Sicherheit & Datenschutz

Deutschland-konform. EU-gehostet.

PackMate ist primär für deutsche Shopify-Shops gebaut — ausschließlich EU-Hosting, DSGVO by default, Encryption at Rest, DHL-Daten fließen über deinen eigenen Geschäftskunden-Account. Die langweilige Schicht, nach der dein Legal-Team fragt — richtig gemacht.

Sechs Säulen

Wie wir deine Daten schützen

Sechs konkrete Verpflichtungen. Kein Marketing-Geschwurbel, nur Controls und Belege.

EU-Hosting (Frankfurt am Main)

PostgreSQL und Application-Server im Rechenzentrum Frankfurt am Main (Hostinger). Datenbank und Anwendung liegen in Deutschland.

Hostinger, Rechenzentrum Frankfurt am Main
Datenbank und Anwendung liegen in Deutschland
Tägliche Sicherung, vor dem Übertragen verschlüsselt (Hetzner, Falkenstein)
Wöchentlicher Wiederherstellungstest der Sicherung

Encryption überall

TLS 1.3 in Transit. Verschlüsselte Disks at Rest. API-Keys SHA-256-gehashed, Session-Tokens via JWT mit kurzer TTL.

TLS 1.3 mit ausschließlich starken Cipher-Suites
Disk-Encryption at Rest (LUKS)
API-Keys mit SHA-256 gehashed, nie im Klartext gespeichert
Session-Tokens via JWT, 15-Minuten-TTL mit Rotation

DSGVO by default

Volle DSGVO-Webhook-Implementierung, Löschung rund 48 Stunden nach der Deinstallation, AVV auf Anfrage verfügbar.

customers.redact + customers.data_request Webhooks
shop.redact + app.uninstalled mit vollständiger Datenlöschung
Shop-Daten rund 48 Stunden nach der Deinstallation gelöscht
AVV (Auftragsverarbeitungsvertrag) auf Anfrage für B2B

DHL-Datenpfad

Wenn du ein DHL-Label erzeugst, gehen Customer-Adressen direkt an DHL über deine eigene Geschäftskunden-API — wir speichern nur das resultierende Label-PDF und die Tracking-Nummer.

Customer-Adresse direkt an DHL, nicht bei uns gespeichert
Nur Label-URL + Tracking-Nummer persistiert
Dein DHL-Geschäftskunden-Vertrag regelt DHLs Datenhandling
Encryption-in-Transit für den gesamten DHL-Austausch

LUCID-Compliance

Wir erfassen Verpackungsdaten bei jedem Pack, damit du deine LUCID-Mengenmeldung machen kannst. Aggregiert, nicht pro Customer — keine PII fließt jemals an LUCID.

Aggregiertes Gewicht pro Materialkategorie, nie pro Customer
CSV-Export ready fürs offizielle LUCID-Portal
In deinem Account, exportiert wenn du klickst — nie auto-übermittelt
Wir sind kein duales System — wir geben dir nur die Daten

Audit-Trail

Jeder API-Key hat Last-Used-Tracking. Jede Pack-Berechnung wird mit permanenter ID geloggt. Multi-User-Änderungen sind dem Shopify-Staff-Member zugeordnet.

API-Key Last-Used + IP-Tracking
Pack-Berechnungs-Log mit permanenten IDs
Shopify-Staff-Attribution für jeden Write
Audit-feste Historien-Aufbewahrung auf Business (3 Jahre)

Auftragsverarbeiter

Wer sonst noch deine Daten anfasst

Kurze Liste, bewusst. Hosting und Sicherung laufen immer; alles andere wird durch ein konkretes Feature ausgelöst.

Auftragsverarbeiter	Zweck	Standort	Wann
Hostinger International Ltd. Hosting-Anbieter (Zypern)	Datenbank + Application-Hosting, darunter selbst betriebene Fehler- und Besuchsmessung (GlitchTip, Umami)	Frankfurt am Main, DE	Immer
Hetzner Online GmbH Sicherungs-Speicher	Tägliche Sicherung von Datenbank und Uploads, vor dem Übertragen verschlüsselt	Falkenstein, DE	Immer
Shopify Inc. Platform-Host	App-Distribution + Billing	EU (Shopify EU-Billing)	Immer
Deutsche Post DHL Group Carrier	Label-Generierung	DE	Wenn du ein Label erstellst
Resend (Plus Five Five, Inc.) E-Mail-Versand	E-Mails an dich als Händler, z. B. Fristen-Erinnerungen und Kontingent-Hinweise	USA; Versand über AWS SES in der EU	Wenn wir dir eine E-Mail schicken
Vercel Inc. Website-Hosting	Nur die Website packmate.shop samt cookieloser Reichweitenmessung — keine Händlerdaten aus der App	USA (Data Privacy Framework)	Beim Besuch der Website
Anthropic / OpenAI / dein KI-Anbieter KI-Inferenz	Dein KI-Client (Claude, ChatGPT)	Pro Anbieter	Wenn DU eine KI-Anfrage initiierst

Wischen für mehr

KI-Anbieter sind gelistet, weil PackMate MCP-Tools an deinen KI-Client exponiert — aber PackMate proxyt keine KI-Anfragen. Der KI-Anbieter sieht nur, was du über dein eigenes Abo schickst.

Compliance-Badges

Standards, die wir treffen

Wir behaupten keine Zertifizierungen, die wir nicht haben. Hier ist der echte Stack.

Compliance

DSGVO

Voller Artikel-28-AVV auf Anfrage. Daten in Deutschland, Löschung nach der Deinstallation, Redaction-Webhooks.

Infrastruktur

Hosting in Deutschland

Rechenzentrum Frankfurt am Main (Hostinger). Datenbank und Anwendung liegen in Deutschland; verschlüsselte Sicherungen bei Hetzner in Falkenstein.

Plattform

Shopify App Store

Gelistete App, geprüft via Shopifys App-Review-Prozess. DSGVO-Webhooks Pflicht und implementiert.

Barrierefreiheit

WCAG 2.1 AA Ziel

Admin-UI gebaut nach WCAG 2.1 AA. Skip-to-Content, Focus-Visible-Rings, prefers-reduced-motion respektiert.

AVV nötig oder Security-Questionnaire?

Schreib an security@packmate.shop. Wir antworten in 1–2 Werktagen mit dem vollen AVV, Security-Overview-PDF oder Antworten auf deinen Fragebogen.

Email an security@packmate.shop Datenschutz lesen