdaten der Anwendung von ALTENBRAND an Kunden herausgegeben werden. Das Zugriffsprotokoll dient dem Schutz des Dienstes vor Missbrauch und dem Nachweis gegenüber Amazon, dessen Datenschutzvorgaben für Anbieter von Selling-Partner-Anwendungen ein solches Protokoll verlangen.

Rechtsgrundlage

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung – Bereitstellung des Amazon-Connectors). Das Zugriffsprotokoll beruht auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit des Dienstes und an der Nachweisführung gegenüber Amazon).

Datenempfänger und Speicherort

Der Token-Dienst wird auf Microsoft Azure in der Region Germany West Central (Frankfurt, Deutschland) betrieben. Refresh-Token und Anwendungs-Zugangsdaten liegen verschlüsselt in Azure Key Vault, Verbindungsdaten und Zugriffsprotokoll in Azure Table Storage, Betriebsdaten in Azure Application Insights. Microsoft fungiert als Auftragsverarbeiter gemäß Art. 28 DSGVO (siehe Abschnitt d)).

Um einen Zugangstoken auszustellen, übermittelt der Dienst den Refresh-Token an Login with Amazon, den Anmeldedienst von Amazon. Die Übertragung erfolgt ausschließlich über verschlüsselte HTTPS-Verbindungen.

Auch dem Token-Dienst ist Cloudflare vorgeschaltet. Cloudflare verarbeitet dabei IP-Adressen sowie die Inhalte der Anfragen und Antworten, um Angriffe und Missbrauch abzuwehren. Zu Rolle, Rechtsgrundlage und Übermittlung in die USA siehe Abschnitt d).

Speicherdauer

Datenkategorie	Speicherdauer
Refresh-Token	Bis Sie die Verbindung in merchantCENTRAL trennen. Dann wird er sofort endgültig gelöscht und ist nicht wiederherstellbar.
Verbindungsdaten (Tenant-ID, Kontocode, Seller ID, Zeitpunkte)	Für die Dauer der Nutzung. Nach dem Trennen bleibt die Verbindung als stillgelegt vermerkt, damit eine erneute Verbindung zugeordnet werden kann; auf Anfrage löschen wir sie.
IP-Adresse im Zugriffsprotokoll	30 Tage, danach automatische Anonymisierung
Zugriffsprotokoll und Betriebsdaten	12 Monate, danach automatische Löschung

Die Freigabe selbst, die Sie der Anwendung bei Amazon erteilt haben, können Sie zusätzlich jederzeit in Amazon Seller Central widerrufen.

m) Connectoren und Daten Ihrer Geschäftsvorgänge

Wer verantwortlich ist

Die Connectoren von merchantCENTRAL verbinden Ihren Business Central-Mandanten mit Marktplätzen (etwa Amazon, eBay, Otto, Kaufland, Conrad, bol.com oder Cdiscount), Shopsystemen (etwa Shopware oder Shopify), Versanddienstleistern (etwa DHL, DPD oder Hermes) und Lieferanten. Sie rufen die Schnittstelle des jeweiligen Anbieters direkt aus Ihrer Business Central-Umgebung auf und speichern die abgerufenen Daten ausschließlich dort.

Für die Käufer-, Kunden- und Empfängerdaten, die dabei in Ihren Mandanten gelangen oder von dort übermittelt werden, sind Sie als Händler Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Abweichend von der Angabe zu Beginn dieses Abschnitts 5 ist die ALTENBRAND Datentechnik GmbH für diese Verarbeitung nicht verantwortlich: Wir stellen die Software her, betreiben für diese Datenflüsse keinen eigenen Server und haben keinen Zugriff auf Ihren Mandanten oder die darin gespeicherten Daten. Ihre Business Central-Umgebung betreibt Microsoft im Rahmen Ihres eigenen Vertrags mit Microsoft.

Erhalten wir auf Ihre Veranlassung Zugriff auf Ihre Umgebung, etwa in einem Supportfall, verarbeiten wir diese Daten dabei nur nach Ihrer Weisung als Auftragsverarbeiter gemäß Art. 28 DSGVO; dafür schließen wir mit Ihnen eine gesonderte Vereinbarung.

Unsere eigenen Dienste – der Lizenzserver (Abschnitte a) bis c)) und der Token-Dienst für den Amazon-Connector (Abschnitt l)) – verarbeiten keine Käufer-, Kunden- oder Empfängerdaten. Auch die Telemetrie (Abschnitt n)) enthält sie nicht.

Welche Daten verarbeitet werden

Welche Daten ein Connector liest oder übermittelt, bestimmt die Schnittstelle des jeweiligen Anbieters. Typisch sind:

Marktplatz- und Shop-Connectoren: aus Aufträgen Name und gegebenenfalls Firma, Liefer- und Rechnungsanschrift, E-Mail-Adresse, Telefonnummer und Käuferkennung beim Anbieter, die gekauften Artikel, Preise und der Status jeder Position; je nach Marktplatz außerdem Retouren mit Grund und Status, Nachrichten an den und vom Kundenservice des Marktplatzes sowie Versandetiketten
Versand-Connectoren: Name und Anschrift des Empfängers sowie, soweit der Versanddienstleister sie für die Zustellbenachrichtigung verwendet, E-Mail-Adresse und Telefonnummer; zurück kommen Sendungsnummer und Etikett
Lieferanten-Connectoren: bei Streckengeschäften die Lieferanschrift Ihres Kunden, die an den Lieferanten geht
technische Protokolle der Schnittstellenaufrufe, sofern Sie sie einschalten: die Inhalte der Anfragen und Antworten, die solche Daten enthalten können

Aus den Auftragsdaten legt merchantCENTRAL Verkaufsaufträge an, je nach Ihrer Einstellung mit einem Sammeldebitor oder einem Debitor je Käufer.

Zweck der Verarbeitung

Die Daten dienen der Abwicklung der Verträge mit Ihren Kunden: Versand, Rechnung, Stornierung, Erstattung, Retoure, Kundenservice und die Bestellung beim Lieferanten.

Rechtsgrundlage

Die Rechtsgrundlage bestimmen Sie als Verantwortlicher; in Betracht kommen regelmäßig Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Vertrags mit Ihrem Kunden) und, für gebuchte Belege, Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Aufbewahrungspflichten).

Speicherdauer und automatische Anonymisierung

merchantCENTRAL führt jede Nacht eine Datenschutzaufgabe aus. Sie anonymisiert die Käuferdaten der Marktplatz- und Shop-Aufträge nach den Fristen, die Sie in den Datenschutzeinstellungen des Hubs festlegen (jeweils 1 bis 3.650 Tage):

Daten	Frist ab	Voreinstellung
Käuferdaten abgeschlossener Aufträge (versandt, berechnet oder storniert)	Auftragsdatum	30 Tage
Käuferdaten nicht abgeschlossener Aufträge	Auftragsdatum	90 Tage
Kaufland: Käuferdaten von Retouren und Tickets	letzte Änderung bei Kaufland	wie bei Aufträgen
Empfängerdaten auf Versandetiketten	Zustellung	30 Tage
Kaufland: technisches Protokoll der Schnittstellenaufrufe	Aufruf	höchstens 30 Tage, bei kürzerer Auftragsfrist entsprechend früher; danach gelöscht

Anonymisiert werden Name, Anschriften, E-Mail-Adresse, Telefonnummer, Käuferkennung, Nachrichtentexte, Etiketten-PDFs und Fehlertexte, die Inhalte der Schnittstelle wiedergeben können. Erhalten bleiben Nummern, Datumsangaben, Beträge, Status, Gründe und Ländercodes, die Sie als Geschäftsdaten benötigen.

Gebuchte Belege in Business Central, etwa Rechnungen und Gutschriften, verändert die Anonymisierung nicht; sie unterliegen den gesetzlichen Aufbewahrungsfristen. Legt merchantCENTRAL einen Debitor je Käufer an, anonymisieren Sie dessen Stammdaten selbst im Datenschutzbereich des Hubs; die dort eingestellte Frist (Voreinstellung 30 Tage nach dem letzten Auftrag) zeigt, ab wann das möglich ist.

Ihre Pflichten als Verantwortlicher

Sie informieren Ihre Kunden über die Verarbeitung in Ihrer eigenen Datenschutzerklärung, beantworten Anfragen von Betroffenen und prüfen, ob die voreingestellten Fristen zu Ihren Pflichten und zu den Vorgaben des jeweiligen Anbieters passen.

n) Telemetrie der Business Central-Apps

Umfang der Datenverarbeitung

Der Hub und die meisten Module von merchantCENTRAL sind so eingerichtet, dass Business Central technische Betriebsdaten über diese Apps an eine Azure Application Insights-Ressource der ALTENBRAND Datentechnik GmbH sendet (Einstellung applicationInsightsConnectionString im App-Manifest). Diese Funktion stellt Microsoft für alle Business Central-Apps bereit; die Daten erfasst Business Central selbst. Übermittelt werden:

Plattform-Telemetrie, die Business Central zu Vorgängen in unseren Apps erzeugt: angezeigte Fehler und Berechtigungsfehler mit dem betroffenen Programmobjekt und dem Programmablauf, Start, Ende und Fehler geplanter Aufgaben, ausgehende Schnittstellenaufrufe mit Zieladresse (nur die Basisadresse, ohne Pfad und Parameter), Methode, Statuscode und Dauer, lang laufende Vorgänge sowie Installation und Aktualisierung der Apps
eigene Ereignisse einzelner Apps, etwa zur Lizenzprüfung oder zum Schutz gespeicherter Zugangsdaten. Wir senden sie ausschließlich mit der Datenklassifizierung „Systemmetadaten“; Ereignisse mit einer anderen Klassifizierung leitet Business Central technisch nicht an Application Insights weiter.

Jedes Ereignis trägt die Microsoft Entra Tenant-ID, Name und Typ der Business Central-Umgebung, den Namen des Mandanten, Name und Version der App sowie eine pseudonyme Telemetrie-Kennung des Benutzers, die nur in Ihrer Umgebung einem Benutzer zugeordnet werden kann. Den Text einer Fehlermeldung übermittelt Business Central nur, wenn er als Systemmetadaten gekennzeichnet ist. Käufer-, Kunden- und Empfängerdaten, Artikel- und Belegdaten sowie Zugangsdaten sind nicht Teil der Telemetrie.

Unabhängig davon können Sie für Ihre Umgebung im Business Central Admin Center eine eigene Application Insights-Ressource hinterlegen. Diese Telemetrie erhalten nur Sie.

Zweck der Verarbeitung

Die Telemetrie dient dazu, Fehler, Ausfälle und Leistungsprobleme unserer Apps zu erkennen und zu beheben, bevor sie den Betrieb beeinträchtigen, Missbrauch gespeicherter Zugangsdaten zu erkennen und Supportanfragen nachzuvollziehen.

Rechtsgrundlage

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem stabilen, sicheren und fehlerfreien Betrieb der Software).

Datenempfänger und Speicherort

Die Application Insights-Ressource wird auf Microsoft Azure in der Region Germany West Central (Frankfurt, Deutschland) betrieben. Microsoft fungiert als Auftragsverarbeiter gemäß Art. 28 DSGVO (siehe Abschnitt d)).

Speicherdauer

Telemetriedaten werden nach 90 Tagen automatisch gelöscht.