Datenschutz / Privacy

Datenschutzerklärung für punchout.dev. Stand: 24. September 2026.

1. Verantwortlicher

Thomas Wild – orcamultimedia (Einzelunternehmen)
Wassergasse 50
CH-9000 St. Gallen, Schweiz
E-Mail: hello@punchout.dev

Diese Erklärung gilt für die Website punchout.dev, das Kundenportal unter punchout.dev, das Skript-Snippet und die Shop-Plug-ins von punchout.dev sowie die Programmierschnittstelle unter api.punchout.dev. Sie folgt dem Schweizer Datenschutzgesetz (DSG) und, soweit anwendbar, der Datenschutz-Grundverordnung (DSGVO).

2. Drei Rollen — wer wofür verantwortlich ist

punchout.dev verbindet Online-Shops mit den Einkaufssystemen ihrer Geschäftskunden. Dabei kommen drei Gruppen von Personen mit dem Dienst in Berührung, und die Verantwortung ist nicht in jedem Fall dieselbe:

• Besucher dieser Website und Nutzer des Kundenportals(Shop-Betreiber, ihre Mitarbeiter und Agenturen): hier sind wir Verantwortlicher (Abschnitte 3 bis 6).
• Käufer, also Personen, die aus einem Einkaufssystem heraus in einem angebundenen Shop einkaufen: ihre Daten verarbeiten wir im Auftrag des jeweiligen Shop-Betreibers, der insoweit Verantwortlicher ist (Abschnitt 7). Anfragen von Käufern beantwortet in erster Linie der Shop; wir unterstützen ihn dabei.

3. Website punchout.dev

Zugriffsprotokolle. Beim Aufruf der Website verarbeitet unser Server IP-Adresse, Zeitpunkt, aufgerufene Adresse, Statuscode, übertragene Datenmenge und den vom Browser gesendeten User-Agent. Diese Protokolle dienen dem Betrieb, der Fehlersuche und der Abwehr von Angriffen (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO) und werden nach sieben Tagen gelöscht.

Keine Cookies, kein Tracking. Die Website setzt keine Cookies, bindet keine Analyse- oder Werbedienste ein und lädt keine Inhalte von Dritten; Schriften werden von unserem eigenen Server ausgeliefert.

„Snippet sofort testen“. Wer auf der Startseite eine Shop-Adresse eingibt, erhält einen vorläufigen Test-Shop. Wir speichern die eingegebene Shop-Adresse und die erzeugte Konfiguration für sieben Tage und löschen sie danach, wenn der Test-Shop bis dahin keinem Konto zugeordnet wurde. Zur Begrenzung der Anfragen je Absender halten wir die IP-Adresse für eine Stunde im Arbeitsspeicher; sie wird nicht dauerhaft gespeichert.

Kontakt per E-Mail. Schreiben Sie uns, verarbeiten wir Ihre Angaben zur Bearbeitung der Anfrage und bewahren die Korrespondenz so lange auf, wie es dafür nötig ist, längstens zwei Jahre nach dem letzten Kontakt.

4. Kundenportal (Konto und Organisation)

Welche Daten. Zur Registrierung verarbeiten wir Ihre E-Mail-Adresse und Ihr Passwort (nur als Hash gespeichert), den Namen Ihrer Organisation, Ihre Rolle darin und die Einladungen, die Sie versenden oder erhalten. Im Portal legen Sie Shops (Shop-Adresse, Einstellungen zur Warenkorb-Erkennung) und Käufer-Zugangsberechtigungen an; deren Geheimnisse werden ebenfalls nur als Hash gespeichert. Wir führen ein Aktivitätsprotokoll (Audit-Log) mit Zeitpunkt, Aktion und Nutzerkennung, ohne E-Mail-Adressen und ohne Inhalte, sowie tägliche Nutzungszähler je Shop ohne Personenbezug.

Zweck und Grundlage. Die Verarbeitung dient der Bereitstellung des Dienstes (Vertragserfüllung, Art. 6 Abs. 1 lit. b DSGVO), das Audit-Log der Nachvollziehbarkeit von Änderungen und der Sicherheit (berechtigtes Interesse, lit. f).

Cookies und lokale Speicherung. Nach der Anmeldung setzt das Portal ein technisch notwendiges Sitzungs-Cookie __pob_portal (nur für punchout.dev, nur über HTTPS, nicht per Skript lesbar), das mit jeder Nutzung um zwölf Stunden verlängert wird und beim Abmelden gelöscht wird. Darstellungseinstellungen wie Sprache oder Farbschema speichert Ihr Browser lokal. Es gibt keine Tracking-Cookies.

E-Mails. Wir senden Ihnen E-Mails zur Bestätigung der Adresse, zum Zurücksetzen des Passworts, zu Einladungen und zu Ihrem Tarif (etwa das Erreichen eines Richtwerts oder das Ende einer Sandbox). Der Versand erfolgt über Amazon Simple Email Service (Abschnitt 8). Adressen, an die eine Zustellung dauerhaft scheitert oder die eine Nachricht als unerwünscht melden, werden in eine Sperrliste aufgenommen und nicht mehr angeschrieben, bis Sie uns bitten, die Adresse freizugeben. Werbe-E-Mails versenden wir nicht.

Aufbewahrung. Kontodaten bleiben für die Dauer des Vertrags gespeichert und werden 30 Tage nach Löschung des Kontos oder der Organisation gelöscht; Sicherungskopien werden spätestens 14 Tage danach überschrieben.

5. Zahlung und Rechnungsstellung (Stripe)

Kostenpflichtige Tarife werden über Stripe abgewickelt (Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland, und Stripe, Inc., South San Francisco, USA). Beim Bestellvorgang geben Sie Name, Rechnungsadresse, E-Mail-Adresse, Umsatzsteuer- bzw. Steuernummer und Ihr Zahlungsmittel direkt bei Stripe ein. Zahlungsmitteldaten erreichen unsere Server nicht. Wir erhalten von Stripe die Kundennummer, den Stand des Abonnements, das Ergebnis der Prüfung Ihrer Steuernummer und die Rechnungen. Stripe berechnet außerdem die anwendbare Umsatzsteuer nach Ihrer Rechnungsadresse (Stripe Tax).

Grundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) sowie unsere gesetzlichen Buchführungspflichten (lit. c). Stripe verarbeitet Zahlungsdaten teilweise in eigener Verantwortung (etwa zur Betrugsprävention); Einzelheiten in der Datenschutzerklärung von Stripe unter stripe.com/privacy. Stripe kann Daten in die USA übermitteln; Stripe, Inc. ist nach dem Swiss-U.S. Data Privacy Framework und dem EU-U.S. Data Privacy Framework zertifiziert, ergänzend gelten Standardvertragsklauseln. Rechnungsdaten bewahren wir zehn Jahre auf.

6. Support

Bei Support-Anfragen verarbeiten wir die Angaben, die Sie uns machen, und die zur Klärung nötigen Daten Ihres Kontos. Zugriff auf die Konfiguration eines Shops nehmen wir nur zur Bearbeitung Ihrer Anfrage.

7. Punchout-Betrieb — Daten der Käufer (im Auftrag des Shops)

Was geschieht. Ruft ein Einkaufssystem einen angebundenen Shop auf, erzeugt punchout.dev eine Punchout-Sitzung, leitet den Käufer in den Shop und übergibt am Ende den bestätigten Warenkorb im Protokoll des Einkaufssystems (OCI oder cXML) an die vom Einkaufssystem genannte Rücksprungadresse.

Welche Daten. Je Sitzung: eine zufällige Sitzungskennung, die Rücksprungadresse des Einkaufssystems, die vom Einkaufssystem übermittelte Käuferkennung (Benutzername der Anbindung, bei cXML die Absenderangaben und ein vom Einkaufssystem gesetztes Sitzungsmerkmal), der Inhalt der Warenkorbseite und der daraus erkannte Warenkorb (Artikel, Mengen, Preise). Nutzt der Shop die automatische Anmeldung, wird zusätzlich die vom Shop hinterlegte Kundenreferenz (Kundennummer oder E-Mail-Adresse des Käufers im Shop) in einem signierten Kurzzeit-Token (120 Sekunden gültig, einmal verwendbar) an das Plug-in des Shops übermittelt.

Warenkorb-Erkennung mit einem KI-Modell. Der Inhalt der Warenkorbseite wird vor der Übermittlung bereinigt (Skripte, Formulareingaben, Zugangsdaten und ähnliche Felder werden entfernt) und an ein Sprachmodell (Anthropic Claude, betrieben über Amazon Bedrock in Rechenzentren in der EU) übermittelt, das daraus die Warenkorbpositionen ermittelt. Der Anbieter verwendet diese Inhalte nach seinen Bedingungen nicht zum Training von Modellen. Es findet keine automatisierte Entscheidung über Personen statt.

Cookies auf der Shop-Seite. Das Snippet speichert die Sitzungskennung im Browser des Käufers in einem technisch notwendigen Cookie mit dem Präfix__pob_sid_ und im Sitzungsspeicher des Browsers, jeweils auf die Domain des Shops beschränkt und höchstens vier Stunden lang. Das Snippet liest keine anderen Cookies des Shops und sendet ohne aktive Punchout-Sitzung keine Daten.

Aufbewahrung. Eine Punchout-Sitzung samt erkanntem Warenkorb wird vier Stunden nach ihrer Erzeugung gelöscht. Dauerhaft bleiben nur Zähler je Shop und Tag (Sitzungen, Übergaben, Erkennungen) ohne Personenbezug sowie, für die Nutzungsübersicht des Shop-Betreibers, gekürzte Sitzungskennungen, der Hostname der Rücksprungadresse und die Anzahl der Positionen — nie der Warenkorb selbst. Test-Punchouts aus dem Portal werden 30 Tage aufbewahrt.

Verantwortung. Verantwortlicher für diese Verarbeitung ist der Betreiber des jeweiligen Shops; wir handeln als Auftragsverarbeiter nach dessen Weisung und schließen mit ihm auf Wunsch eine Vereinbarung zur Auftragsverarbeitung. Käufer wenden sich mit Anfragen an den Shop, in dem sie eingekauft haben.

8. Empfänger und Unterauftragsverarbeiter

Andere Empfänger gibt es nur, wenn wir gesetzlich dazu verpflichtet sind. Daten werden nicht verkauft und nicht für Werbung Dritter verwendet.

9. Protokolle und Sicherheit

Unsere Dienste schreiben strukturierte Protokolle mit Ereignis, Zeitpunkt, Shop- und Nutzerkennung und Sitzungskennung in gekürzter Form. Sie enthalten keine Warenkorb-Inhalte, keine Adressen, keine Zugangsdaten und keine E-Mail-Adressen und werden nach 30 Tagen gelöscht; die Zugriffsprotokolle aus Abschnitt 3 nach sieben Tagen. Tägliche Sicherungskopien der Datenbank werden 14 Tage aufbewahrt. Alle Verbindungen sind TLS-verschlüsselt, Passwörter und Geheimnisse werden ausschließlich als Hash gespeichert, und der Zugriff auf die Systeme ist auf den Verantwortlichen beschränkt.

10. Ihre Rechte

Sie haben das Recht auf Auskunft über Ihre Daten, auf Berichtigung, Löschung und Einschränkung der Verarbeitung, auf Herausgabe bzw. Übertragung der Daten, die Sie uns bereitgestellt haben, sowie das Recht, einer Verarbeitung aus berechtigtem Interesse zu widersprechen. Anfragen richten Sie an hello@punchout.dev. Sie können sich außerdem beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) oder, im Anwendungsbereich der DSGVO, bei der Aufsichtsbehörde Ihres Wohnsitzes beschweren.

11. Änderungen

Wir passen diese Erklärung an, wenn sich der Dienst oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung; das Datum steht am Anfang. Die deutsche Fassung ist maßgebend.

Privacy policy for punchout.dev. Version of 24 September 2026.

This English text is a translation provided for convenience. The German text above is the binding version.

1. Controller

Thomas Wild – orcamultimedia (sole proprietorship)
Wassergasse 50
CH-9000 St. Gallen, Switzerland
E-mail: hello@punchout.dev

This policy covers the website punchout.dev, the customer portal at punchout.dev, the punchout.dev script snippet and shop plug-ins, and the programming interface at api.punchout.dev. It follows the Swiss Federal Act on Data Protection (FADP) and, where applicable, the General Data Protection Regulation (GDPR).

2. Three roles — who is responsible for what

punchout.dev connects online shops to the procurement systems of their business customers. Three groups of people come into contact with the service, and the responsibility is not the same in every case:

• Visitors of this website and users of the customer portal(shop operators, their staff and agencies): here we are the controller (sections 3 to 6).
• Buyers, that is people who shop in a connected shop out of a procurement system: we process their data on behalf of the shop operator, who is the controller in that respect (section 7). Requests from buyers are answered in the first place by the shop; we support the shop in doing so.

3. Website punchout.dev

Access logs. When you open the website, our server processes the IP address, time, requested address, status code, amount of data transferred and the user-agent string sent by the browser. These logs serve operation, troubleshooting and the defence against attacks (legitimate interest, Art. 6(1)(f) GDPR) and are deleted after seven days.

No cookies, no tracking. The website sets no cookies, embeds no analytics or advertising services and loads no content from third parties; fonts are served from our own server.

"Try the snippet now". Whoever enters a shop address on the home page receives a provisional test shop. We store the entered shop address and the generated configuration for seven days and delete them afterwards if the test shop has not been assigned to an account by then. To limit requests per sender we keep the IP address in memory for one hour; it is not stored permanently.

Contact by e-mail. If you write to us, we process what you tell us to handle the request and keep the correspondence as long as needed for that, at most two years after the last contact.

4. Customer portal (account and organisation)

Which data. For registration we process your e-mail address and your password (stored as a hash only), the name of your organisation, your role in it and the invitations you send or receive. In the portal you create shops (shop address, cart detection settings) and buyer credentials; their secrets are likewise stored as hashes only. We keep an activity log (audit log) with time, action and user id, without e-mail addresses and without content, and daily usage counters per shop without personal reference.

Purpose and basis. The processing serves the provision of the service (performance of the contract, Art. 6(1)(b) GDPR); the audit log serves the traceability of changes and security (legitimate interest, (f)).

Cookies and local storage. After sign-in the portal sets a strictly necessary session cookie __pob_portal (for punchout.dev only, HTTPS only, not readable by scripts) that is extended by twelve hours with every use and deleted on sign-out. Display preferences such as language or colour scheme are stored locally by your browser. There are no tracking cookies.

E-mails. We send you e-mails to confirm your address, to reset your password, for invitations and about your plan (for instance reaching a guide value or the end of a sandbox). They are sent through Amazon Simple Email Service (section 8). Addresses to which delivery permanently fails, or which report a message as unwanted, are placed on a suppression list and no longer written to until you ask us to release the address. We send no marketing e-mails.

Retention. Account data is kept for the duration of the contract and deleted 30 days after the account or the organisation is deleted; backups are overwritten at the latest 14 days after that.

5. Payment and invoicing (Stripe)

Paid plans are handled through Stripe (Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Ireland, and Stripe, Inc., South San Francisco, USA). During the order you enter name, billing address, e-mail address, VAT or tax number and your payment method directly with Stripe. Payment method data never reaches our servers. From Stripe we receive the customer number, the state of the subscription, the result of the check of your tax number and the invoices. Stripe also calculates the applicable tax from your billing address (Stripe Tax).

The basis is the performance of the contract (Art. 6(1)(b) GDPR) and our statutory accounting obligations ((c)). Stripe processes payment data partly under its own responsibility (for instance for fraud prevention); see Stripe's privacy policy at stripe.com/privacy. Stripe may transfer data to the USA; Stripe, Inc. is certified under the Swiss-U.S. Data Privacy Framework and the EU-U.S. Data Privacy Framework, and standard contractual clauses apply in addition. We keep invoicing data for ten years.

6. Support

For support requests we process what you tell us and the data of your account needed to resolve the request. We access a shop's configuration only to handle your request.

7. Punchout operation — buyers' data (on behalf of the shop)

What happens. When a procurement system calls a connected shop, punchout.dev creates a punchout session, sends the buyer into the shop and, at the end, hands the confirmed cart over to the return address named by the procurement system, in its protocol (OCI or cXML).

Which data. Per session: a random session id, the return address of the procurement system, the buyer identifier the procurement system sends (the connection's username; for cXML the sender details and a session marker set by the procurement system), the content of the cart page and the cart detected from it (items, quantities, prices). If the shop uses automatic sign-in, the customer reference stored by the shop (the buyer's customer number or e-mail address in the shop) is additionally passed to the shop's plug-in in a signed short-lived token (valid 120 seconds, usable once).

Cart detection with an AI model. The content of the cart page is cleaned before transmission (scripts, form inputs, credentials and similar fields are removed) and sent to a language model (Anthropic Claude, operated through Amazon Bedrock in data centres in the EU) that derives the line items from it. Under its terms the provider does not use this content to train models. No automated decision about persons takes place.

Cookies on the shop page. The snippet stores the session id in the buyer's browser in a strictly necessary cookie with the prefix __pob_sid_ and in the browser's session storage, both limited to the shop's domain and to at most four hours. The snippet reads no other cookies of the shop and sends no data without an active punchout session.

Retention. A punchout session, including the detected cart, is deleted four hours after its creation. What remains permanently are counters per shop and day (sessions, transfers, detections) without personal reference and, for the shop operator's usage view, shortened session ids, the hostname of the return address and the number of line items — never the cart itself. Test punchouts from the portal are kept for 30 days.

Responsibility. The controller for this processing is the operator of the shop concerned; we act as processor on its instructions and conclude a data processing agreement with it on request. Buyers direct requests to the shop they bought from.

8. Recipients and sub-processors

There are no other recipients unless we are legally obliged. Data is not sold and not used for third-party advertising.

9. Logs and security

Our services write structured logs with event, time, shop and user id and a shortened session id. They contain no cart contents, no addresses, no credentials and no e-mail addresses and are deleted after 30 days; the access logs of section 3 after seven days. Daily database backups are kept for 14 days. All connections are TLS-encrypted, passwords and secrets are stored as hashes only, and access to the systems is limited to the controller.

10. Your rights

You have the right to information about your data, to rectification, erasure and restriction of processing, to receive or port the data you provided to us, and to object to processing based on legitimate interest. Send requests tohello@punchout.dev. You may also complain to the Swiss Federal Data Protection and Information Commissioner (FDPIC) or, where the GDPR applies, to the supervisory authority of your place of residence.

11. Changes

We adapt this policy when the service or the legal situation changes. The version published here applies; its date is at the top. The German version is binding.