Datenschutzerklärung

1. Verantwortlicher

Hachim Benddane, handelnd unter Uptova, Lewishamstraße 7, 10629 Berlin, Deutschland. E-Mail: contact@uptova.com (Betreff „Datenschutz“).

2. Besuch der Website

• Server-Logs: Beim Aufruf einer Seite verarbeitet unser Hosting-Anbieter (Vercel) IP-Adresse, Browsertyp, aufgerufene URL und Zeitpunkt zur Sicherheit und Fehlerdiagnose, bis zu 30 Tage. Rechtsgrundlage: berechtigtes Interesse an einer sicheren Website (Art. 6 Abs. 1 lit. f DSGVO).
• Web-Analyse: Wir nutzen Vercel Web Analytics; Seitenaufrufe und anonyme Interaktionsereignisse (z. B. welche Schaltfläche genutzt wurde) werden ohne Cookies, ohne seitenübergreifendes Tracking und ohne Speicherung Ihrer IP-Adresse gezählt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
• Spracheinstellung: Ein Cookie namens uptova-language und ein Local-Storage-Eintrag merken sich die gewählte Sprache. Sie enthalten keine personenbezogenen Daten und sind für die gewählte Sprache unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Werbe-Cookies setzen wir nicht; daher zeigen wir kein Einwilligungsbanner.
• Agentur-Anfrageformular: Wenn Sie die PPC-Betreuung anfragen, speichern wir Name, E-Mail, Marke, Website, Zielregionen, Umsatzklasse, Werbebudget-Klasse, Ziel, die verwendete Sprache und die Kampagnenparameter des Links, über den Sie gekommen sind, um Ihre Anfrage zu beantworten (Art. 6 Abs. 1 lit. b DSGVO, vorvertragliche Maßnahmen). Anfragen werden in einem eigenen, von der Anwendung getrennten Datenbankprojekt gespeichert. Die Terminbuchung lädt Calendly erst, nachdem Sie das Formular abgeschickt und die Buchung gewählt haben; Calendly verarbeitet die dort eingegebenen Daten nach eigener Datenschutzerklärung und kann eigene Cookies setzen.
• E-Mails an uns werden über Cloudflare Email Routing empfangen und in unserem Postfach so lange gespeichert, wie es zur Bearbeitung nötig ist. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO bei vertragsbezogenen Anfragen, sonst Art. 6 Abs. 1 lit. f DSGVO.

3. Nutzerkonten der Anwendung

• Für ein Konto verarbeiten wir Ihre E-Mail-Adresse, ein Passwort (nur als gesalzener Hash bei unserem Authentifizierungsanbieter gespeichert), Ihren Namen, Sprach- und Arbeitsbereichseinstellungen sowie die Rollen, die Sie Teammitgliedern zuweisen. Ihr Amazon-Passwort wird nie abgefragt oder gespeichert. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). E-Mail-Adresse und Passwort sind für die Kontoeröffnung erforderlich; alle weiteren Angaben sind freiwillig.
• Das Anmeldeformular ist durch Cloudflare Turnstile geschützt, das IP-Adresse und Browsersignale zur Bot-Erkennung verarbeitet (Art. 6 Abs. 1 lit. f DSGVO).
• Aktivitätsprotokoll: Für angemeldete Nutzer erfassen wir Sitzungsmetadaten, aufgerufene Pfade, Anmeldungen und ausgewählte administrative Aktionen mit IP-Adresse und User-Agent, um Missbrauch zu erkennen und administrative Aktionen nachvollziehbar zu machen. IP-Adressen werden nach 7 Tagen entfernt, Ereignisse nach 30 Tagen, Sitzungsmetadaten nach 12 Monaten. Tastatureingaben, Formularinhalte oder Mausbewegungen werden nicht aufgezeichnet. Sie können Ihre eigenen Aktivitätsdaten in der Anwendung einsehen, exportieren und löschen (Einstellungen › Meine Daten).
• Optionale Verbindungen (z. B. Google-Sheets-Export) werden nur hergestellt, wenn Sie sie aktivieren, und können jederzeit in der Anwendung widerrufen werden.

4. Amazon-Informationen

Wenn Sie Uptova über Login with Amazon oder den Autorisierungsablauf der Selling Partner API freigeben, stellt Amazon Uptova ein Zugriffstoken für Ihr Konto aus. Damit ruft Uptova ab:

• Werbedaten aus der Amazon Ads API: Kampagnen, Anzeigengruppen, Keywords und Targets, Suchbegriff-Berichte, Gebote, Budgets, Leistungskennzahlen und – sofern von Amazon freigeschaltet – Amazon-Marketing-Stream-Signale;
• Verkäuferdaten aus der Selling Partner API: Bestellungen ohne personenbezogene Käuferdaten, Katalogattribute Ihrer Produkte, Lagerbestand, Preise, Gebühren, Erstattungen und Aktionen, Umsatz und Traffic je Produkt sowie die auf unserer Seite Amazon-Daten und Analysen beschriebenen Brand-Analytics-Berichte, sofern Ihre Marke in der Markenregistrierung eingetragen ist.
• Zweck: Erbringung des gebuchten Dienstes – Dashboards, Rentabilitäts- und Ranking-Analysen, Empfehlungen und die von Ihnen freigegebenen Änderungen. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).
• Wir beantragen keine eingeschränkten Rollen der Selling Partner API und erhalten keine personenbezogenen Käuferdaten (keine Namen, Adressen, E-Mail-Adressen, Telefonnummern oder Zahlungsdaten).
• Uptova schreibt nur für Änderungen, die Sie freigeben – einzeln oder über von Ihnen gestartete Automatisierungsregeln und Listing-Tests innerhalb der von Ihnen gesetzten Grenzen: Werbeänderungen über die Amazon Ads API und Listing-Inhalte über die Listings Items API der Selling Partner API (Rolle Product Listing). Alles andere wird nur gelesen.
• Amazon-Informationen werden ausschließlich innerhalb des Kontos des Verkäufers verarbeitet, der Uptova autorisiert hat. Wir führen sie nicht über mehrere Verkäufer oder deren Kunden hinweg zusammen, verkaufen sie nicht, geben sie nur an die in Abschnitt 6 genannten Auftragsverarbeiter und nie an andere Verkäufer weiter und veröffentlichen oder teilen keine Erkenntnisse über das Geschäft von Amazon. Unsere Nutzung folgt der Acceptable Use Policy und der Data Protection Policy von Amazon.
• Amazon-Autorisierungen werden serverseitig gespeichert. Beim Verbinden des Kontos durchlaufen sie Ihren Browser nur als verschlüsselter, zeitlich begrenzter Datenblock, den Ihr Browser nicht lesen kann. Beim Trennen der Amazon-Verbindung in der Anwendung wird die gespeicherte Autorisierung gelöscht.

5. KI-gestützte Funktionen

Wenn Sie eine KI-Funktion nutzen (Antworten im AI Cockpit, Listing-Textvorschläge, Suchbegriff-Briefings, Bearbeitung von Produktbildern), werden der eingegebene Text, die Produktdaten und die für diese Anfrage ausgewählten Kontokennzahlen an den Modellanbieter übermittelt, der die Anfrage beantwortet: Magica (ein API-Relay zu Claude-Modellen von Anthropic und Gemini-Modellen von Google), Google (Gemini API) oder xAI (Grok API). Die Bearbeitung von Produktbildern nutzt 1min.ai, Google (Gemini API) oder OpenAI – oder Higgsfield, wenn Sie Ihr eigenes Higgsfield-Konto verbinden. Käuferdaten und Amazon-Rohberichte werden nicht übermittelt, nur die für die Anfrage nötigen Felder. KI-Ausgaben sind als Vorschläge gekennzeichnet und verändern Ihr Amazon-Konto nie ohne Ihre Freigabe. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

6. Empfänger und Auftragsverarbeiter

Wir setzen folgende Anbieter auf Grundlage von Auftragsverarbeitungsverträgen ein: Supabase (Datenbank, Authentifizierung, Serverfunktionen – Anwendungsprojekt in der EU, Region Frankfurt; separates Projekt für Agentur-Anfragen); Vercel (Web-Hosting und Web-Analyse – EU und USA); Cloudflare (DNS, E-Mail-Weiterleitung, Bot-Schutz – globales Netzwerk); Resend (transaktionale E-Mails wie Anmeldelinks und Berichte); Sentry (Fehlerüberwachung der Anwendung); die in Abschnitt 5 genannten KI-Anbieter (nur bei Nutzung einer KI-Funktion); Calendly (nur bei Terminbuchung); unser Postfach-Anbieter (Google). Optionale Verbindungen, die Sie selbst mit Ihrem eigenen Konto aktivieren (z. B. Google Sheets oder Slack), unterliegen den Bedingungen dieser Anbieter; ihre Daten werden getrennt von Daten der Selling Partner API gespeichert. Aktive Amazon-Abläufe in Uptova nutzen ausschließlich offizielle Amazon-Quellen; externe Dienste, die von Amazon-Websites abgerufene Informationen bereitstellen, sind deaktiviert. Amazon erhält die in Ihrem Auftrag gestellten API-Anfragen. Wir verkaufen weder personenbezogene Daten noch Amazon-Informationen. Einen Auftragsverarbeitungsvertrag für Kunden stellen wir auf Anfrage bereit.

7. Drittlandübermittlung

Verarbeitet ein Anbieter Daten außerhalb des Europäischen Wirtschaftsraums (Vercel, Cloudflare, Google, OpenAI, xAI, Magica, 1min.ai, Higgsfield, Resend, Sentry und Calendly), stützt sich die Übermittlung auf die EU-Standardvertragsklauseln oder einen Angemessenheitsbeschluss (EU-US Data Privacy Framework, sofern der Anbieter zertifiziert ist). Eine Kopie der Klauseln erhalten Sie auf Anfrage unter contact@uptova.com.

8. Speicherdauer und Löschung

• Beim Trennen der Amazon-Verbindung in der Anwendung wird die gespeicherte Autorisierung sofort gelöscht und jede Synchronisation für dieses Konto gestoppt. Amazon-Informationen und alle daraus abgeleiteten Daten werden spätestens 30 Tage nach Schließung Ihres Kontos oder nach Ihrer Löschaufforderung an contact@uptova.com, Betreff „Datenschutz“, gelöscht.
• Kontodaten werden mit Schließung des Kontos gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten bestehen (Rechnungen und Buchungsbelege: 8 Jahre, § 147 AO, § 14b UStG).
• Anfragedaten werden 12 Monate nach dem letzten Kontakt gelöscht. Server-Logs spätestens nach 30 Tagen.

9. Sicherheit

Transportverschlüsselung (TLS) überall; Kontoisolation durch Row-Level-Security in der Datenbank; Verschlüsselung ruhender Daten durch unsere Infrastrukturanbieter; Zugriff nach dem Minimalprinzip; keine Geheimnisse im Quellcode, geprüft durch automatische Scans; ein schriftlicher Incident-Response-Plan mit benannten Rollen und halbjährlicher Überprüfung. Ein Sicherheitsvorfall, der Amazon-Informationen betrifft, wird Amazon innerhalb von 24 Stunden nach Entdeckung gemeldet; betroffene Kunden werden unverzüglich informiert. Sicherheitskontakt: contact@uptova.com, Betreff „Security“.

10. Ihre Rechte

Sie haben das Recht auf Auskunft, Berichtigung, Löschung und Datenübertragbarkeit, auf Einschränkung der Verarbeitung sowie das Recht, eine Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen. Schreiben Sie an contact@uptova.com, Betreff „Datenschutz“. Sie können sich zudem bei einer Aufsichtsbehörde beschweren; für uns zuständig ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit, Alt-Moabit 59–61, 10555 Berlin.

11. Widerspruchsrecht (Art. 21 DSGVO)

Sie können der Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO jederzeit aus Gründen, die sich aus Ihrer besonderen Situation ergeben, widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen.

12. Minderjährige und Änderungen

Uptova ist ein Dienst für Unternehmen und richtet sich nicht an Personen unter 18 Jahren. Wir aktualisieren diese Erklärung, wenn sich unsere Dienste oder die Rechtslage ändern; das Datum oben zeigt die aktuelle Fassung.