Datenschutzerklärung
Stand: Juni 2026 · Blumental Bayern GmbH (handelnd als StartFill)
1 Verantwortlicher
Verantwortlicher für die Verarbeitung personenbezogener Daten über die StartFill-Plattform und -Website im Sinne von Art. 4 Nr. 7 DSGVO ist:
Blumental Bayern GmbH
Melanchthonplatz 4–6, 90443 Nürnberg, Deutschland
Geschäftsführer: Dr. Jalal Solati
Handelsregister: HRB 36602 · USt-IdNr.: DE325297396
E-Mail: info@startfill.com · Telefon: +49 911 47711390
2 Geltungsbereich dieser Datenschutzerklärung
Diese Erklärung betrifft personenbezogene Daten, die über die StartFill-Plattform und -Website verarbeitet werden, einschließlich der Daten von:
- Händlerkunden, die Fulfillment-Konten verwalten
- Endkunden, deren Versanddaten im Auftrag der Händler verarbeitet werden
- Interessenten, die Anfragen übermitteln
- Website-Besuchern
- Lagermitarbeitern, deren Tätigkeiten im WMS protokolliert werden
Bei der Verarbeitung von Endkundendaten im Auftrag der Händler handelt StartFill als Auftragsverarbeiter (Art. 28 DSGVO); der Händler ist Verantwortlicher. Vor Beginn jeder Auftragsabwicklung muss zwingend ein Auftragsverarbeitungsvertrag (AVV) abgeschlossen werden.
3 Kategorien verarbeiteter personenbezogener Daten
3.1 Händlerkundendaten (B2B-Kontodaten)
Registrierungsdaten wie Firmenname, Rechtsform, Anschrift, USt-IdNr., Handelsregisterdaten, Name und Funktion der Kontaktperson, E-Mail-Adresse und Telefonnummer, Bankverbindung für die Rechnungsstellung, API-Zugangsdaten sowie Vertragsdokumente.
3.2 Endkunden-Bestell- und Versanddaten
Verarbeitung im Auftrag der Händler: Empfängername und Lieferadresse, E-Mail-Adresse und Telefonnummer, Bestellreferenznummern, Artikelinhalte, Sendungsverfolgungsnummern sowie Retourengründe.
3.3 Interessentendaten (Website-Anfrageformulare)
Firmenname, Kontaktdaten, Unternehmensangaben, IP-Adresse und Zeitstempel der Übermittlung über die Kontaktformulare der Website. Löschung nach 12 Monaten, sofern kein Vertrag zustande kommt.
3.4 API-Zugangsdaten zu Verkaufsplattformen
StartFill benötigt API-Zugriff auf die Verkaufsplattformen der Händler, darunter Amazon-SP-API-Token, Shopify-Zugangsdaten, WooCommerce-Consumer-Keys, eBay-OAuth-Token sowie Kaufland-/Otto-Plattform-Token. Alle Zugangsdaten werden in einem AES-256-verschlüsselten Bitwarden-Teams-Tresor gespeichert, der durch Zwei-Faktor-Authentifizierung mit Hardware-Schlüssel geschützt ist. Löschung erfolgt unmittelbar bei Vertragsende.
3.5 Lager- und Bestandsdaten
Betriebsdaten wie SKU-Codes, EAN-Barcodes, Produktbeschreibungen, Lagerplätze, Bestandsmengen, Wareneingangs-, Versand- und Retourendaten, Temperatur- und Feuchtigkeitsprotokolle sowie Vorfallsberichte. Überwiegend nicht personenbezogene Daten; Bediener-IDs werden auf Grundlage von Art. 6 Abs. 1 lit. b (Arbeitsvertrag) protokolliert.
3.6 Mitarbeiter- und Bedieneraktivitätsdaten
JTL-Wawi und JTL-WMS Mobile erzeugen Login-IDs, Sitzungszeitstempel, Kommissionier-, Pack- und Einlagerungsaktionen sowie Kennungen mobiler Geräte.
3.7 Technische Website- und Plattformdaten
IP-Adressen (nach Sitzungsende anonymisiert), Browser-/Betriebssystem-/Gerätetyp, besuchte Seiten, Sitzungsdauer, Referrer-URLs sowie Server-Logs mit 30-tägiger Speicherung.
4 Zwecke der Verarbeitung
- Betrieb der 3PL-Plattform und Erbringung der Fulfillment-Dienstleistungen
- Abruf von Bestellungen und deren Abwicklung über das Lager
- Erstellung von Versandetiketten und Datenübermittlung an Versanddienstleister
- Aktualisierung von Beständen und Sendungsverfolgung per API
- Bereitstellung von Händler-Dashboards (monday.com-Gastzugang)
- Versand betrieblicher Benachrichtigungen über WhatsApp Business
- Rechnungsstellung und Buchhaltung
- Beantwortung von Interessentenanfragen
- Sicherstellung der Lagerqualität und Einhaltung der Temperatur-SLAs
- Erfüllung deutscher handels-, steuer- und verpackungsrechtlicher Pflichten
5 Datenweitergabe und Drittempfänger
5.1 Versanddienstleister (eigenständige Verantwortliche)
Namen und Lieferadressen der Endkunden werden an Versanddienstleister übermittelt, die als eigenständige Verantwortliche handeln:
- DHL Paket GmbH
- DPD Deutschland GmbH
- GLS Germany GmbH & Co. OHG
Sendcloud B.V. handelt als Auftragsverarbeiter auf Grundlage eines abgeschlossenen Auftragsverarbeitungsvertrags.
5.2 Software-Unterauftragsverarbeiter (Art. 28 DSGVO)
| Anbieter | Zweck |
|---|---|
| JTL-Software GmbH (Hagen, DE) | Lagerverwaltungssystem |
| Sendcloud B.V. (Eindhoven, NL) | Carrier-Anbindung |
| Haufe-Lexware GmbH (Freiburg, DE) | Rechnungsstellung |
| monday.com Ltd. (Tel Aviv, IL) | CRM und Händler-Dashboards |
| n8n GmbH (Berlin, DE) | Workflow-Automatisierung |
| Bitwarden Inc. (Santa Barbara, US) | Passwort-Tresor |
| Google LLC (Mountain View, US) | Google Workspace |
| Meta Platforms Ireland Ltd. | WhatsApp Business API |
| Automattic Inc. | WordPress-Plattform |
| Lascar Electronics / Thermco | Temperatursensor-Protokollierung |
Drittlandtransfers sind durch EU-Standardvertragsklauseln oder Angemessenheitsbeschlüsse abgesichert.
5.3 Händler-Dashboard-Zugang
Händler erhalten einen schreibgeschützten Gastzugang zu monday.com-Dashboards mit ihren eigenen Bestellübersichten, Beständen und KPIs. Ein Einblick in Daten anderer Kunden ist ausgeschlossen.
5.4 Behörden und Finanzverwaltung
Daten werden an Behörden weitergegeben, soweit dies gesetzlich vorgeschrieben ist (Art. 6 Abs. 1 lit. c DSGVO).
5.5 Kein Verkauf von Daten
StartFill verkauft, lizenziert oder verwertet personenbezogene Daten in keiner Form kommerziell.
6 Internationale Datentransfers
Die Verarbeitung erfolgt vorrangig innerhalb der Europäischen Union. Soweit Daten in Länder außerhalb der EU/des EWR übermittelt werden (z. B. an Bitwarden Inc. oder Google LLC), stützt sich StartFill auf das EU-US Data Privacy Framework oder die EU-Standardvertragsklauseln (SCC) als rechtliches Transferinstrument. Einzelheiten zu den geltenden Garantien sind auf Anfrage unter info@startfill.com erhältlich.
7 Speicherfristen
| Datenkategorie | Speicherfrist |
|---|---|
| Händlerkunden- & Vertragsdaten | Vertragslaufzeit + 10 Jahre (§ 257 HGB, § 147 AO) |
| Endkunden-Bestell-, Versand- & Retourendaten | 10 Jahre aus Compliance-Gründen; Zugriff endet mit Vertragsende |
| API-Zugangsdaten | Löschung unmittelbar bei Vertragsende; Händler müssen Token widerrufen |
| Interessentenanfragen (ohne Vertragsschluss) | 12 Monate |
| Lager-/Bestandsdaten (GoBD) | 10 Jahre |
| Mitarbeiter-Aktivitätsprotokolle (JTL) | 3 Jahre (Verjährungsfrist arbeitsrechtlicher Ansprüche) |
| Temperatursensor-Protokolle | 5 Jahre (Compliance für regulierte Waren) |
| Server-/Zugriffsprotokolle | 30 Tage |
| Website-Analytik | 14 Monate, danach Anonymisierung |
8 Ihre Rechte nach der DSGVO
Zur Ausübung der folgenden Rechte wenden Sie sich an info@startfill.com. Wir antworten innerhalb eines Monats (Art. 12 Abs. 3 DSGVO). Ein Identitätsnachweis kann erforderlich sein.
9 Cookies und Website-Tracking
| Kategorie | Zweck | Einwilligung nötig? |
|---|---|---|
| Technisch notwendig | Sitzungsverwaltung, Sicherheit, Login | Nein |
| Funktional | Sprach- und Anzeigeeinstellungen | Nein |
| Analyse | Anonymisierte Nutzungsstatistiken | Ja |
| Marketing | Nutzerprofilierung und zielgerichtete Werbung | Ja |
Nicht notwendige Cookies werden nur mit ausdrücklicher Einwilligung über das Cookie-Banner gesetzt. Sie können Ihre Einwilligung jederzeit über die Einstellungen im Footer unserer Website widerrufen oder anpassen.
10 Technische und organisatorische Sicherheitsmaßnahmen
- TLS-1.2+-Verschlüsselung für alle Daten während der Übertragung
- AES-256-verschlüsselter Passwort-Tresor (Bitwarden Teams) mit YubiKey-Hardware-Zwei-Faktor-Authentifizierung
- Rollenbasierte Zugriffskontrollen in JTL-Wawi
- Nächtliche automatisierte SQL-Backups an zwei geografisch getrennten, verschlüsselten Standorten
- Lagersysteme mit statischer interner IP hinter einer Firewall
- Erkennung von Datenschutzverletzungen mit 72-Stunden-Meldung an die Aufsichtsbehörde (Art. 33 DSGVO)
- Regelmäßige Überprüfung der Sicherheit und AVV-Konformität der Unterauftragsverarbeiter
11 Auftragsverarbeitungsvertrag für Händler (AVV)
Ein verbindlicher Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ist Voraussetzung für das Onboarding. Es werden keine Bestellungen verarbeitet und keine API-Verbindungen aktiviert, bevor ein vollständig unterzeichneter AVV vorliegt. Der AVV regelt: Umfang der Verarbeitung, Datenkategorien, technische und organisatorische Maßnahmen, Genehmigung von Unterauftragsverarbeitern, Prüfrechte sowie Lösch- und Rückgabepflichten.
📄 Auftragsverarbeitungsvertrag (AVV) PDF herunterladen — Muster nach Art. 28 DSGVO ↓ PDF12 Daten von Kindern
Die StartFill-Plattform richtet sich ausschließlich an B2B-Kunden. StartFill erhebt wissentlich keine personenbezogenen Daten von Kindern unter 16 Jahren. Sollten solche Daten im Rahmen der Endkunden-Bestellabwicklung eingehen, werden sie ausschließlich zum Zweck des Fulfillments verarbeitet und gemäß den Speicherfristen in Abschnitt 7 gelöscht.
13 Änderungen dieser Datenschutzerklärung
Wir können diese Datenschutzerklärung aktualisieren, um Änderungen der Plattform, der angebotenen Leistungen oder der rechtlichen Anforderungen abzubilden. Die jeweils aktuelle Fassung mit Gültigkeitsdatum wird stets auf dieser Seite veröffentlicht. Über wesentliche Änderungen informieren wir unsere Händlerkunden per E-Mail.
Stand: Juni 2026