Datenschutzerklärung

EPR Pilot, ein Angebot der BaDuNi GmbH
Fassung 3.3 — Stand: 26.08.2026
Gilt für die Marketing-Website epr-pilot.eu und die Anwendung app.epr-pilot.eu.

Präambel

Mit der folgenden Datenschutzerklärung möchten wir dich darüber aufklären, welche Arten deiner personenbezogenen Daten wir zu welchen Zwecken und in welchem Umfang verarbeiten. Wir nehmen den Schutz deiner persönlichen Daten sehr ernst und behandeln diese vertraulich und entsprechend den gesetzlichen Datenschutzvorschriften, insbesondere der EU-Datenschutz-Grundverordnung (DSGVO) und des Bundesdatenschutzgesetzes (BDSG).

Verantwortlicher

BaDuNi GmbH
Iberg 9
77876 Kappelrodeck
Deutschland

E-Mail: info@epr-pilot.eu
Impressum: epr-pilot.eu/impressum
Geschäftsführer: Sebastian Baßler
Handelsregister: Amtsgericht Mannheim, HRB 751614

Ein Datenschutzbeauftragter ist nicht bestellt. Für alle Anliegen zum Datenschutz nutze bitte die oben genannte Adresse.

Übersicht der Verarbeitungen

• Kontaktdaten (z. B. Name, E-Mail-Adresse)
• Kontodaten (z. B. Anmeldedaten, Abonnementstatus)
• Nutzungsdaten (z. B. aufgerufene Funktionen, Zugriffszeit)
• Meta- und Kommunikationsdaten (z. B. IP-Adressen, Browserinformationen)
• Vom Kunden hochgeladene Produktdaten (z. B. ASIN, EAN, Produkttitel, Verpackungsgewichte, Materialarten)
• Bestell- und Versandberichtsdaten einschließlich Bestellkennungen sowie, abhängig vom Amazon-Export, Käuferkontakt-Aliasse, Versand- oder Empfängerdaten und weitere personenbezogene Felder
• Hochgeladene Originaldateien und vollständige Rohzeilen der Importdateien

Rechtsgrundlagen

• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO)
• Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO)
• Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO)
• Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO)

Erforderlichkeit der Bereitstellung

Die Angabe von Name, Firma und E-Mail-Adresse ist für die Einrichtung eines Kontos und die Nutzung von EPR Pilot im Rahmen des zugrunde liegenden Happy-Arbitrage-Tarifs erforderlich. Ohne diese Angaben können wir keinen Zugang bereitstellen. Rechnungs- und Zahlungsdaten werden im Bestell- und Abrechnungsprozess des gebuchten Happy-Arbitrage-Tarifs verarbeitet, nicht über einen gesonderten EPR-Pilot-Vertrag.

Alle weiteren Angaben, insbesondere hochgeladene Produkt- und Bestelldaten, sind freiwillig. Ohne sie kann die jeweilige Funktion nicht oder nur eingeschränkt genutzt werden; weitere Nachteile entstehen dir nicht.

Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO findet nicht statt. Die Berechnungen in EPR Pilot werten keine Personen aus, auch wenn hochgeladene Amazon-Berichte je nach Export personenbezogene Felder enthalten können. Die Berechnungen beziehen sich auf Produkt-, Verpackungs- und Mengendaten und stellen keine rechtliche Bewertung dar.

Sicherheitsmaßnahmen

• Verschlüsselung der Datenübertragung via TLS/SSL (HTTPS)
• Speicherung der Anwendungsdaten auf Servern in Deutschland (Hetzner Online GmbH)
• Zugangskontrollen und Authentifizierungsmechanismen

Empfänger und eingesetzte Dienstleister

Je nach genutzter Funktion setzen wir folgende Dienstleister ein oder übermitteln ihnen die für die jeweilige Funktion erforderlichen Daten:

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland: Hosting der Anwendung und Speicherung von Workspace-, Produkt-, Bestell-, Auswertungs- und Exportdaten auf Servern in Deutschland.
• IONOS SE, Elgendorfer Straße 57, 56410 Montabaur, Deutschland: Betrieb unseres E-Mail-Postfachs und Versand ausgehender E-Mails.
• Supabase, Inc.: serverseitige Authentifizierung und Benutzerverwaltung. Die Projektinstanz ist für die Region Frankfurt (EU) konfiguriert.
• Stripe Payments Europe, Ltd. beziehungsweise Stripe Technology Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland: Zahlungsabwicklung des zugrunde liegenden Happy-Arbitrage-Tarifs sowie Übermittlung von Abonnement- und Zahlungsstatusdaten zur Zugangssteuerung.
• Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA: Hosting der Marketing-Website, Entgegennahme von Kontaktformular-Anfragen und Weiterleitung an unseren Mailserver.
• Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland: Bereitstellung der Schriftart Inter innerhalb der Anwendung.
• Volentio JSD Limited, Suite 2a1, Northside House, Mount Pleasant, Barnet, England, EN4 9EB, Vereinigtes Königreich, Betreiber von jsDelivr: Auslieferung von Bootstrap, Bootstrap Icons und Chart.js innerhalb der Anwendung.

Datenübermittlung in Drittländer

Workspace-, Produkt-, Bestell-, Auswertungs- und Exportdaten aus der Anwendung werden auf Servern in Deutschland bei der Hetzner Online GmbH gespeichert. Authentifizierungs- und Kontodaten werden zusätzlich durch Supabase in der konfigurierten EU-Projektregion verarbeitet.

Bei der Zahlungsabwicklung des Happy-Arbitrage-Tarifs, der Auslieferung der Marketing-Website, der Entgegennahme von Kontaktformular-Anfragen sowie dem Laden externer Ressourcen in der Anwendung können technische oder vertragsbezogene Daten durch Stripe, Vercel, Google oder die von jsDelivr eingesetzten CDN-Anbieter auch in Drittländern verarbeitet werden. Soweit erforderlich, stützen sich solche Übermittlungen auf einen Angemessenheitsbeschluss, EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO oder andere geeignete Garantien. Eine Kopie der maßgeblichen Garantien kannst du unter info@epr-pilot.eu anfordern.

Der E-Mail-Versand und die Speicherung zugestellter Nachrichten finden auf Servern innerhalb der Europäischen Union statt. Die Entgegennahme der Formularabsendung erfolgt über die Vercel-Funktion, siehe den Abschnitt Kontaktformular. Ein zusätzlicher externer Formulardienst wird nicht eingesetzt.

Anwendungshosting und Server-Logfiles

Die EPR Pilot Anwendung wird auf Servern der Hetzner Online GmbH gehostet. Alle Anwendungsdaten einschließlich deiner hochgeladenen Produktdaten, Bestellberichte, Auswertungen und Exportdaten werden ausschließlich auf Servern in Deutschland gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Bei jedem Zugriff werden serverseitig Protokolldaten erfasst, insbesondere IP-Adresse, Datum und Uhrzeit, angefragte Ressource, Referrer, HTTP-Statuscode, übertragene Datenmenge sowie Browser- und Betriebssysteminformationen. Diese Daten dienen der Auslieferung, Stabilität, Fehleranalyse, IT-Sicherheit und Missbrauchsprävention. Sie werden gelöscht oder anonymisiert, sobald diese Zwecke entfallen, sofern sie nicht zur Aufklärung eines konkreten Sicherheitsvorfalls oder zur Erfüllung gesetzlicher Pflichten weiter benötigt werden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Website-Hosting

Die Marketing-Website epr-pilot.eu wird bei Vercel Inc. gehostet. Beim Besuch verarbeitet Vercel technische Daten wie deine IP-Adresse, Browsertyp und den Zeitpunkt der Serveranfrage. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Die Website verwendet Systemschriften des jeweiligen Endgeräts. Es werden keine externen Google Fonts geladen.

Authentifizierung

Wir nutzen Supabase serverseitig für die Benutzerauthentifizierung und Kontoverwaltung. Bei der Kontoerstellung, Anmeldung oder Prüfung eines Magic Links verarbeitet Supabase insbesondere deine E-Mail-Adresse sowie die für die Prüfung erforderlichen Authentifizierungsdaten. Nach erfolgreicher Prüfung verwaltet EPR Pilot den angemeldeten Zustand über ein eigenes Flask-Session-Cookie. Ein Supabase-Authentifizierungstoken wird nicht als eigenes Browser-Cookie gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Extern eingebundene Ressourcen in der Anwendung

Die Anwendung lädt die Schriftart Inter von Google Fonts sowie Bootstrap, Bootstrap Icons und Chart.js über das jsDelivr CDN. Beim Abruf werden technisch erforderliche Daten, insbesondere IP-Adresse, Zeitpunkt, angefragte Datei, Referrer sowie Browserinformationen, an den jeweiligen Anbieter und dessen CDN-Dienstleister übermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in einer einheitlichen und technisch zuverlässigen Darstellung der Anwendung.

Weitere Informationen findest du in der Datenschutzerklärung von Google, der Datenschutzerklärung von jsDelivr und der Liste der jsDelivr-Unterauftragnehmer. Die Marketing-Website epr-pilot.eu lädt diese externen Ressourcen nicht.

Kontaktformular

Wenn du uns über das Kontaktformular kontaktierst, werden deine Daten, Name, E-Mail-Adresse und Nachrichteninhalt, zum Zweck der Bearbeitung deiner Anfrage verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für vorvertragliche Maßnahmen zum zugrunde liegenden Happy-Arbitrage-Tarif beziehungsweise Art. 6 Abs. 1 lit. f DSGVO.

Verarbeitungsweg. Die Absendung des Formulars wird zunächst von einer Serverless-Funktion bei der Vercel Inc. entgegengenommen, auf der auch diese Website gehostet wird. Vercel verarbeitet dabei die Formularinhalte sowie die IP-Adresse des Absenders für die Dauer der Anfrageverarbeitung und zur Missbrauchsprävention. Die Funktion übergibt die Nachricht anschließend per verschlüsselter SMTP-Verbindung an unser Postfach beim Mailserver der IONOS SE, Elgendorfer Straße 57, 56410 Montabaur, Deutschland.

Ein zusätzlicher externer Formulardienst wird nicht eingesetzt. Die Formulardaten werden weder bei Vercel noch bei uns in einer Datenbank gespeichert; die Nachricht existiert nach der Zustellung ausschließlich in unserem Postfach. Zur möglichen Übermittlung an Vercel in die USA siehe den Abschnitt zu Drittlandübermittlungen.

Zum Schutz vor automatisierten Einsendungen setzen wir ein für Menschen unsichtbares Zusatzfeld, eine Zeitfensterprüfung und eine Begrenzung der Anfragen je IP-Adresse ein. Es wird kein zusätzlicher Captcha- oder Antibot-Dienst eingesetzt. Die Prüfungen laufen innerhalb der oben beschriebenen Vercel-Funktion. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

EPR Pilot Anwendung, Datenverarbeitung

Bei der Nutzung der Software lädst du Daten aus deinem Amazon-Verkäuferkonto, zum Beispiel Business Reports, Shipment Reports und EPR Reports, sowie optional weitere Produktdaten hoch. Dazu können auch Keepa-Exportdateien gehören, die du außerhalb von EPR Pilot selbst erzeugt oder bezogen hast. Folgende Datenarten werden verarbeitet:

• Produktkennungen (ASIN, EAN)
• Produkteigenschaften (Titel, Kategorie, Verpackungsgewicht, Materialart)
• Bestell-, Mengen- und Versanddaten einschließlich separat gespeicherter Bestellkennungen
• Je nach Amazon-Export Käuferkontakt-Aliasse, Versand- oder Empfängerdaten und weitere personenbezogene Felder
• Hochgeladene Originaldateien und vollständige Rohzeilen der Importdateien
• Aus den Kundendaten abgeleitete Arbeitswerte je EPR-Bereich (Verpackung, Elektro, Batterien)

Die hochgeladenen Dateien bleiben im Workspace gespeichert. Zusätzlich speichert EPR Pilot die vollständigen Importzeilen als Rohdatensätze; Bestellkennungen werden zusätzlich in einem eigenen Feld gespeichert. Diese Daten werden zur Erbringung der vertraglichen Leistung verarbeitet (Art. 6 Abs. 1 lit. b DSGVO) und auf deutschen Servern gespeichert.

Prüfe deine Exportdateien vor dem Upload und lade nur die für die Auswertung erforderlichen Felder und Datensätze hoch. Entferne nicht benötigte personenbezogene Angaben vor dem Upload, soweit dies möglich ist.

EPR Pilot ruft Keepa nicht automatisch auf und übermittelt keine Produktkennungen oder Kundendaten an Keepa. Beim freiwilligen Öffnen des externen Keepa-Links verlässt du EPR Pilot; für die anschließende Verarbeitung ist Keepa verantwortlich.

Keine Übermittlung an Register und Behörden. Wir bereiten Datengrundlagen auf, damit du sie selbst verwenden kannst. Eine Übermittlung an das Verpackungsregister LUCID, die Stiftung Elektro-Altgeräte Register, Systembetreiber, Sachverständige oder sonstige Stellen nehmen wir nicht vor.

Wichtig: EPR Pilot ist eine unabhängige Software und steht in keiner Verbindung, Partnerschaft oder Empfehlung mit Amazon. Alle Amazon-Daten werden freiwillig durch dich hochgeladen.

Zahlungsabwicklung und Zugangssteuerung

EPR Pilot wird ausschließlich als Bestandteil bestimmter Happy-Arbitrage-Tarife bereitgestellt. Die Zahlungsabwicklung des zugrunde liegenden Tarifs erfolgt über Stripe, insbesondere Stripe Payments, Stripe Checkout, Stripe Billing und Stripe Invoicing. Zahlungs- und Rechnungsdaten werden im Bestellprozess direkt an Stripe übermittelt und dort verarbeitet. Vollständige Kartendaten erreichen EPR Pilot nicht.

Zur automatischen Zugangssteuerung empfängt EPR Pilot signierte Stripe-Webhooks. Dabei verarbeitet EPR Pilot insbesondere E-Mail-Adresse, Stripe-Kunden- und Abonnementkennung, Tarif- beziehungsweise Preiskennung, Abonnementstatus, Zahlungsstatus und Abrechnungszeitraum. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für Buchungs- und Rechnungsdaten ergänzend Art. 6 Abs. 1 lit. c DSGVO.

Cookies und Speichertechnologien

Unsere Website und Anwendung verwenden ausschließlich technisch notwendige Cookies und Speichermechanismen. Wir verwenden keine Analyse-, Tracking- oder Marketing-Cookies. Für technisch notwendige Speicherungen ist keine Einwilligung erforderlich (§ 25 Abs. 2 TDDDG in Verbindung mit Art. 6 Abs. 1 lit. f DSGVO).

Marketing-Website (epr-pilot.eu)

Anwendung (app.epr-pilot.eu)

Speicherung und Löschung

• Kontodaten: für die Dauer des zugrunde liegenden Happy-Arbitrage-Vertrags und darüber hinaus, soweit gesetzliche Aufbewahrungspflichten oder die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen dies erfordern.
• Produkt- und Bestelldaten (Workspace-Daten): werden nach Ende des EPR-Pilot-Zugangs gelöscht, sobald sie nicht mehr für die Vertragsabwicklung, die Erfüllung gesetzlicher Pflichten oder die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich sind. Eine frühere Löschung kann verlangt werden, soweit keine entgegenstehenden Gründe bestehen.
• Rechnungs- und Buchungsbelege: 8 Jahre gemäß § 147 Abs. 3 AO. Bücher, Jahresabschlüsse und Inventare: 10 Jahre.
• Kontaktformular-Anfragen: Die Nachricht wird per E-Mail zugestellt und bis zur abschließenden Bearbeitung der Anfrage aufbewahrt. Danach erfolgt eine weitere Speicherung nur, soweit sie für die Vertragsabwicklung, gesetzliche Pflichten oder die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.
• Server-Logfiles: nach Wegfall der im Abschnitt Anwendungshosting und Server-Logfiles beschriebenen Zwecke, sofern keine weitere Aufbewahrung zur Sicherheitsaufklärung oder aufgrund gesetzlicher Pflichten erforderlich ist.
• Einwilligungsnachweise: bis zum Ablauf der Verjährungsfristen nach dem Widerruf.

Du kannst jederzeit die Löschung deiner Daten verlangen, indem du uns unter info@epr-pilot.eu kontaktierst.

Deine Rechte

• Auskunftsrecht (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruchsrecht (Art. 21 DSGVO), siehe die beiden folgenden Abschnitte
• Recht auf Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO)
• Beschwerderecht (Art. 77 DSGVO)
• Recht, nicht ausschließlich einer automatisierten Entscheidung unterworfen zu werden (Art. 22 DSGVO). Eine solche Entscheidung findet nicht statt.

Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen

Soweit wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, hast du das Recht, aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit Widerspruch einzulegen. Wir verarbeiten die betreffenden Daten anschließend nicht mehr, sofern keine zwingenden schutzwürdigen Gründe vorliegen, die deine Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen dient.

Widerspruch gegen Direktwerbung

Du hast jederzeit das Recht, der Verarbeitung deiner Daten zum Zweck der Direktwerbung nach Art. 21 Abs. 2 DSGVO zu widersprechen. Dafür ist keine Begründung erforderlich, und es findet keine Interessenabwägung statt. Nach deinem Widerspruch verarbeiten wir deine Daten nicht mehr zu Werbezwecken.

Zuständige Aufsichtsbehörde

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg
Lautenschlagerstraße 20
70173 Stuttgart
E-Mail: poststelle@lfdi.bwl.de

Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte rechtliche Anforderungen oder Änderungen unserer Dienste anzupassen. Die aktuelle Fassung ist stets unter epr-pilot.eu/datenschutz abrufbar und trägt eine Fassungsnummer und ein Datum.