English version

Datenschutzerklärung

für das VDS-OMS-Portal und die VDS-OMS-Dienste

Stand: 5. November 2026

1. Verantwortlicher

VDS- Versand und DatenService Matthias Bick e.K.
An der Alten Mühle 7
37412 Herzberg am Harz
Deutschland
vertreten durch: Matthias Bick (Inhaber)
Registernummer: HRA 200132
Umsatzsteuer-Identifikationsnummer gemäß § 27a Umsatzsteuergesetz: DE174241650
Telefon: +49 (0) 5521 855 0
E-Mail: kontakt@vds-fulfillment.com

Datenschutzbeauftragter

Wir haben einen Datenschutzbeauftragten bestellt. Sie erreichen ihn unter:

Herr Ingo Goldau
An der Alten Mühle 7
37412 Herzberg am Harz
Telefon: +49 (0) 5521 855 0
E-Mail: kontakt@vds-fulfillment.com

2. Geltungsbereich und Rollen

Diese Erklärung beschreibt, welche personenbezogenen Daten wir verarbeiten, wenn ein Händler unsere Fulfillment-Dienste nutzt. Dazu gehören das VDS-OMS-Portal, in dem der Händler und seine Mitarbeiter Bestellungen, Retouren und Einstellungen einsehen, der Self-Service, über den Endkunden des Händlers Retouren, Widerrufe und Reklamationen anmelden, sowie die Anbindungen an die Shop-Systeme des Händlers, über die Bestellungen zu uns gelangen (derzeit die Shopify-App „VDS OMS by Nexus aion“, siehe Abschnitt 4, und die Billbee-Anbindung, siehe Abschnitt 5).

Dabei treten wir in zwei verschiedenen Rollen auf:

• Für die Daten der Endkunden des Händlers (Besteller, Empfänger) ist der Händler der Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO. Wir verarbeiten diese Daten ausschließlich in seinem Auftrag und nach seiner Weisung als Auftragsverarbeiter (Art. 28 DSGVO) auf Grundlage des mit dem Händler geschlossenen Fulfillment-Vertrags und Auftragsverarbeitungsvertrags.
• Für die Daten des Händlers selbst (Shop-Domain bzw. Billbee-Benutzername, Zugangsdaten, Portal-Benutzerkonten) sind wir Verantwortlicher.

Diese Erklärung gilt nicht für den Online-Shop des Händlers. Für dessen Datenverarbeitung gilt die Datenschutzerklärung des jeweiligen Shops.

3. Portal-Benutzerkonten

Mitarbeiter des Händlers, die das VDS-OMS-Portal nutzen, melden sich mit E-Mail- Adresse und Passwort an. Wir speichern E-Mail-Adresse, Name, zugewiesene Rolle, Zeitpunkt der Anmeldungen und ein Sitzungs-Cookie. Die Anmeldung wird über Google Identity Platform abgewickelt (siehe Abschnitt 8). Bestimmte Aktionen im Portal (z. B. die Freigabe einer Bestellung) werden mit der Kennung des ausführenden Benutzers protokolliert, um nachvollziehbar zu bleiben.

Das Portal setzt nur technisch notwendige Cookies (Sitzung, Schutz vor Cross-Site-Request-Forgery), keine Tracking- oder Analyse-Cookies.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO sowie unser berechtigtes Interesse an einer sicheren und nachvollziehbaren Nutzung des Portals (Art. 6 Abs. 1 lit. f DSGVO).

4. Die Shopify-App „VDS OMS by Nexus aion“

Händler mit einem Shopify-Shop verbinden ihn über unsere Shopify-App mit dem Portal. Die App übernimmt Bestellungen und Produktdaten aus Shopify, meldet Versanddaten (Sendungsnummern) an Shopify zurück und gleicht Bestände ab. Sie hat keine eigene Oberfläche im Shopify-Admin.

4.1 Installation

Bei der Installation über Shopify OAuth speichern wir:

• die Shop-Domain (*.myshopify.com) als Kennung der Installation,
• das von Shopify ausgestellte Zugriffstoken für die erteilten Berechtigungen (Scopes) sowie die Liste dieser Berechtigungen,
• Zeitpunkt der Installation und Deinstallation,
• die in Shopify angelegten Fulfillment-Services und Standorte, die unseren Lagern entsprechen,
• technische Kennungen empfangener Shopify-Ereignisse (Event-IDs), um doppelte Zustellungen zu erkennen.

Während der Installation setzen wir ein technisch notwendiges, kurzlebiges Cookie (shopify_oauth_state, httpOnly), das den OAuth-Vorgang gegen Cross-Site-Request-Forgery absichert. Es enthält keine personenbezogenen Daten und wird nach Abschluss der Installation nicht mehr benötigt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Vertrags mit dem Händler).

4.2 Welche Daten Shopify an uns übermittelt

Sobald die App installiert ist, übermittelt Shopify uns per Webhook jede neue oder geänderte Bestellung sowie Änderungen an Produkten und Beständen. Welche Bestelldaten wir daraus übernehmen und wofür, beschreibt Abschnitt 6. Produkt-, Varianten- und Bestandsdaten enthalten keine personenbezogenen Daten.

Nicht verarbeitet werden Gerätedaten, IP-Adressen, Standortdaten oder das Browserverhalten der Endkunden. Die App liest keine Kundenkonten des Shops aus, sondern nur die zu einer Bestellung gehörenden Angaben.

4.3 Deinstallation und Datenschutz-Anfragen über Shopify

Wird die App deinstalliert, benachrichtigt uns Shopify. Wir verwerfen das Zugriffstoken sofort und deaktivieren die Installation; es finden keine weiteren Abrufe aus dem Shop statt. Auskunfts- und Löschanfragen, die der Händler über die dafür vorgesehenen Shopify-Funktionen stellt (Auskunft und Löschung zu einem Kunden, Löschung nach Deinstallation), bearbeiten wir wie in Abschnitt 9 beschrieben.

5. Die Billbee-Anbindung

Händler, die ihre Bestellungen mit Billbee verwalten, verbinden ihr Billbee-Konto über unsere Billbee-Anbindung mit dem Portal. Die Anbindung übernimmt Bestellungen und Artikeldaten aus Billbee, meldet Versanddaten an Billbee zurück und überträgt Bestände.

5.1 Verbindung

Der Händler nennt im Portal den Benutzernamen seines Billbee-Kontos (die E-Mail-Adresse, mit der er sich bei Billbee anmeldet). Das API-Passwort gibt er nur im Formular der Anbindung ein; es läuft nicht über das Portal. Wir speichern:

• den Benutzernamen als Kennung der Verbindung,
• das API-Passwort, mit dem die Anbindung im Auftrag des Händlers auf sein Billbee-Konto zugreift,
• den Webhook, den die Anbindung in Billbee einrichtet, und den Schlüssel, mit dem wir seine Nachrichten auf Echtheit prüfen,
• die Lager des Billbee-Kontos und welchem unserer Lager sie zugeordnet sind,
• Zeitpunkt der Verbindung und der Trennung,
• technische Kennungen empfangener Billbee-Ereignisse, um doppelte Zustellungen zu erkennen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Vertrags mit dem Händler).

5.2 Welche Daten wir mit Billbee austauschen

Billbee benachrichtigt uns per Webhook über neue und geänderte Bestellungen und Artikel; die Anbindung ruft die Bestellung oder den Artikel daraufhin bei Billbee ab. Welche Bestelldaten wir übernehmen und wofür, beschreibt Abschnitt 6. Artikel- und Bestandsdaten enthalten keine personenbezogenen Daten.

An Billbee übermitteln wir:

• Sendungsnummern und den Versanddienstleister sowie den Stand der Bestellung (etwa „im Fulfillment“ oder „versendet“),
• Markierungen an der Bestellung, die zeigen, ob wir sie ausführen, sowie im Portal gesetzte Markierungen,
• eine im Portal geänderte Lieferadresse (Name, Firma, Straße, Adresszusatz, Postleitzahl, Ort, Bundesland, Land, Telefonnummer). Sie wird in Billbee als neue Lieferadresse nur dieser Bestellung angelegt; die Rechnungsadresse und andere Bestellungen des Kunden bleiben unverändert,
• Bestände je Artikel und das Gewicht von Artikeln.

Nicht verarbeitet werden Gerätedaten, IP-Adressen, Standortdaten oder das Browserverhalten der Endkunden. Die Anbindung liest keine Kundenkonten aus Billbee aus, sondern nur die zu einer Bestellung gehörenden Angaben.

5.3 Trennung und Datenschutz-Anfragen

Billbee meldet uns nicht, wenn ein Händler die Verbindung in Billbee beendet. Getrennt wird deshalb im Portal: Die Anbindung löscht dann ihren Webhook in Billbee, verwirft das API-Passwort und den Schlüssel des Webhooks, ruft danach keine Daten mehr ab und verarbeitet keine Nachrichten von Billbee mehr. Billbee leitet Auskunfts- und Löschanfragen zu Kunden nicht an uns weiter; der Händler richtet sie direkt an uns, und wir bearbeiten sie wie in Abschnitt 9 beschrieben.

6. Bestell- und Kundendaten (Auftragsverarbeitung)

6.1 Welche Daten

Aus einer Bestellung übernehmen und speichern wir:

• Bestellnummer, Bestelldatum, Bestellstatus, Währung und Beträge,
• Name, E-Mail-Adresse und Kundennummer des Bestellers, gegebenenfalls Umsatzsteuer-Identifikationsnummer bei Geschäftskunden,
• Liefer- und Rechnungsadresse einschließlich Telefonnummer, soweit angegeben,
• die bestellten Positionen (Artikel, SKU, Menge, Preise, Rabatte, Steuersatz),
• Zahlungsart und Zahlungsstatus, gewählte Versandart, Gutscheincode,
• Bestellhinweise und Geschenknachrichten, soweit der Kunde sie im Shop hinterlegt hat,
• im Verlauf der Abwicklung: Sendungsnummern, Versanddienstleister und Versandzeitpunkte.

6.2 Zwecke

• Kommissionierung, Verpackung und Versand der Bestellung aus unserem Lager, einschließlich Übergabe der Empfängerdaten an den Versanddienstleister,
• Rückmeldung von Sendungsnummern und Versandstatus an das Shop-System,
• Entscheidung, ob und aus welchem Lager eine Bestellung ausgeführt wird, sowie Abgleich der Bestandsmengen mit dem Shop-System,
• Prüfung der Lieferadresse auf Vollständigkeit und Plausibilität, bevor die Bestellung an das Lager geht (Adress-Check), sofern der Händler ihn nutzt. Bei Adressen in Deutschland, Österreich, der Schweiz und Liechtenstein gleichen wir dafür Postleitzahl, Ort und Straße mit einem öffentlichen Postleitzahlen- und Straßenverzeichnis ab (OpenPLZ, Abschnitt 8),
• Abwicklung von Retouren, Widerrufen und Reklamationen,
• Anzeige der Bestellungen für den Händler und seine Mitarbeiter im VDS-OMS-Portal.

Wir verarbeiten diese Daten nur zu den vom Händler vorgegebenen Zwecken und nicht für eigene Zwecke, insbesondere nicht für Werbung oder Profilbildung.

6.3 Self-Service für Endkunden

Bietet der Händler seinen Kunden unseren Self-Service (Retoure, Widerruf, Reklamation per Chat oder Formular) an, verarbeiten wir zusätzlich die Angaben, die der Kunde dort macht: Bestellnummer und Postleitzahl zur Identifikation der Bestellung, die ausgewählten Artikel, Rückgabegründe, Freitexte, hochgeladene Fotos und den Chatverlauf. Für die Erstellung eines Retourenlabels übermitteln wir Name, Adresse, Telefonnummer und E-Mail-Adresse an den Versanddienstleister (Abschnitt 8). Der Chat wird von einem Sprachmodell unterstützt, das ausschließlich in einer Rechenzentrumsregion in der EU betrieben wird; die Eingaben werden nicht zum Training von Modellen verwendet.

7. Speicherort und Sicherheit

Alle Systeme des Portals und der Shop-Anbindungen laufen auf Google Cloud in der Region europe-west3 (Frankfurt am Main, Deutschland). Datenbanken und Dateispeicher sind im Ruhezustand verschlüsselt, jede Übertragung erfolgt über TLS. Die Schlüssel unserer Dienste liegen in einem Secret-Manager, die Zugriffstoken und Zugangsdaten der Shop-Systeme in der Datenbank der Anbindungen. Beides wird nicht protokolliert. Jede Nachricht eines Shop-Systems wird kryptographisch auf Echtheit geprüft, bevor sie verarbeitet wird. Der Zugriff auf Bestelldaten ist auf die Mitarbeiter beschränkt, die für die Abwicklung zuständig sind.

8. Empfänger und Auftragsverarbeiter

Wir setzen die folgenden Dienstleister ein. Soweit sie personenbezogene Daten in unserem Auftrag verarbeiten, bestehen Auftragsverarbeitungsverträge nach Art. 28 DSGVO.

Bei Dienstleistern außerhalb der EU erfolgt die Übermittlung auf Grundlage von Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) oder, soweit anwendbar, des EU-U.S. Data Privacy Framework.

9. Speicherdauer und Löschung

• Bestell- und Kundendaten: Wir speichern sie für die Dauer der Abwicklung und darüber hinaus so lange, wie der Händler uns dazu anweist oder gesetzliche Aufbewahrungspflichten (insbesondere § 147 AO, § 257 HGB: bis zu zehn Jahre für Bestell- und Rechnungsbelege) dies verlangen. Das Trennen einer Shop-Anbindung allein löscht die bereits übernommenen Bestellungen nicht, weil offene Sendungen, Retouren und Belege weiterhin bearbeitet werden müssen.
• Löschung auf Anfrage: Der Händler kann jederzeit die Löschung einzelner Kundendaten oder aller Daten seines Shops verlangen. Wir kommen dem innerhalb von 30 Tagen nach, soweit keine Aufbewahrungspflicht entgegensteht; in diesem Fall werden die Daten für die weitere Verarbeitung gesperrt.
• Portal-Benutzerkonten werden gelöscht, wenn der Händler das Konto entfernt oder der Vertrag endet.
• Self-Service-Sitzungen: Eine im Chat identifizierte Bestellung bleibt 30 Minuten mit der Sitzung verknüpft und wird danach automatisch gelöscht.
• Protokolldaten der Systeme (ohne Kundendaten) werden nach 30 Tagen gelöscht.

10. Rechte der betroffenen Personen

Betroffene haben nach Art. 15 bis 21 DSGVO das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch sowie das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren.

Endkunden eines Shops wenden sich bitte an den Händler, bei dem sie bestellt haben; er ist für ihre Daten verantwortlich, und wir unterstützen ihn bei der Beantwortung. Anfragen, die uns direkt erreichen, leiten wir an den betreffenden Händler weiter.

Händler und Portal-Benutzer erreichen uns unter kontakt@vds-fulfillment.com oder über unseren Datenschutzbeauftragten (Abschnitt 1).

11. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich die Verarbeitung ändert, etwa durch neue Funktionen oder neue Dienstleister. Die jeweils aktuelle Fassung ist unter dieser Adresse abrufbar; das Datum des Stands steht am Anfang der Seite.