Datenklassifizierungsrichtlinie

Die vom Unternehmen gehaltenen Informationen unterscheiden sich erheblich in ihrer Sensibilität. Informationen, die bereits auf dem Marketplace veröffentlicht wurden, erfordern wesentlich weniger Schutz als die Finanzdaten eines Verkäufers, und die Finanzdaten eines Verkäufers erfordern wesentlich weniger Schutz als die Authentifizierungsinformationen und das kryptografische Schlüsselmaterial des Unternehmens. Diese Richtlinie legt das Schema fest, nach dem solche Informationen unterschieden werden. Dasselbe Schema wird im Detail in der umfassenderen Asset-Management- und Datenklassifizierungsrichtlinie des Unternehmens beschrieben; dieses Dokument stellt die eigenständige Erklärung dieses Schemas dar.

Der Zweck dieser Richtlinie besteht darin, festzulegen, wie das Unternehmen Informationen entsprechend ihrer Sensibilität klassifiziert und welche Anforderungen an Speicherung, Übertragung und Entsorgung für jede Klassifizierungsstufe gelten, sodass der Schutz angemessen zur Sensibilität und nicht einheitlich angewendet wird.

Diese Richtlinie gilt für alle Informationen, die vom Unternehmen im Zusammenhang mit der Plattform oder dem Marketplace erstellt, empfangen, gespeichert, verarbeitet oder übertragen werden, in jeglicher Form, einschließlich Informationen, die mit einem Hosting-Anbieter, einem Zahlungspartner, einem Lieferpartner oder einem Marketplace-Kanal geteilt oder von diesem empfangen werden.

Informationen werden als Öffentlich, Intern, Vertraulich oder Streng Vertraulich klassifiziert.

Öffentliche Informationen sind Informationen, die ausdrücklich zur Freigabe außerhalb des Unternehmens genehmigt wurden und keiner Vertraulichkeitserwartung unterliegen, einschließlich veröffentlichter Marketinginhalte, der öffentlichen Datenschutzrichtlinie und Nutzungsbedingungen sowie Produktangeboten auf dem Marketplace.

Interne Informationen sind Informationen, die nicht für die öffentliche Verbreitung bestimmt sind, deren Offenlegung keinen schwerwiegenden Schaden verursachen würde und die innerhalb des Unternehmens allgemein zugänglich sind, einschließlich routinemäßiger interner Dokumentation.

Vertrauliche Informationen sind Informationen, deren unbefugte Offenlegung dem Unternehmen, einem Kunden oder einer Einzelperson erheblichen Schaden zufügen würde, einschließlich Verkäufer- und Käuferkontodaten, kommerzieller Vertragsbedingungen, Quellcode und den Ergebnissen von Due-Diligence-Prüfungen Dritter.

Streng Vertrauliche Informationen sind die sensibelste Kategorie des Unternehmens. Sie umfasst Informationen, deren unbefugte Offenlegung schweren Schaden verursachen würde, einschließlich Authentifizierungsinformationen und kryptografischem Schlüsselmaterial, Zahlungs-Tokens und Transaktionsdaten, Verkäuferverifizierungs- und Geldwäschebekämpfungsdaten sowie Empfängerdaten von Lieferungen während einer aktiven Sicherheitsuntersuchung.

Der Asset-Eigentümer weist dem Informationswert (Information Asset) zum Zeitpunkt seiner Erstellung oder seines Empfangs die Klassifizierung zu. Wenn keine spezifischere Klassifizierung gerechtfertigt ist, gilt für ein Informationswert standardmäßig die Stufe Intern.

Die Klassifizierung ist zu überprüfen, wenn sich der Kontext eines Informationswerts wesentlich ändert.

Jeder Informationswert wird im Asset-Inventar des Unternehmens zusammen mit dem Namen seines Asset-Eigentümers erfasst. Ein Informationswert, der ohne benannten Eigentümer oder zugewiesene Klassifizierung identifiziert wird, ist als sofort behebungspflichtig zu behandeln.

Öffentliche Informationen unterliegen keinen besonderen Anforderungen hinsichtlich Speicherung, Übertragung oder Entsorgung.

Interne Informationen dürfen nur über vom Unternehmen genehmigte Systeme und Kanäle gespeichert und übertragen und durch Standardlöschung entsorgt werden.

Vertrauliche Informationen müssen im Ruhezustand und bei der Übertragung verschlüsselt werden. Der Zugriff darauf wird nach dem Prinzip der geringsten Rechte (Least Privilege) gesteuert. Sie dürfen nicht in Werkzeuge für künstliche Intelligenz oder große Sprachmodelle (LLMs) eingegeben werden, die nicht ausdrücklich genehmigt wurden, und müssen gemäß der Datenaufbewahrungs- und Löschrichtlinie entsorgt werden.

Streng Vertrauliche Informationen müssen im Ruhezustand mit der stärksten verfügbaren Chiffre verschlüsselt werden. Der Zugriff ist auf eine namentlich genannte, minimale Gruppe von Personen beschränkt, wobei jeder Zugriff protokolliert werden muss. Die Übertragung ist auf das Minimum der erforderlichen Empfänger zu beschränken, und die Entsorgung hat durch sicheres Löschen mit Überprüfung zu erfolgen, wobei die kryptografische Löschung des Verschlüsselungsschlüssels für verschlüsselte Speicher bevorzugt wird.

Informationen, die im Zusammenhang mit einer Transaktion mit einem Zahlungspartner geteilt werden, werden je nachdem, ob sie ein Zahlungs-Token oder eine Transaktionskennung enthalten, als Vertraulich oder Streng Vertraulich klassifiziert.

Informationen, die zum Zweck der Auftragsabwicklung mit einem Lieferpartner geteilt werden, werden so bemessen und klassifiziert, dass auf jeder Stufe nur die minimal erforderlichen Empfängerinformationen übertragen werden, im Einklang mit dem Datenminimierungsansatz, der in der Drittanbieter- und Partnerrisikomanagement-Richtlinie beschrieben ist.

Die Klassifizierung wird auf einen Datenfluss mit einem Marketplace-Kanal angewendet, bevor die entsprechende Integration aktiviert wird, und nicht nachträglich, sobald diese Integration betriebsbereit ist.

Die Einhaltung dieser Richtlinie ist verbindlich. Asset-Eigentümer sind dafür verantwortlich, die Klassifizierung der in ihrem Besitz befindlichen Informationen zuzuweisen und regelmäßig zu überprüfen. Die Sicherheitsabteilung pflegt das Klassifizierungsschema und überprüft dessen korrekte Anwendung im gesamten Asset-Inventar.

Ein Informationswert, für den nicht die seiner Klassifizierung entsprechenden Handhabungskontrollen festgestellt werden, ist als Sicherheitsfeststellung zu behandeln, die eine umgehende Behebung erfordert.

Eine Ausnahme von dieser Richtlinie muss im Voraus dokumentiert und vom Chief Information Security Officer (CISO) genehmigt werden.

Diese Richtlinie ist in Verbindung mit der Asset-Management- und Datenklassifizierungsrichtlinie, der Kryptografie- und Schlüsselverwaltungrichtlinie, der Zugriffssteuerungsrichtlinie, der Datenaufbewahrungs- und Löschrichtlinie sowie der Drittanbieter- und Partnerrisikomanagement-Richtlinie zu lesen.

„Asset-Eigentümer“ bezeichnet die Einzelperson, die für den Schutz eines bestimmten Informationswerts verantwortlich ist.

„Klassifizierungsstufe“ bezeichnet eine der vier Sensibilitätsstufen — Öffentlich, Intern, Vertraulich oder Streng Vertraulich —, die die für ein bestimmtes Element von Informationen geltenden Handhabungsanforderungen bestimmt.

„Datenminimierung“ bezeichnet den Grundsatz, die erhobenen oder geteilten personenbezogenen Daten auf das zu beschränken, was für den angegebenen Zweck direkt relevant und erforderlich ist.

Version 1.0 — Juli 2026