# Sicherheit und Datenschutz

Welche Daten punchout.dev während eines Punchouts verarbeitet, wo der Dienst gehostet ist, wie lange Daten bleiben, was beim Einkaufssystem ankommt und was nie in einem Log steht.

URL: https://punchout.dev/de/docs/account/security-and-privacy/

Diese Seite fasst allgemein verständlich zusammen, welche Daten punchout.dev verarbeitet, wo und wie lange. Rechtlich verbindlich ist die [Datenschutzerklärung](https://punchout.dev/legal/privacy/).

## Was punchout.dev verarbeitet

- **Die Warenkorbseite während eines Punchouts.** Solange ein Punchout läuft, verarbeitet punchout.dev den Inhalt der Warenkorbseite, um die Positionen zu lesen. Ist der Warenkorb-Container bekannt, liest es nur diesen Teil der Seite ([Warenkorb-Erkennung](https://punchout.dev/de/docs/getting-started/cart-detection/)).
- **Die Seite bei der Warenkorb-Erkennung.** Im Setup-Modus liest punchout.dev die Seite, auf der Sie sich befinden, und zwar nur dann, wenn Sie auf **Warenkorb erkennen** oder **Diesen Bereich prüfen** klicken.
- **Einkäufer-Zugänge.** Domain, Kennung und Bezeichnung sowie das Secret als Einweg-Hash.
- **Portal-Konten.** Ihre E-Mail-Adresse und Ihr Passwort als Einweg-Hash.

Die Inhalte von Feldern für Passwörter, E-Mail-Adressen, Telefonnummern und Kartendaten lässt punchout.dev beim Lesen einer Shopseite immer aus.

## Auf der Shopseite

- Ohne Punchout oder Setup-Link sendet das Tag nichts.
- Das Tag liest keine Cookies des Shops.
- Das Tag setzt nie ein Geheimnis in eine URL.

## Was beim Einkaufssystem ankommt

Am Ende eines Punchouts übergibt der Browser des Einkäufers den Warenkorb an die Rücksprung-Adresse, die das Einkaufssystem beim Öffnen des Shops gesendet hat. Die Übergabe enthält die Positionen, die der Einkäufer im Panel geprüft hat, aber nie ein Secret oder ein Passwort. Wohin Warenkörbe gehen dürfen, schränken Sie mit **Erlaubte Rücksprung-Hosts** ein ([Einen Einkäufer verbinden](https://punchout.dev/de/docs/getting-started/connect-a-buyer/)).

## Wo

punchout.dev wird bei AWS in Frankfurt gehostet, und die Daten bleiben in der EU. Jede Verbindung zu punchout.dev ist mit TLS verschlüsselt. Zahlungen laufen über Stripe, Karten- und Bankdaten erreichen punchout.dev nie.

## Wie lange Daten bleiben

| Daten | Aufbewahrt |
| --- | --- |
| Eine Punchout-Session und ihr Warenkorb | 4 Stunden |
| Ein Test-Punchout-Ergebnis | 30 Tage nach dem Eingang |
| Ein vorläufiger Shop aus dem Sofort-Tag | 7 Tage, wenn er nicht übernommen wird |
| Ein Portal-Konto, das nie bestätigt wird | 7 Tage |
| Datenbank-Backups | 14 Tage |
| Ihr Konto, Ihre Shops und Einkäufer-Zugänge | Für die Dauer des Vertrags, siehe [Datenschutzerklärung](https://punchout.dev/legal/privacy/) |
| Das Protokoll | Wird mit der Organisation nicht gelöscht. Siehe [Team](https://punchout.dev/de/docs/account/team/) |

## Zugänge und Links

- Einkäufer-Secrets und Portal-Passwörter werden nur als Einweg-Hashes gespeichert. Niemand kann sie im Klartext auslesen, auch punchout.dev nicht. Ein Einkäufer-Secret wird einmal angezeigt, wenn es angelegt oder erneuert wird.
- Setup-Links, Einladungslinks und Test-Punchout-Links sind zufällig erzeugt und lassen sich nicht noch einmal anzeigen. Geht ein Link verloren, erzeugen Sie einen neuen.

## Logs

punchout.dev schreibt in seine Logs nur, was der Betrieb erfordert, etwa Zeitpunkt, Shop und Ergebnis einer Aktion. Warenkorb-Inhalte, E-Mail- und Postadressen, Secrets, Passwörter und Shop-URLs landen nie in einem Log.

## Das Portal

- Ihre Anmeldung gilt 12 Stunden und verlängert sich, solange Sie arbeiten.
- Bei einer fehlgeschlagenen Anmeldung meldet das Portal nur, dass Adresse oder Passwort falsch sind. Nach mehreren falschen Passwörtern wird das Konto für eine Weile gesperrt.

## Auto-Login

Beim Auto-Login signiert punchout.dev ein kurzlebiges Token, und das Shop-Plugin prüft es mit den Public-Key-Zeilen aus dem Portal. Ein Token gilt 120 Sekunden, funktioniert einmal, gehört zu einem Shop und führt nur auf eine Seite innerhalb dieses Shops. Der Shop besitzt keinen Schlüssel, mit dem er Tokens erzeugen könnte. Einzelheiten stehen unter [Auto-Login](https://punchout.dev/de/docs/plugins/auto-login/).

Für einen Auftragsverarbeitungsvertrag oder Fragen zu diesen Angaben nutzen Sie den Kontakt auf der Seite [Datenschutzerklärung](https://punchout.dev/legal/privacy/).