Zalando

Page 1

Zalando SE Data Catalogue for Vetted Researchers (Article 40 DSA)

Introduction and Scope

In compliance with Article 40(4) of the EU Digital Services Act (DSA), Zalando SE is committed to providing vetted researchers with access to data that is necessary for studying systemic risks in the European Union. This Data Catalogue lists data categories, data structures, and metadata that are potentially available for research purposes, focusing on the systemic risks identified in our annual risk assessment, conducted in accordance with Article 34 of the DSA and subject to regulatory oversight. In line with the DSA, this inventory focuses primarily on data relevant to the systemic risks identified in the Zalando SE DSA Risk Report. We do not provide an exhaustive catalogue of all data held by the company.

Key Documents and Resources

For context on the systemic risks and our platform governance, please refer to the following documents, which form the foundation of this Data Catalogue: - DSA Risk Report: Zalando Transparency Hub. - DSA Transparency Hub: For information on content moderation and governance, please consult the Zalando Transparency Hub.

The Request and Access Process

Vetted researchers must follow the official procedure set out by the Digital Services Coordinator (DSC) of the Member State of establishment (Germany), or by the European Commission in the DSA Data Access Portal (linked here). Zalando SE will only grant access to data upon receiving a Reasoned Request from the relevant DSC, confirming that the researcher has been vetted and the request is necessary and proportionate to the study of systemic risks in the EU.

Protection of Trade Secrets and Confidentiality as well as Privacy

In accordance with Article 40(5) of the DSA, Zalando SE reserves the right to request an amendment to a Reasoned Request where access to data would lead to significant vulnerabilities in the security of our service or the protection of confidential information, in particular trade secrets, or personal data of customers, users and/or employees. This includes, but is not limited to, proprietary algorithmic logic, detailed commercial pricing strategies, and granular internal performance metrics that, if disclosed, would cause competitive harm. In such

Page 2

cases, we commit to proposing alternative means of access, such as providing aggregated, synthetic, or privacy-preserving differentially private data. Access Modalities The final access modality is determined by the DSC after assessment of the request, taking into account data security, confidentiality, and the protection of personal data. Available access modalities may include: 1. Secure Processing Environments (SPE): Providing access to the data within a secure, remote computing environment managed by Zalando SE, which prevents direct data download. 2. Secure Data Transfer: Providing the data via secure transfer mechanisms (e.g., SFTP or cloud transfer) after appropriate pseudonymization or aggregation, as required by the nature of the data and the research scope.

Data Catalogue by Systemic Risk

The data assets listed below are directly relevant to the three systemic risks identified in our annual risk assessment.

Page 3

Page 4

Page 5

Contact Information For all inquiries related to this DSA Article 40 Data Catalogue, or to follow up on a pending request from a Digital Services Coordinator, please contact us: authorities-dsa@zalando.de *** Zalando SE Datenkatalog für zugelassene Forschende (Artikel 40 DSA) Einleitung und Geltungsbereich Gemäß Artikel 40 Absatz 4 des Gesetzes über digitale Dienste (DSA) verpflichtet sich Zalando SE, zugelassenen Forschenden Zugang zu Daten zu gewähren, die für die Untersuchung systemischer Risiken in der Europäischen Union notwendig sind. Dieser Datenkatalog listet Datenkategorien, Datenstrukturen und Metadaten auf, die potenziell für Forschungszwecke zur Verfügung stehen, wobei der Schwerpunkt auf den systemischen Risiken liegt, die in unserer jährlichen Risikobewertung, die gemäß Artikel 34 des DSA durchgeführt wird und der behördlichen Aufsicht unterliegt, identifiziert wurden. In Übereinstimmung mit dem DSA konzentriert sich dieses Inventar primär auf Daten, die für die systemischen Risiken relevant sind, die in der DSA-Risikobewertung der Zalando SE identifiziert wurden. Wir stellen keinen erschöpfenden Katalog aller vom Unternehmen gespeicherten Daten bereit.

Page 6

Wichtige Dokumente und Ressourcen

Für den Kontext zu den systemischen Risiken und unserer Plattform-Governance verweisen wir auf die folgenden Dokumente, die die Grundlage dieses Datenkatalogs bilden: - DSA-Risikobewertung: Zalando Transparency Hub. - DSA Transparency Hub: Informationen zur Inhaltsmoderation und Governance finden Sie im Zalando Transparency Hub.

Datenzugangsantrag und Datenzugangsprozess

Zugelassene Forschende müssen das offizielle Verfahren befolgen, das vom Koordinator für digitale Dienste (DSC) des Mitgliedstaats der Niederlassung (Deutschland), oder der Europäischen Kommission im DSA-Datenzugangsportal (hier verlinkt) festgelegt wurde. Zalando SE wird Zugang zu Daten nur dann gewähren, wenn der zuständige DSC ein begründetes Verlangen übermittelt, das die Zulassung des Forschers sowie die Notwendigkeit und Verhältnismäßigkeit der Anforderung für die Untersuchung systemischer Risiken in der EU bestätigt.

Schutz von Geschäftsgeheimnissen und Vertraulichkeit sowie Datenschutz

In Übereinstimmung mit Artikel 40 Absatz 5 des DSA behält sich Zalando SE das Recht vor, ein Änderungsersuchen bezüglich eines begründeten Verlangens zu stellen, wenn der Zugang zu Daten zu erheblichen Sicherheitslücken in unserem Dienst oder dem Schutz vertraulicher Informationen, insbesondere Geschäftsgeheimnissen, oder personenbezogener Daten von Kunden, Nutzern und/oder Mitarbeitern führen würde. Dies umfasst, ist aber nicht beschränkt auf proprietäre algorithmische Logik, detaillierte kommerzielle Preisstrategien und granulare interne Leistungskennzahlen, deren Offenlegung einen Wettbewerbsnachteil verursachen würde. In solchen Fällen verpflichten wir uns, alternative Zugangsmöglichkeiten vorzuschlagen, wie die Bereitstellung von aggregierten, synthetischen oder datenschutzfreundlichen Daten, wie z.B. durch Differential Privacy.

Zugangsmodalitäten

Die endgültige Zugangsmodalität wird vom DSC nach Bewertung der Anforderung festgelegt, wobei Datensicherheit, Vertraulichkeit und der Schutz personenbezogener Daten berücksichtigt werden. Verfügbare Zugangsmodalitäten können umfassen: - Sichere Verarbeitungsumgebungen (SPE): Bereitstellung des Datenzugangs innerhalb einer sicheren, von Zalando SE verwalteten Rechenumgebung, die das direkte Herunterladen von Daten verhindert. - Sicherer Datentransfer: Bereitstellung der Daten über sichere Transfermechanismen (z. B. SFTP oder Cloud-Transfer) nach entsprechender Pseudonymisierung oder Aggregation, wie es die Art der Daten und der Forschungsumfang erfordern.

Datenkatalog nach Systemischem Risiko

Page 7

Die unten aufgeführten Datenbestände sind unmittelbar relevant für die drei systemischen Risiken, die in unserer jährlichen Risikobewertung identifiziert wurden.

Page 8

Page 9

Kontaktinformationen

Für sämtliche Anfragen im Zusammenhang mit diesem Datenkatalog nach Artikel 40 DSA oder zur Statusabfrage einer ausstehenden Anfrage eines Koordinators für digitale Dienste wenden Sie sich bitte an uns: authorities-dsa@zalando.de