Marktplatzdaten in Business Central: Ihre Pflichten als Verkäufer

Wer über Amazon, Otto, Kaufland oder eBay verkauft, verarbeitet personenbezogene Daten von Käufern. Zwei Regelwerke gelten gleichzeitig: der Vertrag mit dem Marktplatz und die DSGVO. Die Software hilft Ihnen dabei — die Pflichten bleiben Ihre.

Dieser Artikel sagt in Kundensprache, was das heißt und was merchantCENTRAL davon übernimmt.

1. Wer ist wofür verantwortlich


Sie	Verantwortlicher im Sinne der DSGVO für die Käuferdaten in Ihrem Business Central. Sie entscheiden über Zwecke und Mittel, Sie beantworten Auskunfts- und Löschersuchen, Sie holen Einwilligungen ein.
Der Marktplatz	Gibt Ihnen die Daten und schreibt Ihnen vertraglich vor, was Sie damit dürfen. Amazons Data Protection Policy ist dabei die strengste.
ALTENBRAND	Liefert die Software. Wir haben keinen Zugriff auf Ihren Mandanten und erhalten keine Käuferdaten. Deshalb ist zwischen uns kein Auftragsverarbeitungsvertrag nötig — siehe Datenschutzerklärung-Erweiterung.

2. Die drei Regeln, auf die es praktisch hinausläuft

Nur was gebraucht wird

Käuferdaten dürfen nur an den weitergegeben werden, der sie für die Ausführung der Bestellung braucht. Der Versanddienstleister braucht die Lieferadresse. Er braucht nicht das E-Mail-Postfach des Käufers, um ihm eigene Benachrichtigungen zu schicken — das ist ein Service des Dienstleisters, kein Teil Ihrer Lieferung.

Nicht länger als nötig

Ist die Bestellung erledigt und die gesetzliche Aufbewahrung gesichert, haben Käuferdaten in Arbeitsdatensätzen nichts mehr zu suchen. Marktplatz-Richtlinien nennen üblicherweise 30 Tage nach Abschluss.

Gebuchte Belege sind ausgenommen

Rechnungen, Lieferscheine und Buchungsposten unterliegen GoBD, HGB und AO. Diese Ausnahme gewähren die Marktplatz-Richtlinien ausdrücklich. Sie müssen — und dürfen — gebuchte Belege nicht anonymisieren.

3. Was merchantCENTRAL für Sie erledigt

Ohne Ihr Zutun, weil es die eigenen Arbeitskopien der Software sind:

Datenkategorie	Was passiert
Versandetiketten	Adresse, Kontaktdaten und die Etikett-, Retouren-, Zoll- und QR-Belege werden nach der Zustellung geleert. Sendungsnummer und Sendungsverlauf bleiben.
Marktplatz-Bestelldatensätze	Käuferdaten, Rohdaten und Verarbeitungsprotokoll werden nach Abschluss geleert. Nummern, Daten, Beträge und Status bleiben.
Protokolle	Aktivitäts- und Benachrichtigungsprotokolle laufen nach ihrer Frist aus.

Beides erledigt ein nächtlicher Auftrag in der Aufgabenwarteschlange und schreibt einen Protokolleintrag. Der ist Ihr Nachweis.

4. Was Sie entscheiden müssen

a) Stammdaten Ihrer Marktplatz-Käufer

Der Bestellimport legt für jeden Käufer einen Debitor an. Diese Stammdaten sind Ihre Geschäftsdaten — merchantCENTRAL zählt sie im Datenschutz-Cockpit und anonymisiert sie auf Knopfdruck, aber nie von selbst.

Zu entscheiden ist außerdem der Altbestand: Debitoren aus der Zeit vor der Herkunftserfassung stehen als ungeklärte Herkunft im Cockpit und bleiben unangetastet, bis Sie auf der Debitorenkarte festlegen, woher sie stammen.

b) Weitergabe an Versanddienstleister

Ob ein Dienstleister Telefonnummer und E-Mail-Adresse erhält, entscheiden Sie je Dienstleister.

Fall	Empfehlung
Paketdienst, eigene Benachrichtigungen	Nur mit erfasster Einwilligung. Die deutschen Aufsichtsbehörden halten die Weitergabe ohne Einwilligung seit 2018 für unzulässig.
Paketshop, Wunschzeit, Speditions-Avis	Nur wenn der Service es erfordert. Hier hängt die Zustellung an der Angabe.
Marktplatz-Aufträge	Hier entscheidet die Software: E-Mail nie, Telefon nur wenn erforderlich.

Steht ein Dienstleister auf Immer, tragen Sie die Einwilligung dafür. Das Cockpit zählt, wie viele das sind.

Woher die Einwilligung kommt

Aus Ihrem Bestellprozess — im eigenen Shop typischerweise eine Checkbox im Checkout. Ist sie vorhanden, setzen Sie Empfänger hat Benachrichtigungen zugestimmt am Verkaufsauftrag oder dauerhaft an der Lieferadresse. Eine Musterformulierung finden Sie bei den einschlägigen Händlerverbänden; wir liefern keine Rechtsberatung.

c) Die Fristen

30 Tage sind der Vorschlag der Marktplatz-Richtlinien. Kürzer dürfen Sie immer. Länger ist Ihre Entscheidung und Ihr Risiko gegenüber dem Marktplatz.

5. Auskunft und Löschung eines Käufers

Verlangt ein Käufer Auskunft oder Löschung:

Suchen Sie den Debitor über die Marktplatz-Kundennummer oder den Namen.
Auskunft geben Sie aus Debitor, Kontakten, Marktplatz-Bestellungen und gebuchten Belegen.
Löschen im Sinne der DSGVO heißt hier anonymisieren, nicht entfernen: Gebuchte Belege müssen bleiben. Nutzen Sie die Aktion Marktplatzdaten anonymisieren auf der Debitorenkarte.
Offene Posten blockieren die Anonymisierung. Das ist richtig so — solange eine Forderung offen ist, besteht ein Zweck.

Weisen Sie den Käufer darauf hin, dass gebuchte Belege aus gesetzlichen Gründen erhalten bleiben. Das ist ein zulässiger Ablehnungsgrund nach Art. 17 Abs. 3 lit. b DSGVO.

6. Brauche ich einen Auftragsverarbeitungsvertrag?

Mit wem	Antwort
ALTENBRAND	Nein. Wir haben keinen Zugriff auf Ihren Mandanten und erhalten keine Käuferdaten.
Paketdienst, Spedition (reiner Transport)	Nein. Ein Transporteur ist eigener Verantwortlicher für die Zustellung.
Lager- oder Fulfillment-Dienstleister	Ja. Wer für Sie lagert oder kommissioniert, verarbeitet in Ihrem Auftrag.
Microsoft (Business Central)	Ja — der besteht über Ihren BC-Vertrag bereits.

7. Für Ihr Löschkonzept

Diese Tabelle können Sie übernehmen:

Datenkategorie	Frist	Auslöser	Umsetzung
Versandetikett (Empfängerdaten, Belege)	30 Tage	Zustellung	automatisch, nächtlicher Auftrag
Marktplatz-Bestelldatensatz (Käuferdaten, Rohdaten)	30 Tage	Abschluss der Bestellung	automatisch, nächtlicher Auftrag
Unfertige Bestellung	90 Tage	Bestell- oder Importdatum	automatisch, nächtlicher Auftrag
Debitor und Kontakte aus dem Import	30 Tage	letzter Auftrag, keine offenen Belege	Aktion im Cockpit
Gebuchte Rechnungen, Lieferungen, Posten	10 Jahre	Buchung	keine Löschung (GoBD/HGB/AO)