# Datenschutzerklärung – Orderport

Stand: 19. April 2026

> Hinweis: Dies ist eine Kurzfassung. Die vollständige Datenschutzerklärung mit allen Auftragsverarbeitern, Rechtsgrundlagen und Betroffenenrechten finden Sie unter [orderport.app/datenschutz](https://orderport.app/datenschutz).

## 1. Verantwortlicher

Orderport (Angaben gemäß § 5 TMG siehe Impressum)

## 2. Erhobene Daten

- **Kontodaten**: E-Mail-Adresse, Name, Passwort (gehasht)
- **Warteliste**: E-Mail-Adresse, Name (optional), UTM-Parameter
- **Nutzungsdaten**: IP-Adresse, Zeitstempel, aufgerufene Seiten
- **Bestelldaten**: cXML/openTrans-Payloads Ihrer Kunden (im Auftrag verarbeitet)
- **Sicherheitsdaten**: 2FA-Secrets (verschlüsselt), Audit-Log-Einträge
- **Support-Tickets**: Titel, Beschreibung, Metadaten (bei optionaler KI-Analyse siehe §5)

## 3. Zweck der Verarbeitung

- Bereitstellung des Orderport-Dienstes (Bestellformat-Konvertierung)
- Warteliste: Information über Produktstart und News
- Authentifizierung und Zugriffskontrolle
- Sicherheitsüberwachung (Audit-Log, IP-Allowlist)
- Kommunikation bei Fehlern und Statusänderungen
- Bearbeitung von Support-Anfragen

## 4. Speicherdauer

- Kontodaten: Bis zur Löschung des Kontos
- Warteliste: Bis zum Zweckwegfall oder Löschungsersuch
- Bestelldaten (Payloads): 90 Tage, danach automatisch gelöscht
- Audit-Logs: 365 Tage, danach automatisch gelöscht
- Transport-Logs: 90 Tage
- Support-Tickets: Bis zum Abschluss der Bearbeitung (vorbehaltlich gesetzlicher Aufbewahrungspflichten)

## 5. Hosting & Auftragsverarbeitung

- **Hosting**: Hetzner Cloud, Standort Deutschland (keine Drittland-Übermittlung)
- **Support-Ticketsystem**: Jira (Atlassian), EU-Rechenzentren, ergänzend SCCs für etwaige Drittland-Übermittlung
- **KI-Mapping-Assistent**: Anthropic (USA), Claude-API – Übermittlung nur von Pipeline-Kontextdaten (keine vollständigen Bestelldokumente); Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO, DPF + SCCs
- **KI-Support-Ticket-Analyse** (optional, einwilligungsbasiert): Anthropic (USA), Claude-API – Übermittlung von Ticket-Inhalt und Ersteller-Metadaten nur bei aktiver Einwilligung; Rechtsgrundlage Art. 6 Abs. 1 lit. a DSGVO, kein Modelltraining, Speicherung bei Anthropic max. 30 Tage, Widerruf jederzeit an datenschutz@orderport.app
- **Zahlungsabwicklung**: Stripe (Irland/USA), DPF + SCCs
- **Monitoring**: Oh Dear (Belgien), nur technische Metadaten

## 6. Sicherheitsmaßnahmen

- TLS-Verschlüsselung für alle Verbindungen
- Passwörter und API-Keys als SHA-256-Hash gespeichert
- Zwei-Faktor-Authentifizierung (TOTP) verfügbar
- IP-Allowlist pro Tenant konfigurierbar
- Vollständiges Audit-Log aller sicherheitsrelevanten Aktionen

## 7. Ihre Rechte

Gemäß DSGVO haben Sie das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch.

## 8. Cookies & Web-Speicher

Orderport verwendet ausschließlich technisch notwendige Session-Cookies für die Authentifizierung.

Auf der Startseite kann ein funktionales Cookie (`op_lp_variant`) gesetzt werden, solange ein Darstellungstest läuft. Es speichert lediglich, welche Variante der Startseite Ihnen angezeigt wird (z. B. „a“, „b“ oder „c“), damit Ihnen bei erneutem Besuch konsistent dieselbe Variante angezeigt wird. Das Cookie enthält keine personenbezogenen Daten, dient nicht dem Tracking und läuft nach 180 Tagen ab. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG i. V. m. Art. 6 Abs. 1 lit. f DSGVO.

Zusätzlich nutzen wir den **sessionStorage** des Browsers, um bei der Registrierung den Herkunftskanal (UTM-Parameter wie Quelle, Medium, Kampagne) zu erfassen. Diese Daten werden ausschließlich im Browser-Tab gespeichert und automatisch gelöscht, wenn der Tab oder das Browserfenster geschlossen wird. Es handelt sich nicht um Cookies. Die Daten werden nur bei einer Registrierung an den Server übermittelt und dem Unternehmenskonto zugeordnet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Analyse der Wirksamkeit von Marketingmaßnahmen).

Es werden keine Tracking- oder Analyse-Cookies eingesetzt. Es findet kein seitenübergreifendes Tracking statt.