Datenschutzerklärung

1. Verantwortlicher im Sinne der Datenschutzgesetze

Zollagentur AZ – Inhaber Azad Alahmad
Sauers Weiden 5
51399 Burscheid
Deutschland

Telefon: +49 2174 7401 982
E-Mail: info@zollagenturaz.de

Der Verantwortliche hat keinen gesonderten Datenschutzbeauftragten benannt. Anfragen zum Datenschutz richten sich bitte an die oben genannten Kontaktdaten.

2. Allgemeine Hinweise und Rechtsgrundlagen der Verarbeitung

Wir verarbeiten personenbezogene Daten nur, wenn dies zur Erfüllung eines Vertrages oder zur Durchführung vorvertraglicher Maßnahmen erforderlich ist, Sie Ihre Einwilligung erteilt haben, wir zur Erfüllung einer rechtlichen Verpflichtung berechtigt oder verpflichtet sind, oder die Verarbeitung auf unser berechtigtes Interesse unsererseits oder eines Dritten gestützt werden kann und Ihre Interessen, Grundrechte und Grundfreiheiten nicht überwiegen.

Die jeweils konkret anwendbaren Rechtsgrundlagen werden in den folgenden Abschnitten benannt und in Abschnitt 18 abschließend zusammengefasst.

3. Hosting und technische Bereitstellung der Website

Die Website www.zollagenturaz.de (einschließlich der Subdomain www.zollagenturaz.de) wird auf der Edge-Computing-Infrastruktur Cloudflare Workers des Anbieters Cloudflare Inc. betrieben. Cloudflare stellt hierbei die Serverkapazitäten, die Übertragungstechnik, Zugriffsregelung, Sicherheit und Auslieferung der Inhalte bereit und leitet die Anfragen der Nutzer an die eigentliche Anwendungslogik weiter. Die Inhalte werden aus dem Objektspeicher (HTML, CSS, JavaScript, Bilder, Dokumente als Assets) und der Anwendungslogik (Worker-Skripte) weltweit in der Nähe des jeweiligen anfragenden Nutzers bereitgestellt.

Als Backend-as-a-Service für die Datenbank (Kontaktanfragen, Aufträge, HS-Code-Suchen, Upload-Metadaten), die Dateispeicherung sowie die Authentifizierung von Mitarbeitern wird der Dienst Supabase des Anbieters Supabase Pte. Ltd. eingesetzt. Supabase hostet die primäre Instanz (Datenbank, Speicher, Authentifizierung) des Projekts in der Amazon Web Services (AWS)-Region EU-Central-1 (Frankfurt am Main, Deutschland). Es werden keine lesenden Datenbank-Replikate (Read Replicas) außerhalb dieser Region betrieben.

Einzelheiten zu Supabase finden Sie in Abschnitt 9, zu Cloudflare in Abschnitt 10, zu Drittlandübermittlungen in Abschnitt 16. Rechtsgrundlage für die Verarbeitung im Rahmen der Hosting-, Speicher- und Authentifizierungsdienste ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren, effizienten und ständig verfügbaren Betrieb der Website und der zugehörigen Dienste).

4. Zugriffsprotokolle und temporäre Verarbeitungen

Bei jedem Zugriff auf die Website sowie bei jedem Abruf einer Datei oder jeder API-Anfrage werden zur Gewährleistung eines sicheren und funktionsfähigen Betriebs temporär folgende Daten in den Hosting-Infrastrukturen (Cloudflare und Supabase) verarbeitet:

• IP-Adresse des anfragenden Endgeräts (soweit möglich und technisch sinnvoll teils anonymisiert bzw. durch Anonymisierungsfunktionen der Anbieter verarbeitet),
• Datum und Uhrzeit der Anfrage,
• aufgerufene Seite bzw. aufgerufener API-Endpunkt,
• übermittelte HTTP-Methode (z. B. GET, POST),
• Status-Code der Antwort (z. B. 200, 404),
• Informationen zum verwendeten Browser bzw. User-Agent-String,
• Größe der übertragenen Datenmenge,
• Referrer-URL (sofern vom Browser übermittelt).

Diese Daten werden ausschließlich zur Sicherstellung des Betriebs, zur Störungsbeseitigung und zur Missbrauchserkennung verarbeitet und nicht zu Marketingzwecken eingesetzt. Cloudflare speichert die Invocation-Logs im Rahmen der Observability-Funktionalität persistent zur Fehlerbeseitigung und Betriebsanalyse. Die Verarbeitungen werden nach anbieterüblichen Aufbewahrungsfristen – soweit keine gesetzlichen Pflichten entgegenstehen – gelöscht oder anonymisiert.

Zusätzlich wird im Rahmen der KI-gestützten HS-Code-Suche (siehe Abschnitt 8) die IP-Adresse des anfragenden Nutzers auch in der Spalte hs_code_searches.user_ip der Supabase-Datenbank gespeichert.

Rechtsgrundlage für die Verarbeitung der Zugriffsprotokolle ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Gewährleistung eines störungsfreien, sicheren und ausfallsicheren Betriebs sowie der Missbrauchserkennung).

5. Kontaktformular

Auf der Website ist ein öffentliches Kontaktformular zur Kontaktaufnahme verfügbar. Übermittelt werden folgende Felder, mit * markierte Felder sind Pflichtfelder:

• Vor- und Nachname *,
• Firma (freiwillig),
• E-Mail-Adresse *,
• Telefonnummer (freiwillig),
• Betreff *,
• Nachrichtentext *.

Datum und Uhrzeit der Übermittlung werden serverseitig ergänzt und in der Datenbanktabelle kontakt_anfragen bei Supabase gespeichert. Zusätzlich erfolgt eine Weiterleitung der Daten über den Dienst Formspree (siehe Abschnitt 11) per E-Mail an den Verantwortlichen.

Rechtsgrundlage für die Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO bei vorvertraglichen Anfragen bzw. Art. 6 Abs. 1 lit. f DSGVO bei allgemeinen Anfragen. Eine Weitergabe an sonstige Dritte erfolgt nicht, außer wir sind hierzu gesetzlich verpflichtet oder Sie haben ausdrücklich eingewilligt.

6. Auftragsanfragen und Auftragsabwicklung

Auf der Website steht ein öffentliches Formular zur Einreichung von Auftragsanfragen (Zollabfertigungsaufträgen, Transportaufträgen, Beratungsaufträgen) zur Verfügung. Folgende Daten werden erhoben, Pflichtfelder sind mit * markiert:

• Firmenname *,
• Name Ansprechpartner *,
• Telefonnummer *,
• E-Mail-Adresse *,
• Auftragsart *,
• Nachrichtentext *,
• optional hochgeladene Dateien (PDF, JPG, PNG bis 10 MB je Datei, max. 3 Dateien, siehe Abschnitt 7).

Die Formularinhalte, sowie Metadaten zu hochgeladenen Dokumenten werden in der Supabase-Datenbank in den Tabellen auftraege und auftrag_dokumente gespeichert. Jeder Auftrag erhält automatisch eine eindeutige Auftragsnummer (MSN im Format AZ-#####) sowie bei erfolgreicher Anlage einen anonymen Tracking-Code (SHA-256-Hash) mit zugehörigem Ablaufzeitpunkt der Erstellung. Dieser Hash-Wert wird in der Spalte tracking_code_hash zusammen mit tracking_code_created_at in der Tabelle auftraege gespeichert. Der anonyme Tracking-Link ermöglicht dem Auftraggeber unter Eingabe von MSN, Hash-Wert und Nachname den aktuellen Status seiner Auftragsabwicklung einzusehen, ohne dass ein Login oder die Angabe weiterer personenbezogener Daten erforderlich ist.

Rechtsgrundlage für die Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung bzw. Vertragserfüllung).

7. Dokumenten- und Dateiuploads sowie signierte URLs

7.1 Upload im Rahmen von Auftragsanfragen

Im Rahmen von Auftragsanfragen können bis zu drei Dateien im Format PDF, JPG oder PNG je bis 10 MB hochgeladen werden. Die Dokumente werden im privaten Speicher-Bucket „dokumente“ von Supabase Storage (Region Frankfurt / EU) abgelegt und mit der Auftragszeile in der Datenbank verknüpft. Ein direkter öffentlicher Zugriff auf diese Dokumente ist nicht möglich; der Zugriff erfolgt ausschließlich über zeitlich befristete, signierte URLs.

7.2 Uploads im Rahmen der KI-Tarifierung

Im Rahmen der KI-gestützten HS-Code-Suche (siehe Abschnitt 8) können Dokumente (PDF, XLS, XLSX, CSV) bis 4 MB zur Analyse hochgeladen werden. Diese Dateien werden im privaten Speicher-Bucket „customs-files“ von Supabase Storage (Region Frankfurt / EU) abgelegt. Signierte URLs dieser KI-Uploads werden nicht an Dritte weitergegeben.

7.3 Laufzeiten der signierten URLs

Jede signierte URL läuft nach Ablauf der genannten Frist automatisch ab. Danach ist ein Zugriff auf das zugehörige Dokument nicht mehr möglich:

• Interne Dokument-Downloads (Mitarbeiterbereich): 60 Sekunden Gültigkeit,
• Öffentliche Kundendokument-Downloads (öffentliche Auftragsansicht): 15 Minuten Gültigkeit,
• Dokumenten-Links in Auftrags-E-Mails via Formspree: 1 Stunde (3.600 Sekunden) Gültigkeit.

Rechtsgrundlage für die Speicherung und Verarbeitung der hochgeladenen Dateien und der Generierung von signierten URLs ist Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung bzw. Vertragserfüllung).

8. KI-gestützte HS-Code-Suche und Dokumentenanalyse

Auf der Website wird eine Funktion zur KI-gestützten Tarifierung (HS-Code-Suche) angeboten. Nutzer können entweder (1) eine Suchanfrage als Freitext eingeben oder (2) ein Dokument (PDF, XLS, XLSX, CSV bis 4 MB) zur Analyse hochladen. Die Verarbeitung erfolgt in folgender Reihenfolge:

1. Eingabe des Suchtexts bzw. Upload des Dokuments in den privaten Bucket „customs-files“ (Supabase Storage),
2. falls ein Dokument hochgeladen wird: serverseitige Extraktion relevanter Textstellen aus dem Dokument im Rahmen der Worker-Anwendung,
3. Übermittlung des Suchtexts bzw. des extrahierten Dokumentinhalts an das API des KI-Anbieters OpenAI (Modell GPT-4o-mini) zur Ermittlung eines Vorschlags für den zutreffenden HS-Code, Zollsatz, Herkunftsland, Gewichtsangaben, Materialangaben sowie einer textlichen Erläuterung,
4. Speicherung der Suchanfrage, des Analyseergebnisses (HS-Code-Vorschlag, Beschreibung, Zollsatz, Material, Herkunftsland, Brutto-/Nettogewicht), des Zeitstempels der Anfrage sowie der IP-Adresse des anfragenden Nutzers in der Datenbanktabelle hs_code_searches.

Zweck der Speicherung der Suchanfragen ist die Gewährleistung der Funktionsfähigkeit, Qualitätssicherung, Missbrauchskontrolle sowie Nachvollziehbarkeit für den Verantwortlichen. Die KI-Ausgabe stellt eine unverbindliche Empfehlung des Modells dar und ersetzt keine rechtsverbindliche zollamtliche Tarifierung.

Rechtsgrundlage für die Verarbeitung ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bereitstellung einer informativen Hilfestellung bei der Tarifierung im Rahmen der Zollabfertigungsberatung sowie an der Qualitätssicherung und Missbrauchserkennung).

9. Supabase (Datenbank, Speicher, Authentifizierung von Mitarbeitern)

9.1 Auftragsverarbeiter, Geltungsbereich

Als Backend-as-a-Service wird Supabase des Anbieters Supabase Pte. Ltd., 65 Chulia Street #38-02/03, OCBC Centre, Singapur 049513, Singapur, eingesetzt. Supabase verarbeitet die personenbezogenen Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen.

9.2 Auftragsverarbeitungsvertrag (AVV / DPA)

Ein schriftlicher Auftragsverarbeitungsvertrag im Sinne von Art. 28 DSGVO besteht kraft automatischer Einbindung der Standard-Datenschutzvereinbarung von Supabase (Data Processing Addendum Version 1, Stand 01.08.2026, abrufbar unter supabase.com/legal) in die Supabase-Nutzungsbedingungen (Terms of Service). Es bedarf keiner separaten Unterzeichnung oder gesonderten Annahme; der AVV-Schutz gilt für die Organisation automatisch. Das AVV regelt insbesondere die Weisungsbindung Supabases, das Verbot einer Eigenverwendung personenbezogener Daten, die Einbindung von Unterauftragsverarbeitern (Subprozessoren), die Benachrichtigung bei Datenschutzverletzungen, die Unterstützung bei Betroffenenrechten, die technischen und organisatorischen Maßnahmen sowie die Rückgabe oder Löschung personenbezogener Daten bei Vertragsende.

Supabase veröffentlicht die Liste der eingesetzten Subprozessoren unter supabase.com/legal/subprocessor-list (Stand der PDF vom 01. Juni 2026). Änderungen werden mit mindestens 30 Tagen Frist angekündigt, sofern der Verantwortliche den dort angebotenen Benachrichtigungsdienst abonniert.

9.3 Primärregion und Standort der Datenhaltung

Supabase hostet die primäre PostgreSQL-Datenbank, den Speicher und die Authentifizierung (GoTrue) des Projekts in der Amazon Web Services Region EU-Central-1 (Frankfurt am Main, Deutschland). Es werden keine lesenden Datenbank-Replikate außerhalb dieser Region betrieben.

Gemäß dem Auftragsverarbeitungsvertrag werden personenbezogene Daten in der gewählten Region gespeichert und dort primär verarbeitet; hiervon ausgenommen bleiben erforderliche Ausnahmen zur Erbringung der Leistung (z. B. Support-Zugriffe, Backups, Protokollierung, Missbrauchserkennung), die an anderen Standorten von Supabase oder dessen Subprozessoren stattfinden können.

9.4 Genutzte Supabase-Komponenten im Einzelnen

• Supabase Database / PostgreSQL: Speicherung der Tabellen kontakt_anfragen, auftraege, auftrag_dokumente, hs_code_searches, customs_uploads sowie interner Authentifizierungsdaten.
• Supabase Storage (Objektspeicher): Zwei private Buckets: „dokumente“ (Dateien im Rahmen von Auftrags- und Dokumentenuploads, ausschließlich Zugriff über signierte URLs) und „customs-files“ (Dokumentenuploads im Rahmen der KI-Tarifierung). Beide Buckets haben keinen direkten öffentlichen Zugriff (kein Public Access).
• Supabase Auth (GoTrue): E-Mail-basierte Authentifizierung zur Anmeldung im internen Mitarbeiterbereich. Bei der Anmeldung wird kein Cookie oder dauerhafter Browser-Speicher für Sessions genutzt. Die Authentifizierung erfolgt ausschließlich über temporäre Bearer-Token, die je Anfrage im HTTP-Header übermittelt werden. Mitarbeiterdaten (E-Mail-Adressen der Mitarbeiter, Passwort-Hashes sowie Access-/Refresh-Tokens) werden sicher in Supabase Auth gespeichert. Die Applikationsrollen (admin / mitarbeiter) werden über das interne Rollenmodell der Anwendung gesteuert.

10. Cloudflare (Workers, CDN, Auslieferung der Website, Logs)

10.1 Auftragsverarbeiter, Geltungsbereich

Für die Auslieferung der Website und die Ausführung der Anwendungslogik wird der Dienst Cloudflare Workers des Anbieters Cloudflare Inc., 101 Townsend St., San Francisco, CA 94107, USA, eingesetzt. Cloudflare übernimmt hierbei die weltweite Edge-Auslieferung von statischen Assets (HTML, CSS, JavaScript, Bilder, Dokumente), die Ausführung serverseitiger Logik in der Worker-Infrastruktur, Schutz vor DDoS und Missbrauch sowie die Protokollierung von API-Aufrufen im Rahmen der Observability-Funktionalitäten.

10.2 Cloudflare-DPA

Cloudflare stellt für Self-Serve-Abonnenten ein standardisiertes Data Processing Addendum (DPA Version 6.2, Stand 9. November 2023) zur Verfügung, das die Verarbeitung personenbezogener Daten im Rahmen der Dienste als Auftragsverarbeiter regelt. Das DPA kommt durch ausdrückliche Annahme durch den Kunden (Verantwortlichen) kraft Kundenvertrages in Kraft. Die Verarbeitung personenbezogener Daten im Rahmen der Inanspruchnahme von Cloudflare-Diensten erfolgt unter Beachtung der jeweils geltenden öffentlichen Cloudflare-Dokumente sowie des Self-Serve Subscription Agreements von Cloudflare.

10.3 Verarbeitete Daten und Zwecke

Im Rahmen der Bereitstellung werden vor allem folgende Daten verarbeitet: IP-Adresse, User-Agent, Referrer-URL, aufgerufene URLs, Zeitstempel der Anfrage, Status-Codes, übertragene Datenmenge sowie ggf. Inhalte von Anfragen an die Worker-Anwendung, soweit dies zur Erfüllung des Vertrages, zur Störungsbeseitigung und Missbrauchserkennung erforderlich ist. Zusätzlich werden die Cloudflare-Invocation-Logs im Rahmen der Observability persistent zur Fehlerbeseitigung und Betriebsanalyse verarbeitet.

Rechtsgrundlage für die Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren, performanten und global verfügbaren Betrieb der Website sowie Schutz vor DDoS-Angriffen und Missbrauch).

11. Formspree (Versand von Kontakt- und Auftragsformularen)

Zur technischen Versendung der Daten aus dem Kontaktformular sowie aus dem Auftragsanfrageformular wird der Dienst Formspree des Anbieters Formspree Inc., 440 N Barranca Ave #3111, Westlake Village, CA 91361, USA, eingesetzt. Formspree nimmt die per Formular übermittelten Daten entgegen und leitet diese per E-Mail an die bei Formspree hinterlegte E-Mail-Adresse des Verantwortlichen (info@zollagenturaz.de) weiter.

• Kontaktformular: Übermittlung der Formularfelder (Name, Firma, E-Mail, Telefon, Betreff, Nachricht) als JSON-Aufruf an Formspree.
• Auftragsanfrageformular: Übermittlung der Formularinhalte (Firmenname, Ansprechpartner, Telefon, E-Mail, Auftragsart, Nachricht) sowie eine Liste der hochgeladenen Dokumente mit Namen und je einer signierten URL (Gültigkeit 1 Stunde, vgl. Abschnitt 7.3) per FormData-Übermittlung an Formspree.

Die dauerhafte Speicherung der Formulardaten erfolgt zusätzlich lokal in der Supabase-Datenbank (siehe Abschnitt 9). Formspree speichert darüber hinaus Submissions-Logs gemäß den eigenen Aufbewahrungsfristen von Formspree.

Rechtsgrundlage für die Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung bzw. Vertragserfüllung) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der technisch zuverlässigen und zustellungssicheren Übermittlung von Kundenanfragen per E-Mail an den Verantwortlichen).

12. Externe Content-Delivery-Networks (CDN), Schriftarten und clientseitige Bibliotheken

Zur Darstellung der Website werden clientseitige Skripte und Ressourcen teilweise von externen CDNs geladen. Hierbei kann es zu Verbindungsaufnahmen zu den jeweiligen Anbietern kommen, wobei die IP-Adresse des anfragenden Nutzers sowie der aufgerufene Seitenkontext an den CDN-Anbieter übermittelt wird.

Konkret werden folgende externe Dienste geladen:

• Tailwind CSS: Über cdn.tailwindcss.com (Tailwind Labs Inc.) geladen; dient der Layout-Gestaltung der Website.
• Google Fonts (Schriftart „Inter“): Die Schriftart wird über Server von Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland geladen (Domains fonts.googleapis.com und fonts.gstatic.com). Zweck ist die einheitliche Darstellung von Schriftarten. Beim Aufruf der Schrift-Ressourcen wird die IP-Adresse des Nutzers an Google übermittelt.
• Font Awesome 6.5.1 (Icons): Bereitstellung über CDN cdnjs.cloudflare.com (Betreiber Cloudflare Inc.).
• Supabase-JS SDK v2: JavaScript-Client-Bibliothek im internen Mitarbeiterbereich, geladen über cdn.jsdelivr.net (jsdelivr Inc.). Wird nur im internen Bereich nach Login geladen und dient der clientseitigen Kommunikation mit Supabase (Authentifizierung, Datenbankabfragen, Speicher).

Die Einbindung dient der Erforderlichkeit zur ordnungsgemäßen Darstellung und Funktionsfähigkeit der Website. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer nutzerfreundlichen, ansprechenden und funktionsfähigen Website-Gestaltung und -Darstellung).

13. Tracking und Auftragsverfolgung

13.1 Allgemeines / Analyse-Tools

Auf der Website werden keine Webanalyse-Tools (wie Google Analytics, Matomo o. ä.) eingesetzt. Es findet keine Erstellung von Nutzerprofilen, keine personalisierte Werbung, kein Retargeting und keine Werbemittelauslieferung durch Dritte statt.

13.2 Auftrags-Tracking via MSN und Hash-Tracking-Code

Für die Nachverfolgung von Aufträgen wird jedem Auftrag nach der Erstellung eine eindeutige Auftragsnummer (MSN im Format „AZ-#####“) und darüber hinaus ein anonymer Tracking-Code (SHA-256-Hash) zugewiesen (siehe Abschnitt 6). Dieser Hash-Wert, der Zeitpunkt der Erstellung (Ablaufdatum des Hash-Codes) sowie die dazugehörige Auftragsnummer werden ausschließlich in der Tabelle auftraege gespeichert und ermöglichen dem Auftraggeber über den öffentlichen Link auf der Website (Eingabe MSN + Hash-Wert + Nachname) den Auftragsstatus einzusehen. Es wird keine separate Tracking-Datenbank oder zusätzliche personenbezogene Daten außerhalb der genannten Spalten betrieben.

14. Cookies, Local Storage und Session-Speicherung

14.1 Cookies

Die Website setzt im Rahmen der clientseitigen Ausführung keine dauerhaften Cookies zu Marketing- oder Analysezwecken ein. Es werden keine Werbe-Cookies, Analyse-Cookies, Social-Media-Cookies, Consent-Management-Plattform oder ähnliche Techniken zur Nutzerverfolgung verwendet. Lediglich technisch erforderliche, temporäre Speicherungen während der Sitzung (z. B. serverseitig im Rahmen von Formularen und zur Absicherung vor Cross-Request-Fälschung) werden serverseitig verarbeitet.

14.2 Local Storage / Session Storage / Authentifizierungsspeicherung

Die Anwendung greift im Browser nicht auf localStorage, sessionStorage oder document.cookie zu.

Insbesondere im Rahmen der Supabase-Authentifizierung des Mitarbeiterbereichs wird die dauerhafte Speicherung von Sitzungsdaten im Browser explizit deaktiviert: Der Supabase-JavaScript-Client ist mit den Einstellungen persistSession: false, autoRefreshToken: false, detectSessionInUrl: false konfiguriert. Die Authentifizierung erfolgt ausschließlich über die Übermittlung temporärer Access-Token je Anfrage im HTTP-Header. Es findet keine dauerhafte Speicherung von Authentifizierungs-Sessiondaten im Browser statt.

15. Empfänger und Auftragsverarbeiter personenbezogener Daten

Personenbezogene Daten werden im Rahmen der vorbeschriebenen Zwecke insbesondere an nachfolgende Empfänger übermittelt, soweit dies zur Erfüllung des Vertrages, zur Erfüllung rechtlicher Pflichten, aufgrund einer Einwilligung oder aufgrund eines berechtigten Interesses erforderlich ist:

1. Supabase Pte. Ltd., Singapur – siehe Abschnitt 9 – Datenbank, Speicher und Authentifizierung als Auftragsverarbeiter gem. Art. 28 DSGVO (AVV besteht automatisch via ToS).
2. Cloudflare Inc., USA – siehe Abschnitt 10 – Hosting, Edge-Worker-Ausführung, CDN, Logs als Auftragsverarbeiter gem. Art. 28 DSGVO.
3. OpenAI OpCo LLC, USA – siehe Abschnitt 8 – KI-gestützte HS-Code-Suche und Dokumentenanalyse im Rahmen der Tarifierungsfunktion.
4. Formspree Inc., USA – siehe Abschnitt 11 – Versand von Kontakt- und Auftragsformularen als Auftragsverarbeiter.
5. Google Ireland Ltd., Irland / Alphabet Inc., USA – siehe Abschnitt 12 – Einbindung Schriftart Google Fonts.
6. Subprozessoren der genannten Auftragsverarbeiter (insbesondere AWS als Hosting-Infrastruktur-Anbieter, Support-, Backup-, Log-Dienste). Supabase setzt insbesondere AWS (Hosting, u. a. in EU-Central-1 Frankfurt) als Subprozessor gemäß der veröffentlichten Subprozessor-Liste ein.
7. Gerichte, Behörden, Rechtsanwälte, Steuerberater, Buchhalter – soweit und solange dies zur Erfüllung gesetzlicher Pflichten (z. B. Handels- und Steuerrecht) oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.

16. Drittlandübermittlungen

Im Rahmen der Inanspruchnahme der vorgenannten Dienstleister kann es zu Übermittlungen personenbezogener Daten in Länder außerhalb der Europäischen Union (EU) oder des Europäischen Wirtschaftsraums (EWR) – sogenannte Drittländer – kommen. Dies betrifft nach aktuellem Stand insbesondere:

• USA: Cloudflare Inc. (USA), Formspree Inc. (USA), OpenAI OpCo LLC (USA), Alphabet Inc. (USA) sowie AWS als Subprozessor Supabase Inc. mit Sitz USA (Host-Konzern).
• Singapur: Supabase Pte. Ltd. mit Sitz Singapur ist Vertragspartner von Supabase.
• Weitere Standorte von Subprozessoren gemäß den veröffentlichten Subprozessorlisten der Dienstleister (Support, Logging, Backups).

16.1 Geeignete Garantien / Schutzebenen

Die Übermittlung der personenbezogenen Daten erfolgt jeweils unter Beachtung folgender Garantien nach Art. 44 ff. DSGVO, soweit die jeweilige Verarbeitung in den Geltungsbereich der Regelung fällt:

• Supabase: Geeignete Garantien durch die Einbindung der EU-Standardvertragsklauseln (SCC) Modul 2 (Verantwortlicher – Auftragsverarbeiter) gemäß Durchführungsbeschluss (EU) 2021/914 in den Auftragsverarbeitungsvertrag von Supabase sowie zusätzlich Bezugnahme auf das EU-US-Datenschutzrahmenwerk (DPF), soweit die jeweiligen Subprozessoren hierunter zertifiziert sind. Die genannten Garantien sind aufgrund der automatischen Wirksamkeit des AVV für die Organisation des Verantwortlichen vertraglich bindend.
• Cloudflare: Geeignete Garantien durch die von Cloudflare zur Verfügung gestellte Standard-DPA, die ebenfalls SCC-Modul 2 sowie Bezug auf das EU-US-DPF beinhaltet.
• OpenAI, Formspree und Google Fonts unterliegen den von den Anbietern selbst veröffentlichten Datenschutzbestimmungen und dort veröffentlichten Transfermechanismen (SCC bzw. DPF). Die konkreten Vertragsgestaltungen werden durch die jeweiligen Anbieter vorgehalten.

Der Verantwortliche hat die im Einzelfall erforderlichen ergänzenden Maßnahmen (insbesondere TLS-Verschlüsselung von Übertragungen, signierte URLs mit befristeter Gültigkeit sowie datenminimierte Anfragen an KI-Dienste) in der Anwendungsarchitektur umgesetzt.

17. Speicherdauer und Löschung

Personenbezogene Daten werden gelöscht, sobald der Zweck für die Speicherung wegfällt und keine gesetzlichen Aufbewahrungsfristen mehr entgegenstehen.

17.1 Speicherdauer im Einzelnen

• Kontaktanfragen: gespeichert bis zur abschließenden Bearbeitung der Anfrage; danach mindestens 10 Jahre zur Geltendmachung, Ausübung und Verteidigung von Vertragsansprüchen sowie zur Einhaltung handels- und steuerrechtlicher Aufbewahrungsfristen nach § 257 HGB und § 147 AO.
• Aufträge und Auftragsdokumente: gespeichert für die Dauer der Vertragsbeziehung; danach mindestens 10 Jahre, soweit sie handels- und steuerrechtlichen Aufbewahrungspflichten unterliegen. Für Zollunterlagen gelten die jeweils längeren gesetzlich vorgeschriebenen Fristen (Zoll- und außenwirtschaftsrechtliche Aufbewahrungsfristen für Zollabfertigungsunterlagen).
• KI-Suchanfragen (Tabelle hs_code_searches): gespeichert solange es zur Missbrauchserkennung, Qualitätssicherung und Nachvollziehbarkeit erforderlich; danach gelöscht, sofern keine gesetzlichen Pflichten entgegenstehen.
• Hochgeladene Dokumente in den Buckets „dokumente“ und „customs-files“: gespeichert für die Dauer der Auftragsabwicklung bzw. der KI-Analyse und danach gemäß den o. g. Fristen. Signierte URLs verfallen nach den in Abschnitt 7.3 festgelegten Fristen automatisch (60 Sekunden / 15 Minuten / 1 Stunde).
• Zugriffsprotokolle: nach anbieterüblichen Fristen bei Cloudflare, Supabase und Formspree gelöscht oder anonymisiert.
• Mitarbeiter-Authentifizierungsdaten Supabase Auth: gespeichert solange der Zugriff auf den internen Bereich erforderlich ist; nach Entfernung des Zugriffs unverzüglich gelöscht bzw. anonymisiert, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

18. Rechtsgrundlagen im Überblick

19. Datensicherheit

Der Verantwortliche trifft die erforderlichen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Hierzu gehören unter anderem:

• die Übertragung personenbezogener Daten über Ende-zu-Ende-gesicherte Verbindungen (TLS-Verschlüsselung / HTTPS),
• Verschlüsselung gespeicherter personenbezogener Daten in den Supabase-Diensten (Datenbank und Speicher-Buckets) durch Maßnahmen des Anbieters,
• rollenbasierte Zugriffskontrollen auf interne Bereiche der Anwendung,
• Kennwortauthentifizierung der Mitarbeiter im internen Bereich,
• signierte URLs mit befristeter Gültigkeit für Dokumente aus privaten Speicherinhalten,
• keine dauerhafte Speicherung von Authentifizierungsdaten im Browser der Nutzer (Abschnitt 14.2),
• Minimierung der gespeicherten Client-IPs (nur hs_code_searches.user_ip und anbieterseitige Zugriffsprotokolle),
• regelmäßige Aktualisierung der eingesetzten clientseitigen Bibliotheken und Wartung der Dienste durch die Anbieter (Cloudflare, Supabase, OpenAI, Formspree).

20. Rechte der betroffenen Personen

Sie haben als betroffene Person grundsätzlich folgende Rechte:

1. Auskunftsrecht (Art. 15 DSGVO): Sie haben das Recht, Auskunft darüber zu verlangen, ob und in welchem Umfang personenbezogene Daten von Ihnen verarbeitet werden.
2. Recht auf Berichtigung (Art. 16 DSGVO): Sie haben das Recht, unverzüglich die Berichtigung unrichtiger Sie betreffender personenbezogener Daten und die Vervollständigung unvollständiger personenbezogener Daten zu verlangen.
3. Recht auf Löschung (Art. 17 DSGVO): Sie haben das Recht, die Löschung Sie betreffender personenbezogener Daten unverzüglich zu verlangen, insbesondere soweit die Verarbeitung nicht zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist oder zum Zwecke der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.
4. Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO): Sie haben das Recht, unter den gesetzlichen Voraussetzungen die Einschränkung der Verarbeitung personenbezogener Daten zu verlangen.
5. Datenübertragbarkeit (Art. 20 DSGVO): Sie haben das Recht, Sie betreffende personenbezogene Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten.
6. Widerspruchsrecht (Art. 21 DSGVO): Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Sie betreffender personenbezogener Daten, die aufgrund von Art. 6 Abs. 1 lit. e oder f DSGVO erfolgt, Widerspruch einzulegen. Der Verantwortliche verarbeitet die personenbezogenen Daten dann nicht mehr, es sei denn, es können zwingende schutzwürdige Gründe für die Verarbeitung nachgewiesen werden, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
7. Recht auf Widerruf einer erteilten Einwilligung (Art. 7 Abs. 3 DSGVO): Soweit Sie eine Einwilligung zur Verarbeitung personenbezogener Daten erteilt haben, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen.
8. Automatisierte Einzelfallentscheidung einschließlich Profiling (Art. 22 DSGVO): Auf der Website findet keine rein auf einer automatisierten Verarbeitung beruhende Entscheidung – einschließlich Profiling – statt, die Ihnen gegenüber Rechtswirkungen entfaltet oder Sie erheblich beeinträchtigt.

Zur Ausübung Ihrer Rechte wenden Sie sich bitte an die unter Ziffer 1 genannten Kontaktdaten.

21. Beschwerderecht bei einer Aufsichtsbehörde

Sie haben unbeschadet eines anderweitigen verwaltungsbehördlichen oder gerichtlichen Rechtsbehelfs das Recht auf Beschwerde bei einer Aufsichtsbehörde, insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes, wenn Sie der Ansicht sind, dass die Verarbeitung der Sie betreffenden personenbezogenen Daten gegen die DSGVO verstößt.

Die für den Verantwortlichen zuständige Aufsichtsbehörde ist:

Die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen
Kavalleriestraße 2–4
40213 Düsseldorf
Deutschland
Telefon: 0211 38424 0
E-Mail: poststelle@ldi.nrw.de
Internet: www.ldi.nrw.de

22. Aktualisierung dieser Datenschutzerklärung

Diese Datenschutzerklärung wird laufend überprüft und bei Änderungen der Verarbeitungstätigkeiten, aufgrund neuer rechtlicher Vorgaben oder bei Änderungen der Dienste bzw. der eingesetzten Software oder der Dienstleister angepasst. Die jeweils aktuelle Fassung ist unter www.zollagenturaz.de/datenschutz.html abrufbar. Das Datum der letzten Aktualisierung wird bei jeder Fassung angepasst.

23. Kontakt zum Datenschutz

Für Fragen zum Datenschutz, zur Ausübung Ihrer Rechte sowie für Mitteilungen und Beschwerden wenden Sie sich bitte schriftlich oder per E-Mail an die unter Ziffer 1 dieser Datenschutzerklärung genannten Verantwortlichen.