Feronix Portale Clienti ATLAS
🛡️ Datenschutz & Informationssicherheit • Art. 13 & 14 DSGVO • § 25 TDDDG

Datenschutzerklärung

Informationen über die Verarbeitung personenbezogener Daten im Rahmen der Nutzung des B2B-Portals goatlas.eu und der ATLAS-Zollabwicklung

🏢 1. Verantwortliche Stelle & Ansprechpartner

Art. 4 Nr. 7 DSGVO
Verantwortlicher
Ost Express Courierservice GmbH
Geschäftsanschrift
Bayernstr. 30a, 30855 Langenhagen, Deutschland
Vertretungsberechtigt
Andreas Braun (Geschäftsführer)
E-Mail für Datenschutzfragen
✉️ datenschutz@oec-paket.de oder vertrieb@oec-paket.de
Telefon
📞 +49 (0) 511 730166
Handelsregister
Amtsgericht Lemgo, HRB 3337

⚖️ 2. Zwecke und Rechtsgrundlagen der Verarbeitung

Art. 6 DSGVO

Wir verarbeiten personenbezogene Daten von Kunden, Ansprechpartnern, Nutzern und zollbeteiligten Personen ausschließlich im Einklang mit der EU-Datenschutz-Grundverordnung (DSGVO) sowie dem Bundesdatenschutzgesetz (BDSG):

Verarbeitungszweck Kategorien betroffener Daten Rechtsgrundlage
Vertragsdurchführung & Onboarding: Registrierung, Stammdatenanlage, Benutzerverwaltung und Bereitstellung des Portals & der Kunden-API. Name, E-Mail, Telefon, Anschrift, Rolle, Unternehmensdaten. Art. 6 Abs. 1 lit. b DSGVO
ATLAS-Zollanmeldung & Abfertigung: Erstellung, Prüfung und hoheitliche Übermittlung von Zollanmeldungen (IMPOST, Standard-Einfuhr, Versand T1) an Zollbehörden. EORI, LRN, MRN, Absender/Empfänger, Warenwerte, Zolltarifnummern, Abgabenbescheide. Art. 6 Abs. 1 lit. c DSGVO i.V.m. Unionszollkodex (UZK)
Finanzbuchhaltung & Rechnungslegung: Führung von Operations- und Zoll-Deposit-Wallets, ZUGFeRD-Rechnungsstellung, Doppel-Buchungs-Ledger, Steuerdeklaration. Rechnungsdaten, Zahlungsreferenzen, Bankverbindungen, Salden, Steuer-IDs. Art. 6 Abs. 1 lit. c DSGVO i.V.m. § 147 AO, § 257 HGB, UStG
Zahlungsabwicklung: Verarbeitung von Einzahlungen per Banküberweisung oder Kreditkarte über Zahlungsdienstleister. Transaktionsbetrag, Währung, Zahlungs-ID, Zahlungsstatus. Art. 6 Abs. 1 lit. b & lit. f DSGVO
Plattformsicherheit & Revisionssicherheit: Mandantenabgrenzung, Audit-Logging statusverändernder Aktionen, Missbrauchsprävention, DDoS-Schutz. IP-Adresse, Login-Zeitpunkt, Session-Tokens, Audit-Events. Art. 6 Abs. 1 lit. f DSGVO
Freiwillige Angaben & Supportanfragen: Kontaktformulare, ergänzende Dokumente, optionale Mitteilungen. Freitext-Nachrichten, hochgeladene Nachweise. Art. 6 Abs. 1 lit. a & lit. b DSGVO

🌐 3. Server-Logfiles, Hosting & Session-Cookies

§ 25 Abs. 2 TDDDG

Server-Logdaten

Bei jedem Zugriff auf goatlas.eu erfasst der Webserver (Nginx / ASGI) automatisiert technische Verbindungsinformationen, die Ihr Browser an uns übermittelt. Hierzu zählen:

  • IP-Adresse des anfragenden Rechners
  • Datum und Uhrzeit der Serveranfrage nebst Zeitzone
  • Methode, Pfad und HTTP-Statuscode der Anfrage
  • Übertragene Datenmenge und Referrer-URL (zuvor besuchte Seite)
  • Browsertyp, Version und Betriebssystem des Endgeräts
  • Eindeutige Korrelations-ID (X-Correlation-ID) zur Fehleranalyse

Diese Daten sind technisch erforderlich, um die Website stabil, performant und sicher auszuliefern sowie Angriffe (z. B. DDoS) abzuwehren. Die Speicherung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Server-Logs werden nach maximal 14 Tagen gelöscht oder anonymisiert, sofern keine Aufbewahrung zu Beweiszwecken bei konkreten Sicherheitsvorfällen gesetzlich geboten ist.

Session-Cookies nach § 25 Abs. 2 Nr. 2 TDDDG

Das Portal verwendet ausschließlich ein technisch zwingend erforderliches Session-Cookie namens feronix_session.

Dieses Cookie dient der Authentifizierung und der serverseitigen Session-Verwaltung des angemeldeten Benutzers, um die sichere Mandantentrennung aufrechtzuerhalten. Es speichert keine Passwörter im Klartext und wird beim Schließen des Browsers bzw. bei Abmeldung ungültig.

🔒 Kein Drittanbieter-Tracking: Wir setzen weder Tracking-Tools (wie Google Analytics), noch Werbe-Cookies, noch Marketing-Pixel ein. Eine Einwilligung über ein Cookie-Banner ist gemäß § 25 Abs. 2 Nr. 2 TDDDG für technisch notwendige Sessions nicht erforderlich.

💳 4. Zahlungsabwicklung (Kreditkarte, SEPA & Bank)

PCI-DSS zertifiziert

Zahlungsdienstleister Stripe

Für Soforteinzahlungen auf das Operationsguthaben oder Zoll-Vorauszahlungsdeposit per Kredit- oder Debitkarte nutzen wir den Dienst der Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland.

Bei Auswahl dieser Zahlungsart werden Ihre Zahlungsangaben (Karteninhaber, Kartennummer, Ablaufdatum, CVC, Betrag, Währung) über eine verschlüsselte Verbindung direkt an Stripe übermittelt. Kartendaten werden zu keinem Zeitpunkt auf Servern der Ost Express Courierservice GmbH gespeichert oder verarbeitet.

Die Rechtsgrundlage für die Weitergabe der Daten an Stripe ist Art. 6 Abs. 1 lit. b DSGVO (Zahlungsabwicklung zur Vertragserfüllung) sowie Art. 6 Abs. 1 lit. f DSGVO (Betrugsprävention und Verifikation). Soweit Stripe Daten an die Stripe, Inc. in den USA überträgt, stützt sich Stripe auf die EU-Standardvertragsklauseln (SCC) und das EU-U.S. Data Privacy Framework. Weitere Informationen finden Sie in der Datenschutzerklärung von Stripe: https://stripe.com/de/privacy.

Banküberweisung (SEPA)

Bei manuellen Banküberweisungen auf unser Geschäftskonto bei der Deutsche Bank AG werden die von Ihrer Bank übermittelten Buchungsdaten (Kontoinhaber, IBAN, BIC, Betrag, Verwendungszweck) ausschließlich zur Zuordnung und Gutschrift auf Ihr jeweiliges Kunden-Wallet verarbeitet (Art. 6 Abs. 1 lit. b DSGVO).

🏛️ 5. Übermittlung an Zollbehörden (ATLAS / ITZBund)

Unionszollkodex (UZK)

Die primäre Zweckbestimmung der Plattform besteht in der Erstellung und Abwicklung behördlicher ATLAS-Zollanmeldungen (z. B. ATLAS-IMPOST, Standard-Einfuhr DECDFA, Versandverfahren T1).

Hierzu werden die vom Kunden bereitgestellten sendungsbezogenen Daten über zertifizierte Schnittstellen (FTAM / EDIFACT / XML-Webservice) an das Informationstechnikzentrum Bund (ITZBund) sowie die zuständigen Hauptzollämter (insbesondere Hauptzollamt Hannover) übermittelt. Zu den übermittelten Daten gehören:

  • EORI-Nummern von Anmelder, Vertreter und Beteiligten
  • Absender- und Empfängerdaten (Name, Unternehmensbezeichnung, Anschrift)
  • Warenbeschreibungen, Zolltarifnummern (Warentarifcodes), Ursprungsländer und Roh-/Eigenmassen
  • Rechnungswerte, Währungen und Bemessungsgrundlagen für Zoll und Einfuhrumsatzsteuer (EUSt)
  • Registrierungsnummern (LRN, MRN, Zollbelegnummern) und amtliche Abgabenbescheide (ICOMTA, DECCXA)

Die Übermittlung dieser Daten erfolgt in Erfüllung einer rechtlichen Verpflichtung nach Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit den Bestimmungen des Unionszollkodex (Verordnung (EU) Nr. 952/2013).

🔐 6. Mandantenisolation & Technische Schutzmaßnahmen

Security by Design

Die Plattform goatlas.eu ist strikt mandantenfähig aufgebaut:

  • Strikte Mandantenisolation: Jede Datenbankabfrage ist zwingend an die Mandanten-ID (tenant_id) gebunden. Cross-Tenant-Abfragen sind softwareseitig ausgeschlossen.
  • Verschlüsselung nach Rule 9: Passwörter werden mit bcrypt gehasht. Schnittstellen-Schlüssel (ATLAS API-Keys, Webhook-Secrets) werden im Ruhezustand (at rest) stark verschlüsselt gespeichert und niemals im Klartext protokolliert.
  • Transportverschlüsselung: Sämtliche Datenübertragungen erfolgen ausnahmslos über TLS 1.3 / HTTPS mit HSTS (Strict-Transport-Security).
  • Audit-Trail: Alle statusverändernden Finanz-, Zoll- und Kontotransaktionen werden in einem manipulationssicheren, unveränderlichen Audit-Log protokolliert.
  • Vier-Augen-Prinzip: Manuelle Gutschriften und Auszahlungen unterliegen einer doppelten Kontrollstufe.

⏳ 7. Speicherdauer & Gesetzliche Aufbewahrungspflichten

10 Jahre AO / HGB

Wir verarbeiten und speichern personenbezogene Daten grundsätzlich nur so lange, wie es zur Erfüllung unserer vertraglichen und gesetzlichen Pflichten erforderlich ist:

  • Vertragsdaten & Kundenkonto: Für die Dauer des aktiven Vertragsverhältnisses.
  • Handels- und steuerrechtliche Belege: ZUGFeRD-Rechnungen, Buchungs-Ledger, Einzahlungsnachweise und Abgabenabrechnungen werden für 10 Jahre aufbewahrt (§ 147 Abs. 1 und 3 AO, § 257 HGB).
  • Zollunterlagen & Bescheide: Unterlagen zu zollamtlichen Vorgängen werden mindestens für die im Zollrecht vorgesehenen Fristen (Art. 51 UZK, in der Regel 3 bis 10 Jahre) unveränderlich archiviert.
  • Server-Logdaten: Werden nach maximal 14 Tagen automatisiert gelöscht.

Nach Ablauf der gesetzlichen Aufbewahrungsfristen werden die entsprechenden Daten routinemäßig gelöscht, sofern sie nicht mehr zur Vertragserfüllung oder Durchsetzung von Rechtsansprüchen erforderlich sind.

⚖️ 8. Ihre Rechte als betroffene Person

Art. 15–22 DSGVO

Ihnen stehen bezüglich der Sie betreffenden personenbezogenen Daten folgende Rechte zu:

  • Auskunftsrecht (Art. 15 DSGVO): Auskunft über Ihre verarbeiteten Daten und deren Verarbeitungszwecke.
  • Recht auf Berichtigung (Art. 16 DSGVO): Unverzügliche Korrektur unrichtiger oder unvollständiger Daten.
  • Recht auf Löschung (Art. 17 DSGVO): Löschung Ihrer Daten, sofern keine gesetzlichen Aufbewahrungspflichten (z. B. § 147 AO, Zollrecht) entgegenstehen.
  • Recht auf Einschränkung (Art. 18 DSGVO): Einschränkung der Verarbeitung unter bestimmten Voraussetzungen.
  • Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Bereitstellung Ihrer Daten in einem strukturierten, gängigen Format.
  • Widerspruchsrecht (Art. 21 DSGVO): Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO aus Gründen Ihrer besonderen Situation.
  • Widerrufsrecht (Art. 7 Abs. 3 DSGVO): Sie können erteilte Einwilligungen jederzeit mit Wirkung für die Zukunft widerrufen.

Beschwerderecht bei der Aufsichtsbehörde (Art. 77 DSGVO)

Sie haben unbeschadet eines anderweitigen Rechtsbehelfs das Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde. Die für uns zuständige Landesdatenschutzbehörde ist:

Die Landesbeauftragte für den Datenschutz Niedersachsen
Prinzenstraße 5, 30159 Hannover
Telefon: +49 (0) 511 120-4500 • E-Mail: poststelle@lfd.niedersachsen.de
Webseite: www.lfd.niedersachsen.de