Semanex e.K.
Lewackerstr. 87
44879 Bochum
Germany
Website: semanex.de
General contacts: info@semanex.de or semanexde@gmail.com
Version: 1.0
Effective date: 3 October 2026
Policy owner: Semanex e.K.
Incident Management Point of Contact (IMPOC): Andrian Semegen, Owner / Security Contact
1. Purpose and scope
This Amazon Data Handling Policy describes how Semanex e.K. receives, accesses, collects, processes, stores, uses, transmits, shares, protects, retains and securely deletes information obtained through the Amazon Selling Partner API and other authorized Amazon Services APIs.
The Policy applies to all employees, contractors, systems, applications, infrastructure components, databases, storage systems, backups, endpoints and service providers that access, process, transmit or store Amazon Information.
Semanex e.K. operates an internal browser-based ERP and order management system for its own Amazon seller accounts. Amazon Information is not processed on behalf of unrelated third-party sellers and is not sold, rented, disclosed for advertising purposes or used for purposes unrelated to the authorized Amazon selling activities.
This Policy is intended to support compliance with the Amazon Data Protection Policy, Amazon Acceptable Use Policy, applicable Amazon Services API agreements, the GDPR and other applicable data-protection, tax and regulatory requirements.
Where Amazon’s requirements are stricter than an internal Semanex rule, the applicable Amazon requirement takes precedence with respect to Amazon Information.
2. Definitions and data classification
For purposes of this Policy, Amazon Information means information received or accessed through an authorized Amazon Services API, including SP-API data.
Personally Identifiable Information (PII) means Amazon Information that identifies, relates to, contacts, locates or may reasonably be linked to an Amazon customer or authorized user.
Semanex classifies Amazon-related information at least into the following categories:
Amazon PII: customer or recipient name, delivery address, billing or business address, telephone number where required, tax registration information including VAT identification numbers, legal business name and other buyer information made available by Amazon and required for authorized purposes.
Amazon non-PII: order identifiers, SKU/product information, quantities, inventory information, prices, fulfillment information, marketplace information, financial information and other Amazon data that does not identify an individual.
Credentials and secrets: API credentials, access tokens, refresh tokens, encryption keys, authentication secrets and administrative credentials.
Security and audit information: authentication records, access attempts, system events, administrative actions, data-access records, security events and vulnerability-management records.
Amazon Information is logically identified or tagged so that its Amazon origin can be determined and applicable retention, access and security controls can be enforced.
3. Authorized purposes and SP-API use
Semanex accesses Amazon Information only to support legitimate business activities relating to its own Amazon seller accounts.
The primary purposes are order processing, inventory and listing management, fulfillment, direct-to-consumer shipping, preparation of shipping documents and labels, transmission of necessary delivery information to contracted carriers, accounting and financial administration, customer service, tax invoicing and fulfillment of applicable legal, tax and regulatory obligations.
Restricted PII is accessed only where necessary for approved restricted SP-API functions.
The Direct-to-Consumer Shipping use case requires recipient information such as the customer’s name, delivery address and, where operationally necessary and supplied by Amazon, telephone number.
The Tax Invoicing use case requires information necessary to create legally compliant invoices, which may include billing or business address, legal name and tax/VAT registration information.
Semanex applies data minimization and does not retrieve or retain Restricted Data that is not required for an approved business purpose.
4. Sources of Amazon Information
Amazon Information is obtained directly from Amazon through authorized Amazon Services APIs, primarily the Amazon Selling Partner API.
Semanex does not use external, non-Amazon sources to obtain additional Amazon Information or to enrich Amazon PII for unrelated purposes.
Data produced internally by the ERP, accounting or fulfillment workflow is kept distinguishable from source data received from Amazon where necessary for compliance and auditability.
5. Data processing record and accountability
Semanex maintains a documented record of processing activities for Amazon PII.
The record identifies, as applicable, the relevant data fields, data category, Amazon source, business purpose, lawful or contractual basis, processing activity, storage location, authorized user groups, external recipients, retention period, deletion procedure and applicable technical and organizational safeguards.
Material changes to Amazon-related processing are reviewed before implementation and the processing record is updated accordingly.
6. Data minimization and purpose limitation
Only Amazon Information that is necessary for an authorized business function may be accessed or processed.
Amazon Information must not be used for unrelated marketing, profiling, resale, data brokerage, unauthorized analytics or any purpose inconsistent with Amazon policies or applicable law.
Access to PII is limited to the minimum amount of information necessary to perform the relevant task.
7. Access control and least privilege
Access to Amazon Information is based on documented business need and the principle of least privilege.
Each authorized employee or administrator receives an individual user account. Generic, shared or default user accounts are prohibited for access to systems containing Amazon Information.
Access rights are role-based and may distinguish, for example, order processing, shipping, accounting, customer service and system administration functions.
Access is denied by default and explicitly granted only where required.
User and service-account permissions are reviewed at least quarterly.
Access is removed or disabled within 24 hours when an employee, contractor or third party leaves the organization, changes role or no longer requires access.
Programmatic and service accounts have documented ownership and are limited to the minimum technical permissions required.
8. Authentication and password management
Multi-factor authentication is required for user accounts with access to systems processing Amazon Information.
Where passwords are used, Semanex requires passwords of at least 12 characters containing upper-case letters, lower-case letters, numbers and special characters. Passwords may not contain identifiable parts of the user’s name.
The minimum password age is one day and the maximum validity period is 365 days.
Password history is maintained to prevent reuse of at least the previous ten passwords.
Passwords are unique and must not be shared between users.
Accounts are locked or otherwise protected after no more than ten consecutive failed authentication attempts.
Suspected compromised credentials are immediately reset, revoked or disabled.
9. Protection of credentials and secrets
Passwords, SP-API credentials, tokens, cryptographic keys and other secrets are not hard-coded into application source code.
Credentials must not be committed to public or unauthorized source-code repositories, written to application logs or stored in unencrypted files.
Secrets are stored only in approved protected credential or secret-storage mechanisms.
Access is limited to authorized personnel and technical services on a need-to-know basis.
Programmatic credentials and Amazon API keys are rotated at least annually and immediately following suspected or confirmed compromise.
Credential access and administrative changes are logged where technically possible.
10. Network and application security
Systems processing Amazon Information are protected using defense-in-depth controls.
Network firewalls, access-control mechanisms and network segmentation are used to limit exposure of sensitive systems and prevent unnecessary lateral access.
Databases and internal storage services containing Amazon Information are not intentionally exposed to the public Internet.
Administrative access is limited to authorized personnel and is performed using encrypted and authenticated protocols.
Internet-facing application endpoints are protected using application-layer security controls such as a Web Application Firewall or equivalent protection.
Intrusion detection/prevention or equivalent threat-detection controls are used to detect and respond to suspicious network activity.
Antivirus, anti-malware, endpoint protection or equivalent cloud-native protections are maintained on applicable systems and endpoints, with automatic updates where available and updates at least monthly otherwise.
11. Endpoint and device security
Amazon Information may be accessed only from approved and appropriately protected systems.
Personal or unmanaged devices may not access Amazon Information unless they are brought under equivalent organizational endpoint-management and security controls.
Endpoint protection may not be disabled by ordinary users.
Approved devices use storage encryption, controlled administrative rights, malware protection and automatic screen locking after no more than 15 minutes of inactivity.
PII must not be copied to unapproved USB devices, removable media, personal mobile phones, personal computers or unsecured consumer cloud-storage services.
An inventory of devices, applications and systems capable of accessing or processing Amazon PII is maintained and reviewed at least quarterly.
12. Encryption in transit
Amazon Information is encrypted whenever transmitted across public networks, network boundaries or to third parties.
HTTPS using TLS 1.2 or higher is required for applicable web and API communication. TLS 1.3 is used where supported and appropriate.
SFTP, SSH-2 or equivalent secure protocols are used where relevant.
Unencrypted transmission mechanisms are disabled or prohibited where Amazon Information may be involved.
Transmission of shipping information to logistics providers takes place through encrypted APIs, secure carrier portals or other approved encrypted communication channels.
13. Encryption at rest and key management
Amazon PII at rest is encrypted using industry-standard encryption of at least AES-128 or RSA-2048 strength or stronger. Semanex’s target standard for stored Amazon PII is AES-256 or an equivalent level of protection.
Production systems are hosted using IONOS Cloud infrastructure. Where IONOS Cloud Block Storage or equivalent encrypted IONOS storage is used, storage encryption is applied to the underlying storage layer.
Databases, applicable storage volumes, document storage and backups containing Amazon PII are protected with encryption at rest.
Cryptographic keys are protected through controlled key-management mechanisms covering key generation, secure storage, access, rotation and revocation.
Key access is separated from ordinary data access wherever technically practicable and is restricted to authorized processes, services and administrators.
Encryption keys are rotated at least annually and immediately revoked or replaced if compromise is suspected or confirmed.
Keys and encrypted data must not be stored together in an unprotected manner.
14. Hosting and infrastructure
The external cloud infrastructure provider used for the Amazon-related ERP environment is:
IONOS Cloud GmbH
Elgendorfer Straße 57
56410 Montabaur
Germany
Semanex remains responsible for configuring and operating its applications, user access, security controls and data handling in accordance with Amazon requirements, regardless of infrastructure outsourcing.
According to the current SP-API infrastructure configuration documented by Semanex, the production environment is located in the IONOS Cloud Paris region (FR/PAR), France, and geographically separated backup storage is maintained in the IONOS Cloud Frankfurt region (DE/FRA), Germany.
These locations must be reflected in the actual active cloud configuration.
15. Backups, disaster recovery and business continuity
Amazon Information included in backups is encrypted.
Backups are logically and geographically separated from the production environment and access is limited to authorized administrators and services.
Backups containing Amazon Information are subject to the same confidentiality, retention, access and deletion requirements as production data.
The currently defined recovery objectives are:
Recovery Point Objective (RPO): maximum 24 hours.
Recovery Time Objective (RTO): maximum 24 hours.
Backup and restoration procedures are documented and recovery tests are conducted at least quarterly.
Failed backup or recovery tests are investigated and corrective measures are documented.
16. Retention of Amazon PII
Operational Amazon PII is retained only as long as required for the approved purpose and no longer than 30 days after order delivery, unless longer retention is required by applicable law.
After the operational retention period, PII is securely deleted or irreversibly anonymized.
Information required by law, including certain tax, accounting or regulatory records, may be retained beyond 30 days only to the extent and for the period legally required.
Long-term legally required records are logically separated from ordinary operational customer records where practicable and may not be reused for unrelated operational, marketing or profiling purposes.
Non-PII Amazon Information is retained only as long as strictly necessary for the documented business, legal, tax or regulatory purpose.
17. Secure deletion and disposal
Deletion applies to production databases, document stores, exports, temporary files, caches and other controlled copies of Amazon Information.
Secure deletion is performed using appropriate industry-standard sanitization procedures, taking into account NIST SP 800-88 principles where applicable.
Backup retention and lifecycle mechanisms are configured so that deleted Amazon PII is also removed from backups within the applicable lifecycle and legal requirements.
Printed material containing PII is minimized and, where generated, is destroyed using an approved secure destruction method when no longer required.
Where Amazon requests deletion or where authorization ends, Amazon Information is permanently and securely deleted within the applicable Amazon-required period unless legal retention is mandatory.
18. External recipients and data sharing
Amazon Information is disclosed externally only where necessary for the approved business function.
The current relevant external parties are:
| External party | Legal address | Purpose |
|---|---|---|
| IONOS Cloud GmbH | Elgendorfer Straße 57, 56410 Montabaur, Germany | Cloud hosting and technical infrastructure |
| DHL Paket GmbH | Charles-de-Gaulle-Str. 20, 53113 Bonn, Germany | Parcel delivery |
| Hermes Germany GmbH | Essener Bogen 1, 22419 Hamburg, Germany | Parcel delivery |
| DPD Deutschland GmbH | Wailandtstraße 1, 63741 Aschaffenburg, Germany | Parcel delivery |
| FedEx Express Deutschland GmbH | Haberstraße 2, 53842 Troisdorf, Germany | Parcel delivery |
Carriers receive only the information required for delivery, such as recipient name, delivery address and, where necessary, telephone number.
Data is transferred using encrypted APIs, protected carrier portals or equivalent secure channels.
Amazon Information is not sold or disclosed to external parties for their own unrelated marketing or commercial purposes.
19. Third-party and supplier risk management
Before a vendor, subcontractor or service provider is permitted to access Amazon Information, its role and need for access are evaluated.
Semanex performs and documents security-risk assessments for relevant vendors and subcontractors at least annually.
Contractual, confidentiality and data-protection obligations are applied where required.
Third-party access is limited to the minimum required scope and is removed when no longer necessary.
Changes to critical third-party services are reviewed for potential security and privacy impact.
20. Logging and audit trails
Security-relevant activities are centrally logged to the extent technically applicable.
Logs include authentication successes and failures, access attempts, timestamps, user or service identities, administrative actions, permission changes, relevant data changes, security events and system errors.
Logs are protected against unauthorized access, modification and deletion.
PII is excluded from security logs unless inclusion is strictly necessary for a lawful requirement.
For systems storing or processing Amazon PII, security logs are retained for at least 12 months.
Logs are reviewed through automated monitoring and/or documented manual review at least every two weeks.
21. Monitoring and detection
Semanex monitors systems processing Amazon Information for suspicious activity.
Monitoring addresses anomalous login behavior, repeated unauthorized API calls, unexpected request rates, unusual data-retrieval volumes, privilege changes, suspicious administrative activity and indicators of unauthorized data movement.
Relevant alerts are investigated and the outcome is documented.
Security monitoring is designed to detect attempts to extract Amazon Information outside approved boundaries.
IDS/IPS, centralized log monitoring, SIEM-equivalent capabilities and other appropriate technical measures may be used according to the applicable system and risk.
22. Vulnerability management
Semanex maintains a documented vulnerability-management process covering all systems, applications and infrastructure components that store, process or transmit Amazon Information.
Vulnerability scans are conducted at least once every 30 days and after significant infrastructure, network or application changes where appropriate.
Application code is scanned or otherwise reviewed for security vulnerabilities before each production release.
A penetration test using an industry-recognized methodology is performed at least once every 365 days and covers relevant external infrastructure, internal boundaries, cloud configuration, web applications, APIs, databases and storage components.
Findings are documented, risk-rated, assigned to an accountable person and tracked through remediation and verification.
Critical-risk vulnerabilities are remediated within 7 days of discovery.
High-risk vulnerabilities are remediated within 30 days of discovery.
A follow-up scan or retest is performed where appropriate to verify remediation.
23. Secure software development
Security requirements are integrated into the software-development lifecycle.
Development, testing and production environments are separated.
Source code is reviewed and/or automatically scanned for relevant vulnerabilities before release.
Sensitive credentials must never be hard-coded.
Dependencies and components are monitored for known security vulnerabilities and patched or replaced as appropriate.
Security-relevant changes are tested before deployment.
Code vulnerabilities discovered during development or production are documented, prioritized, remediated, retested and monitored after deployment.
24. Protection of PII in testing
Production Amazon PII is not used in test environments unless strictly unavoidable and separately protected under all applicable production-level controls.
The standard approach is to use synthetic, anonymized or irreversibly masked test data.
Test environments are separated from production environments and accessible only to authorized persons.
Temporary test data is securely deleted after the test purpose has ended.
25. Change management
Changes affecting systems that process Amazon Information are subject to a documented change-management process.
Changes are documented, risk-assessed, tested and approved before production deployment.
Where practicable, testing and approval responsibilities are separated.
Emergency changes are documented retrospectively and reviewed.
Security controls are reassessed after significant infrastructure, system, application or supplier changes.
26. Security incident response
Semanex maintains a documented Incident Response Plan covering suspected or confirmed unauthorized access, data leakage, credential compromise, malware infection, database compromise, loss of information and other security incidents.
The response process covers preparation, identification, assessment, containment, evidence preservation, eradication, recovery, communication and lessons learned.
Affected accounts, tokens, keys or credentials are blocked, revoked or rotated as necessary.
Affected systems may be isolated and relevant logs and evidence preserved for investigation.
Root cause and impact are assessed and corrective measures are documented.
Semanex maintains an Incident Management Point of Contact (IMPOC) responsible for coordination and escalation.
The Incident Response Plan is reviewed at least every six months, after significant infrastructure changes and after material incidents.
27. Notification of Amazon and authorities
A Security Incident affecting or potentially affecting Amazon Information is reported to security@amazon.com within 24 hours of detection, in accordance with Amazon requirements.
Semanex separately evaluates whether notification of competent authorities, customers or other affected parties is required under applicable law.
Semanex does not represent or speak on Amazon’s behalf to authorities or customers unless expressly authorized by Amazon.
Incident documentation, investigation records and corrective actions are retained as evidence.
28. Risk management
Information-security and privacy risks relating to Amazon Information are identified, assessed, documented and treated through an established risk-management process.
A formal risk assessment is performed at least annually and following material changes where necessary.
Risks are evaluated by likelihood and impact, assigned to responsible persons and tracked through treatment or formally documented acceptance.
Management reviews material risks and remediation status.
29. Employee confidentiality and training
Personnel with access to Amazon Information must have a documented business need.
Employees and contractors with relevant access are bound by confidentiality and data-protection obligations.
Approved Users receive privacy and information-security awareness training at least annually.
Training covers appropriate handling of PII, phishing and credential security, incident reporting, removable-media restrictions, secure authentication and approved data-sharing procedures.
30. Privacy rights and data-subject requests
Semanex maintains procedures for handling requests relating to access, correction, deletion, restriction or other applicable rights under data-protection law.
Requests are identity-verified where appropriate and handled in accordance with applicable legal requirements and the respective responsibilities of Semanex and Amazon.
Relevant records of requests and actions taken are retained as compliance evidence.
31. Compliance records and evidence
Semanex maintains documentation reasonably necessary to demonstrate compliance with this Policy and applicable Amazon requirements.
Evidence may include policies, processing records, access reviews, asset inventories, security logs, training records, vulnerability reports, penetration-test reports, remediation tickets, backup tests, incident records, risk assessments and supplier reviews.
Such records are protected from unauthorized access and are made available to Amazon where contractually required.
32. Policy review and maintenance
This Policy is reviewed at least annually and whenever significant changes occur to Amazon requirements, applicable law, the ERP application, infrastructure, processing purposes or relevant service providers.
Security-specific procedures with shorter required review cycles, including the Incident Response Plan, are reviewed according to their applicable cadence.
Material policy updates are approved by Semanex management and communicated to relevant personnel.
AMAZON-DATENVERARBEITUNGSRICHTLINIE
Amazon Data Handling Policy – Deutsche Fassung
Semanex e.K.
Lewackerstr. 87
44879 Bochum
Deutschland
Website: semanex.de
Allgemeiner Kontakt: info@semanex.de oder semanexde@gmail.com
Version: 1.0
Gültig ab: 3. Oktober 2026
Verantwortliches Unternehmen: Semanex e.K.
Incident Management Point of Contact (IMPOC): Andrian Semegen, Inhaber / Security Contact
1. Zweck und Geltungsbereich
Diese Amazon-Datenverarbeitungsrichtlinie beschreibt, wie Semanex e.K. Informationen, die über die Amazon Selling Partner API oder andere autorisierte Amazon Services APIs bereitgestellt werden, empfängt, abruft, erhebt, verarbeitet, speichert, verwendet, überträgt, weitergibt, schützt, aufbewahrt und sicher löscht.
Die Richtlinie gilt für sämtliche Mitarbeiter, Auftragnehmer, Systeme, Anwendungen, Infrastrukturkomponenten, Datenbanken, Speichersysteme, Sicherungen und Endgeräte sowie externe Dienstleister, die auf Amazon-Informationen zugreifen oder diese speichern, verarbeiten oder übertragen.
Semanex e.K. betreibt ein internes browserbasiertes ERP- und Auftragsverwaltungssystem zur Verwaltung der eigenen Amazon-Verkäuferkonten. Amazon-Informationen werden nicht im Auftrag unabhängiger Drittverkäufer verarbeitet und weder verkauft noch vermietet noch für fremde Werbezwecke oder andere nicht autorisierte Zwecke verwendet.
Diese Richtlinie dient insbesondere der Einhaltung der Amazon Data Protection Policy, der Amazon Acceptable Use Policy, der einschlägigen Amazon-Services-API-Vereinbarungen sowie der anwendbaren Datenschutz-, Steuer- und sonstigen gesetzlichen Anforderungen einschließlich der DSGVO.
Soweit Anforderungen von Amazon für Amazon-Informationen strenger sind als interne Regelungen von Semanex, gelten für die Verarbeitung von Amazon-Informationen die jeweils anwendbaren strengeren Anforderungen.
2. Begriffsbestimmungen und Datenklassifizierung
Als Amazon-Informationen gelten Informationen, die über eine autorisierte Amazon Services API, insbesondere die Selling Partner API, bereitgestellt oder abgerufen werden.
Als personenbezogene Daten bzw. PII gelten Amazon-Informationen, anhand derer ein Amazon-Kunde oder autorisierter Nutzer identifiziert, kontaktiert, zugeordnet oder lokalisiert werden kann.
Amazon-bezogene Informationen werden mindestens in folgende Kategorien eingeteilt:
Amazon-PII: insbesondere Name des Kunden oder Empfängers, Lieferadresse, Rechnungs- oder Geschäftsadresse, soweit erforderlich Telefonnummer, steuerliche Registrierungsdaten einschließlich Umsatzsteuer-Identifikationsnummern, Firmenname sowie weitere von Amazon bereitgestellte und für einen genehmigten Zweck erforderliche Käuferinformationen.
Amazon-Daten ohne PII: insbesondere Bestellnummern, SKU- und Produktinformationen, Mengen, Bestandsinformationen, Preise, Fulfillment-Informationen, Marketplace-Daten und sonstige Informationen ohne unmittelbaren Personenbezug.
Anmeldedaten und Geheimnisse: API-Zugangsdaten, Access Tokens, Refresh Tokens, Verschlüsselungsschlüssel, Authentifizierungsgeheimnisse und administrative Zugangsdaten.
Sicherheits- und Auditdaten: Anmeldeereignisse, Zugriffsversuche, Systemereignisse, administrative Aktionen, Datenzugriffsereignisse, Sicherheitsereignisse und Dokumentationen des Schwachstellenmanagements.
Amazon-Informationen werden technisch oder organisatorisch so gekennzeichnet bzw. zugeordnet, dass ihre Herkunft festgestellt und die jeweiligen Aufbewahrungs-, Zugriffs- und Sicherheitsregeln angewendet werden können.
3. Zulässige Zwecke und Nutzung der SP-API
Semanex greift ausschließlich für legitime Geschäftszwecke im Zusammenhang mit den eigenen Amazon-Verkäuferkonten auf Amazon-Informationen zu.
Hierzu gehören insbesondere Auftragsabwicklung, Bestands- und Angebotsverwaltung, Fulfillment, Direktversand an Kunden, Erstellung von Versandunterlagen und Versandetiketten, Übermittlung der erforderlichen Versanddaten an beauftragte Versanddienstleister, Buchhaltung und Finanzverwaltung, Kundenservice, Erstellung steuerkonformer Rechnungen sowie die Erfüllung gesetzlicher, steuerlicher und regulatorischer Pflichten.
Der Zugriff auf eingeschränkte personenbezogene Daten erfolgt ausschließlich, soweit dies für genehmigte Restricted Roles erforderlich ist.
Für den Direktversand werden insbesondere Empfängername, Lieferadresse sowie – soweit erforderlich und von Amazon bereitgestellt – Telefonnummer verarbeitet.
Für die Steuerabrechnung bzw. Tax Invoicing werden die für gesetzeskonforme Rechnungen erforderlichen Daten verarbeitet, insbesondere Rechnungs- bzw. Geschäftsadresse, Firmenname und vorhandene steuerliche Registrierungsdaten wie Umsatzsteuer-Identifikationsnummern.
Es gilt der Grundsatz der Datenminimierung. Nicht erforderliche Restricted Data werden weder abgerufen noch aufbewahrt.
4. Quellen der Amazon-Informationen
Amazon-Informationen werden ausschließlich direkt von Amazon über autorisierte Amazon Services APIs, insbesondere die Amazon Selling Partner API, bezogen.
Externe, nicht von Amazon stammende Quellen werden nicht verwendet, um Amazon-PII zu ergänzen oder für sachfremde Zwecke anzureichern.
Vom internen ERP-, Buchhaltungs- oder Versandprozess erzeugte Daten werden, soweit für Nachvollziehbarkeit und Compliance erforderlich, von den ursprünglich von Amazon erhaltenen Informationen unterscheidbar gehalten.
5. Verzeichnis der Verarbeitungstätigkeiten und Verantwortlichkeit
Semanex führt ein dokumentiertes Verzeichnis der Verarbeitungstätigkeiten für Amazon-PII.
Darin werden je nach Verarbeitung insbesondere Datenfelder und Datenkategorien, Quelle, Zweck, Rechts- bzw. Verarbeitungsgrundlage, Art der Verarbeitung, Speicherort, zugriffsberechtigte Benutzergruppen, externe Empfänger, Aufbewahrungsfrist, Löschverfahren sowie technische und organisatorische Schutzmaßnahmen dokumentiert.
Wesentliche Änderungen der Amazon-Datenverarbeitung werden vor ihrer Einführung geprüft und im Verzeichnis aktualisiert.
6. Datenminimierung und Zweckbindung
Es dürfen nur diejenigen Amazon-Informationen abgerufen und verarbeitet werden, die für die jeweilige autorisierte Geschäftsfunktion erforderlich sind.
Amazon-Informationen dürfen nicht für sachfremde Werbung, Profiling, Verkauf von Daten, Data Brokering oder andere mit den Amazon-Richtlinien bzw. gesetzlichen Anforderungen unvereinbare Zwecke verwendet werden.
Der Zugriff auf PII wird auf das für die jeweilige Aufgabe erforderliche Minimum beschränkt.
7. Zugriffsverwaltung und Least-Privilege-Prinzip
Der Zugriff auf Amazon-Informationen wird ausschließlich aufgrund eines dokumentierten geschäftlichen Bedarfs und nach dem Least-Privilege-Prinzip gewährt.
Jeder zugelassene Mitarbeiter und Administrator verwendet ein individuelles Benutzerkonto. Generische, gemeinsam genutzte oder unveränderte Standardkonten sind für Systeme mit Amazon-Informationen unzulässig.
Berechtigungen werden rollenbasiert vergeben und können beispielsweise zwischen Auftragsbearbeitung, Versand, Buchhaltung, Kundenservice und Systemadministration unterscheiden.
Zugriff ist grundsätzlich verweigert und wird ausschließlich bei tatsächlichem Bedarf ausdrücklich freigegeben.
Berechtigungen von Personen und Diensten werden mindestens vierteljährlich überprüft.
Bei Ausscheiden eines Mitarbeiters oder Auftragnehmers, Rollenwechsel oder Wegfall des geschäftlichen Bedarfs wird der Zugriff spätestens innerhalb von 24 Stunden entzogen bzw. deaktiviert.
Für Dienstkonten und programmatischen Zugriff bestehen dokumentierte Verantwortlichkeiten und auf das technisch Erforderliche beschränkte Berechtigungen.
8. Authentifizierung und Passwortverwaltung
Für Benutzerkonten mit Zugriff auf Systeme, die Amazon-Informationen verarbeiten, ist Multi-Faktor-Authentifizierung vorgeschrieben.
Soweit Passwörter verwendet werden, müssen sie mindestens 12 Zeichen lang sein und Großbuchstaben, Kleinbuchstaben, Zahlen und Sonderzeichen enthalten. Sie dürfen keine erkennbaren Bestandteile des Benutzernamens enthalten.
Das Mindestpasswortalter beträgt einen Tag. Die maximale Passwortgültigkeit beträgt 365 Tage.
Der Passwortverlauf verhindert die Wiederverwendung mindestens der letzten zehn Passwörter.
Passwörter sind personenbezogen und dürfen nicht zwischen Nutzern geteilt werden.
Nach spätestens zehn aufeinanderfolgenden fehlgeschlagenen Anmeldeversuchen erfolgt eine Sperrung oder gleichwertige Schutzmaßnahme.
Bei Verdacht auf Kompromittierung werden betroffene Zugangsdaten unverzüglich geändert, gesperrt oder widerrufen.
9. Schutz von Anmeldedaten und Secrets
Passwörter, SP-API-Zugangsdaten, Tokens, Verschlüsselungsschlüssel und sonstige Secrets dürfen nicht fest im Quellcode hinterlegt werden.
Anmeldedaten dürfen weder in öffentlichen bzw. unberechtigten Quellcode-Repositories gespeichert noch in Anwendungsprotokolle geschrieben oder in unverschlüsselten Dateien aufbewahrt werden.
Secrets werden ausschließlich in dafür freigegebenen geschützten Credential- bzw. Secret-Speichern gespeichert.
Der Zugriff ist auf berechtigte Mitarbeiter und technische Dienste nach dem Need-to-know- und Least-Privilege-Prinzip beschränkt.
Programmatische Zugangsdaten und Amazon-API-Schlüssel werden mindestens jährlich sowie unverzüglich nach vermuteter oder bestätigter Kompromittierung rotiert.
Zugriffe auf Zugangsdaten und administrative Änderungen werden, soweit technisch möglich, protokolliert.
10. Netzwerk- und Anwendungsschutz
Systeme, die Amazon-Informationen verarbeiten, werden durch ein mehrschichtiges Sicherheitskonzept geschützt.
Netzwerkfirewalls, Zugriffskontrollmechanismen und Netzwerksegmentierung dienen dazu, sensible Systeme zu isolieren und unnötige laterale Zugriffe zu verhindern.
Datenbanken und interne Speicherdienste mit Amazon-Informationen werden nicht absichtlich öffentlich aus dem Internet erreichbar gemacht.
Administrative Zugriffe werden auf autorisierte Personen beschränkt und erfolgen über authentifizierte, verschlüsselte Protokolle.
Öffentlich erreichbare Anwendungsendpunkte werden durch Anwendungsschutzmaßnahmen wie Web Application Firewall oder gleichwertige Kontrollen geschützt.
IDS/IPS oder gleichwertige Erkennungs- und Schutzmechanismen dienen der Erkennung verdächtiger oder schädlicher Netzwerkaktivitäten.
Auf relevanten Servern und Endgeräten werden aktuelle Antivirus-, Anti-Malware-, Endpoint-Protection- oder gleichwertige cloudnative Schutzmechanismen eingesetzt. Automatische Aktualisierung wird aktiviert, soweit verfügbar; andernfalls erfolgen Aktualisierungen mindestens monatlich.
11. Endgeräte- und Gerätesicherheit
Der Zugriff auf Amazon-Informationen ist ausschließlich von freigegebenen und angemessen geschützten Systemen zulässig.
Private oder nicht verwaltete Endgeräte dürfen nicht auf Amazon-Informationen zugreifen, soweit sie nicht durch gleichwertige zentrale Endpoint-Sicherheitskontrollen in die Unternehmensrichtlinien eingebunden sind.
Normale Benutzer dürfen den Endpunktschutz nicht deaktivieren.
Freigegebene Endgeräte verfügen über Speicherverschlüsselung, kontrollierte Administratorrechte, Malware-Schutz und eine automatische Bildschirmsperre nach spätestens 15 Minuten Inaktivität.
Amazon-PII darf nicht auf nicht freigegebene USB-Sticks, Wechselmedien, private Mobiltelefone, private Computer oder ungesicherte Consumer-Cloudspeicher kopiert werden.
Ein Verzeichnis der Geräte, Anwendungen und Systeme mit Zugriff auf Amazon-PII wird geführt und mindestens vierteljährlich überprüft.
12. Verschlüsselung während der Übertragung
Amazon-Informationen werden bei der Übertragung über öffentliche Netzwerke, Netzwerkgrenzen oder an externe Parteien verschlüsselt.
Für Web- und API-Kommunikation wird HTTPS mit TLS 1.2 oder höher eingesetzt. TLS 1.3 wird verwendet, soweit es von der jeweiligen Plattform unterstützt wird und geeignet ist.
Soweit erforderlich, werden SFTP, SSH-2 oder gleichwertige sichere Protokolle verwendet.
Unverschlüsselte Übertragungsverfahren werden für Amazon-Informationen deaktiviert bzw. untersagt.
Die Übermittlung von Versanddaten an Versanddienstleister erfolgt über verschlüsselte APIs, geschützte Versandportale oder gleichwertig abgesicherte Kommunikationswege.
13. Verschlüsselung im Ruhezustand und Schlüsselverwaltung
Amazon-PII wird im Ruhezustand mindestens mit AES-128 bzw. RSA-2048 oder einem höheren Sicherheitsniveau verschlüsselt. Für gespeicherte Amazon-PII verwendet Semanex grundsätzlich AES-256 oder ein gleichwertiges Schutzniveau.
Die produktiven Systeme werden auf Infrastruktur der IONOS Cloud betrieben. Soweit IONOS Cloud Block Storage oder ein vergleichbarer verschlüsselter IONOS-Speicher eingesetzt wird, wird die entsprechende Speicherverschlüsselung verwendet.
Datenbanken, relevante Speichervolumes, Dokumentenspeicher und Sicherungen mit Amazon-PII werden im Ruhezustand verschlüsselt.
Die Schlüsselverwaltung umfasst den gesamten Schlüssel-Lebenszyklus, insbesondere sichere Erzeugung, Speicherung, Zugriff, Rotation und Widerruf.
Der Zugriff auf Schlüssel ist, soweit technisch möglich, von gewöhnlichem Datenzugriff getrennt und auf berechtigte Prozesse, Dienste und Administratoren beschränkt.
Verschlüsselungsschlüssel werden mindestens jährlich rotiert und bei vermuteter oder bestätigter Kompromittierung unverzüglich gesperrt bzw. ersetzt.
Schlüssel und verschlüsselte Daten dürfen nicht gemeinsam ungeschützt gespeichert werden.
14. Hosting und Infrastruktur
Für die Amazon-bezogene ERP-Infrastruktur wird folgender externer Cloud-Anbieter eingesetzt:
IONOS Cloud GmbH
Elgendorfer Straße 57
56410 Montabaur
Deutschland
Die Nutzung eines externen Cloud-Anbieters entbindet Semanex nicht von der Verantwortung für die sichere Konfiguration und den Betrieb der eigenen Anwendung, Benutzerberechtigungen und Datenverarbeitung.
Gemäß der derzeit für das SP-API-Profil dokumentierten Infrastruktur befindet sich das Produktivsystem in der IONOS-CLOUD-Region Paris (FR/PAR), Frankreich. Das geografisch getrennte Backup wird in der IONOS-CLOUD-Region Frankfurt (DE/FRA), Deutschland, gespeichert.
Diese Angabe ist fortlaufend mit der tatsächlich aktiven Cloud-Konfiguration abzugleichen.
15. Backups, Disaster Recovery und Business Continuity
Backups mit Amazon-Informationen werden verschlüsselt gespeichert.
Die Sicherungen sind logisch und geografisch vom Produktivsystem getrennt und ausschließlich berechtigten Administratoren und Diensten zugänglich.
Für Sicherungskopien gelten dieselben Vertraulichkeits-, Zugriffs-, Aufbewahrungs- und Löschanforderungen wie für die Produktivdaten.
Die definierten Wiederherstellungsziele betragen:
Recovery Point Objective (RPO): maximal 24 Stunden.
Recovery Time Objective (RTO): maximal 24 Stunden.
Backup- und Wiederherstellungsverfahren werden dokumentiert und mindestens vierteljährlich getestet.
Fehlgeschlagene Backup- oder Restore-Tests werden untersucht und Korrekturmaßnahmen dokumentiert.
16. Aufbewahrung von Amazon-PII
Operative Amazon-PII werden ausschließlich so lange gespeichert, wie sie für den genehmigten Zweck erforderlich sind, und grundsätzlich nicht länger als 30 Tage nach Zustellung der Bestellung.
Danach werden die entsprechenden PII sicher gelöscht oder irreversibel anonymisiert.
Informationen, die aufgrund zwingender gesetzlicher, steuerlicher oder regulatorischer Vorschriften länger aufbewahrt werden müssen, dürfen über diesen Zeitraum hinaus ausschließlich im gesetzlich erforderlichen Umfang und für den jeweiligen gesetzlichen Zweck gespeichert werden.
Gesetzlich länger aufzubewahrende Dokumente werden, soweit möglich, von operativen Kundendaten logisch getrennt und dürfen nicht für sachfremde operative, Werbe- oder Profiling-Zwecke weiterverwendet werden.
Amazon-Informationen ohne PII werden nur so lange aufbewahrt, wie dies für den dokumentierten geschäftlichen, steuerlichen, regulatorischen oder gesetzlichen Zweck erforderlich ist.
17. Sichere Löschung und Vernichtung
Die Löschung umfasst Produktivdatenbanken, Dokumentenspeicher, Exporte, temporäre Dateien, Caches und sonstige kontrollierte Kopien von Amazon-Informationen.
Die sichere Löschung erfolgt nach geeigneten anerkannten Sanitization-Verfahren unter Berücksichtigung der Grundsätze des NIST SP 800-88, soweit anwendbar.
Backup- und Lifecycle-Prozesse werden so gestaltet, dass gelöschte Amazon-PII nach Maßgabe der zulässigen Backup- und gesetzlichen Aufbewahrungsfristen ebenfalls aus Sicherungen entfernt werden.
Ausdrucke mit PII werden auf das erforderliche Minimum beschränkt und nach Wegfall des Zwecks durch geeignete sichere Verfahren vernichtet.
Verlangt Amazon die Löschung oder endet die Berechtigung zur Verarbeitung, werden Amazon-Informationen innerhalb der jeweils geltenden Amazon-Fristen endgültig und sicher gelöscht, soweit keine zwingende gesetzliche Aufbewahrungspflicht entgegensteht.
18. Externe Empfänger und Weitergabe
Amazon-Informationen werden nur an externe Parteien weitergegeben, soweit dies für die jeweilige genehmigte Geschäftsfunktion erforderlich ist.
Die derzeit relevanten externen Parteien sind:
| Externe Partei | Juristische Anschrift | Zweck |
|---|---|---|
| IONOS Cloud GmbH | Elgendorfer Straße 57, 56410 Montabaur, Deutschland | Cloud-Hosting und technische Infrastruktur |
| DHL Paket GmbH | Charles-de-Gaulle-Str. 20, 53113 Bonn, Deutschland | Paketversand |
| Hermes Germany GmbH | Essener Bogen 1, 22419 Hamburg, Deutschland | Paketversand |
| DPD Deutschland GmbH | Wailandtstraße 1, 63741 Aschaffenburg, Deutschland | Paketversand |
| FedEx Express Deutschland GmbH | Haberstraße 2, 53842 Troisdorf, Deutschland | Paketversand |
Versanddienstleister erhalten ausschließlich die für die Zustellung erforderlichen Informationen, insbesondere Empfängername, Lieferadresse sowie gegebenenfalls Telefonnummer.
Die Übertragung erfolgt über verschlüsselte APIs, geschützte Versandportale oder gleichwertige sichere Übertragungswege.
Amazon-Informationen werden nicht an externe Parteien zum Zweck fremder Werbung, Datenvermarktung oder anderer nicht mit der Leistungserbringung zusammenhängender Zwecke verkauft oder weitergegeben.
19. Risikomanagement für Dienstleister und Subunternehmer
Bevor ein Dienstleister, Anbieter oder Subunternehmer Zugriff auf Amazon-Informationen erhält, werden dessen Rolle und geschäftliche Notwendigkeit geprüft.
Für relevante Dienstleister und Subunternehmer wird mindestens jährlich eine dokumentierte Sicherheits- bzw. Risikoprüfung durchgeführt.
Soweit erforderlich, werden vertragliche Datenschutz-, Sicherheits- und Vertraulichkeitsverpflichtungen vereinbart.
Zugriffsrechte Dritter werden auf das erforderliche Minimum beschränkt und nach Wegfall der Notwendigkeit entfernt.
Wesentliche Änderungen bei kritischen Dienstleistern werden auf mögliche Auswirkungen auf Datenschutz und Informationssicherheit geprüft.
20. Sicherheitsprotokollierung und Audit Trails
Sicherheitsrelevante Aktivitäten werden, soweit technisch anwendbar, zentral protokolliert.
Erfasst werden insbesondere erfolgreiche und fehlgeschlagene Anmeldungen, Zugriffsversuche, Zeitstempel, Benutzer- bzw. Dienstidentitäten, administrative Aktionen, Berechtigungsänderungen, relevante Datenänderungen, Sicherheitsereignisse und Systemfehler.
Protokolle werden gegen unberechtigten Zugriff, Manipulation und Löschung geschützt.
Personenbezogene Daten werden grundsätzlich nicht in Sicherheitsprotokollen gespeichert, sofern dies nicht aus gesetzlichen Gründen erforderlich ist.
Für Systeme, die Amazon-PII speichern oder verarbeiten, werden Sicherheitsprotokolle mindestens 12 Monate aufbewahrt.
Die Überprüfung erfolgt mittels automatisierter Überwachung und/oder dokumentierter manueller Kontrolle mindestens alle zwei Wochen.
21. Überwachung und Erkennung
Systeme mit Amazon-Informationen werden auf verdächtige Aktivitäten überwacht.
Hierzu zählen insbesondere ungewöhnliche Anmeldeversuche, wiederholte unautorisierte API-Aufrufe, unerwartete Abrufraten oder Datenvolumina, Änderungen von Berechtigungen, verdächtige administrative Aktionen und Hinweise auf unzulässige Datenübertragung.
Relevante Warnmeldungen werden untersucht und die Ergebnisse dokumentiert.
Die Überwachung soll insbesondere erkennen, ob Amazon-Informationen die vorgesehenen geschützten Systemgrenzen unberechtigt verlassen.
Abhängig von System und Risikosituation können IDS/IPS, zentrale Protokollüberwachung, SIEM-gleichwertige Funktionen und andere geeignete technische Maßnahmen eingesetzt werden.
22. Schwachstellenmanagement
Semanex unterhält ein dokumentiertes Schwachstellenmanagement für sämtliche Systeme, Anwendungen und Infrastrukturkomponenten, die Amazon-Informationen speichern, verarbeiten oder übertragen.
Schwachstellenscans werden mindestens alle 30 Tage durchgeführt sowie, soweit erforderlich, nach wesentlichen Änderungen an Anwendungen, Netzwerken oder Infrastruktur.
Anwendungscode wird vor jeder Produktivveröffentlichung auf relevante Sicherheitslücken geprüft bzw. gescannt.
Mindestens alle 365 Tage wird ein Penetrationstest nach einer anerkannten Methodik durchgeführt. Dieser umfasst die relevanten extern erreichbaren Systeme, internen Grenzen, Cloud-Konfigurationen, Webanwendungen, APIs, Datenbanken und Speichersysteme.
Festgestellte Schwachstellen werden dokumentiert, nach Risiko priorisiert, einer verantwortlichen Person mit Frist zugeordnet und bis zur vollständigen Behebung und Verifikation nachverfolgt.
Kritische Schwachstellen werden spätestens innerhalb von 7 Tagen nach Feststellung behoben.
Schwachstellen mit hohem Risiko werden spätestens innerhalb von 30 Tagen nach Feststellung behoben.
Nach der Behebung erfolgt, soweit angemessen, ein Kontrollscan bzw. Retest.
23. Sichere Softwareentwicklung
Informationssicherheit ist Bestandteil des Softwareentwicklungszyklus.
Entwicklungs-, Test- und Produktivumgebungen werden voneinander getrennt.
Quellcode wird vor der Bereitstellung durch Code-Review und/oder automatisierte Sicherheitsprüfungen auf relevante Schwachstellen untersucht.
Sensible Zugangsdaten dürfen nicht im Quellcode hinterlegt werden.
Softwareabhängigkeiten und Komponenten werden auf bekannte Sicherheitslücken überwacht und bei Bedarf aktualisiert oder ersetzt.
Sicherheitsrelevante Änderungen werden vor der Produktivsetzung getestet.
Während Entwicklung oder Betrieb entdeckte Code-Schwachstellen werden dokumentiert, priorisiert, behoben, erneut geprüft und nach der Bereitstellung überwacht.
24. Schutz von PII in Testumgebungen
Produktive Amazon-PII werden grundsätzlich nicht in Testumgebungen verwendet.
Für Tests werden synthetische, anonymisierte oder irreversibel maskierte Testdaten eingesetzt.
Test- und Produktivsysteme sind voneinander getrennt.
Der Zugriff auf die Testumgebung ist auf autorisierte Personen beschränkt.
Temporäre Testdaten werden nach Abschluss der jeweiligen Tests sicher gelöscht.
Sollte die Verwendung produktiver PII in einem Ausnahmefall technisch zwingend erforderlich sein, müssen sämtliche für Produktionsdaten geltenden Sicherheitsmaßnahmen auch auf diese Testdaten angewendet und der Ausnahmefall dokumentiert werden.
25. Change Management
Änderungen an Systemen, die Amazon-Informationen verarbeiten, unterliegen einem dokumentierten Change-Management-Prozess.
Änderungen werden dokumentiert, hinsichtlich ihres Risikos bewertet, getestet und vor Produktivsetzung genehmigt.
Soweit organisatorisch möglich, werden Test- und Freigabeverantwortlichkeiten voneinander getrennt.
Notfalländerungen werden nachträglich dokumentiert und überprüft.
Nach wesentlichen Änderungen an Infrastruktur, Anwendungen, Systemen oder Dienstleistern werden die betroffenen Sicherheitskontrollen erneut bewertet.
26. Reaktion auf Sicherheitsvorfälle
Semanex unterhält einen dokumentierten Incident-Response-Plan für vermutete und bestätigte Sicherheitsvorfälle wie unbefugten Zugriff, Datenlecks, kompromittierte Zugangsdaten, Malware-Befall, Datenbankkompromittierung oder Verlust von Informationen.
Der Incident-Response-Prozess umfasst Vorbereitung, Erkennung, Bewertung, Eindämmung, Beweissicherung, Beseitigung der Ursache, Wiederherstellung, Kommunikation und Lessons Learned.
Betroffene Benutzerkonten, Tokens, Schlüssel oder Zugangsdaten werden entsprechend der Risikolage gesperrt, widerrufen oder rotiert.
Betroffene Systeme können isoliert und relevante Protokolle und Beweismittel für die Untersuchung gesichert werden.
Ursache und Auswirkungen des Vorfalls werden analysiert und Korrekturmaßnahmen dokumentiert.
Semanex benennt einen aktuellen Incident Management Point of Contact (IMPOC), der für Koordination und Eskalation zuständig ist.
Der Incident-Response-Plan wird mindestens halbjährlich, nach wesentlichen Änderungen der Infrastruktur sowie nach relevanten Sicherheitsvorfällen überprüft.
27. Meldung an Amazon und Behörden
Ein Sicherheitsvorfall, der Amazon-Informationen betrifft oder möglicherweise betrifft, wird gemäß den Anforderungen von Amazon innerhalb von 24 Stunden nach seiner Entdeckung an security@amazon.com gemeldet.
Unabhängig davon wird geprüft, ob nach geltendem Recht eine Meldung an Datenschutz-, Sicherheits- oder sonstige zuständige Behörden bzw. an betroffene Personen erforderlich ist.
Semanex spricht gegenüber Behörden oder Kunden nicht im Namen von Amazon, sofern Amazon dies nicht ausdrücklich schriftlich verlangt bzw. genehmigt.
Untersuchung, Maßnahmen, Beweise und Korrekturmaßnahmen werden dokumentiert.
28. Risikomanagement
Informationssicherheits- und Datenschutzrisiken im Zusammenhang mit Amazon-Informationen werden identifiziert, bewertet, dokumentiert und behandelt.
Mindestens jährlich sowie bei wesentlichen Änderungen wird eine formale Risikobewertung durchgeführt.
Risiken werden nach Eintrittswahrscheinlichkeit und Auswirkung bewertet, Verantwortlichen zugewiesen und bis zur Behandlung bzw. dokumentierten Risikoakzeptanz verfolgt.
Wesentliche Risiken und der Stand der Korrekturmaßnahmen werden durch die Unternehmensleitung überprüft.
29. Vertraulichkeit und Schulung der Mitarbeiter
Zugriff auf Amazon-Informationen erhalten ausschließlich Personen mit dokumentierter geschäftlicher Notwendigkeit.
Mitarbeiter und Auftragnehmer mit entsprechendem Zugriff werden zu Vertraulichkeit und Datenschutz verpflichtet.
Zugelassene Benutzer nehmen mindestens einmal jährlich an Datenschutz- und IT-Sicherheitsschulungen teil.
Die Schulungen umfassen insbesondere sicheren Umgang mit personenbezogenen Daten, Phishing- und Credential-Risiken, Meldung von Sicherheitsvorfällen, Umgang mit Wechselmedien, sichere Authentifizierung und zulässige Datenweitergabe.
30. Datenschutzrechte und Betroffenenanfragen
Semanex unterhält dokumentierte Verfahren zur Bearbeitung von Anfragen hinsichtlich Auskunft, Berichtigung, Löschung, Einschränkung oder anderer nach dem jeweils anwendbaren Datenschutzrecht bestehender Rechte.
Die Identität des Antragstellers wird erforderlichenfalls geprüft.
Die Anfrage wird entsprechend der jeweiligen datenschutzrechtlichen Verantwortung von Semanex und Amazon bearbeitet.
Anfragen und die jeweils getroffenen Maßnahmen werden soweit erforderlich als Compliance-Nachweis dokumentiert.
31. Compliance-Nachweise und Dokumentation
Semanex hält die Dokumentation vor, die erforderlich ist, um die Einhaltung dieser Richtlinie und der anwendbaren Amazon-Anforderungen nachvollziehbar zu belegen.
Dazu können insbesondere Richtlinien, Verarbeitungsverzeichnisse, Berechtigungsprüfungen, Asset-Inventare, Sicherheitsprotokolle, Schulungsnachweise, Schwachstellenberichte, Penetrationstestberichte, Remediation-Nachweise, Backup-Tests, Incident-Aufzeichnungen, Risikobewertungen und Dienstleisterprüfungen gehören.
Diese Nachweise werden gegen unbefugten Zugriff geschützt und Amazon zur Verfügung gestellt, soweit dies nach den geltenden Vereinbarungen erforderlich ist.
32. Überprüfung und Aktualisierung der Richtlinie
Diese Richtlinie wird mindestens jährlich sowie bei wesentlichen Änderungen der Amazon-Anforderungen, gesetzlichen Vorgaben, ERP-Anwendung, Infrastruktur, Verarbeitungszwecke oder relevanten Dienstleister überprüft.
Für Sicherheitsprozesse mit kürzeren vorgeschriebenen Prüfintervallen gelten die jeweiligen besonderen Fristen; insbesondere wird der Incident-Response-Plan mindestens halbjährlich überprüft.
Wesentliche Änderungen dieser Richtlinie werden von der Unternehmensleitung genehmigt und den betroffenen Mitarbeitern mitgeteilt.