webpowers UG (haftungsbeschränkt), Hillenbrandstr. 9, 86156 Augsburg, Deutschland. Geschäftsführer: Maksym Vovk. Kontakt für Datenschutzanfragen: hello@grumeria.com.
Für das Kundenkonto verarbeiten wir E-Mail-Adresse, Firebase-Kennung, Erstellzeitpunkt und – bei zahlenden Konten – Stripe-Kunden- und Abonnementkennungen. Zur Bereitstellung der Suche speichern wir Shop-Konfiguration, Feed-Adresse, Feldzuordnung und Produktdaten. Im getrennten Einwilligungsmodus des JTL-Connectors funktioniert die Produktsuche auch ohne Zustimmung zur Suchstatistik. Ohne diese Zustimmung werden Suchbegriffe nur zur Beantwortung der Anfrage verarbeitet und keine Such- oder Produkt-Ereignisse für die Statistik gespeichert. Zur Berechnung des gebuchten Suchkontingents bleibt eine zusammengefasste Anzahl pro Shop-Suche und Kalendertag erhalten, ohne Suchbegriffe, Besucherkennung oder einzelne Suchzeitpunkte. Bei erteilter Zustimmung enthält die Suchstatistik Suchbegriff, Suchmethode, Trefferzahl und Zeitpunkt, jedoch keine IP-Adresse und keine personenbezogenen Suchprofile. Für Impressionen, Klicks und Käufe wird zur täglichen Missbrauchs- und Dublettenprüfung ein gesalzener, gekürzter IP-Hash gespeichert; die ursprüngliche IP-Adresse wird dabei nicht gespeichert. Für Produktempfehlungen bilden wir daraus statistische Zusammenhänge zwischen Produkten, die gemeinsam angesehen oder gekauft wurden. Eine pseudonyme Bestellkennung dient dabei der Gruppierung; Klartext-Bestellnummern werden dafür nicht benötigt. Die Empfehlungen beruhen auf aggregierten Produktbeziehungen und bilden keine dauerhaften Besucherprofile. Zahlungs- und Kartendaten verarbeitet Stripe in eigener Verantwortung.
Anwendung, Datenbank und Suchindex werden bei Fly.io in der Region Frankfurt betrieben. Für die Anmeldung nutzen wir Firebase Authentication (Google Ireland Limited), für Abrechnung und Zahlungen Stripe Payments Europe, Limited. Soweit Anbieter Daten außerhalb des Europäischen Wirtschaftsraums verarbeiten, stützen wir die Übermittlung auf einen Angemessenheitsbeschluss oder EU-Standardvertragsklauseln. Erforderliche Verträge zur Auftragsverarbeitung werden mit den eingesetzten Dienstleistern geschlossen.
Für die tägliche Datenbanksicherung nutzen wir den S3-kompatiblen Objektspeicher Tigris (Tigris Data, Inc.). Die Sicherungen verlassen unsere Systeme ausschließlich mit AES-256-GCM verschlüsselt; der Schlüssel wird aus einer nur uns bekannten Passphrase abgeleitet und liegt zu keinem Zeitpunkt beim Speicheranbieter. Aufbewahrungsdauer 30 Tage.
Vertragserfüllung und vorvertragliche Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO), berechtigte Interessen an sicherem, stabilem Betrieb und Missbrauchsschutz (Art. 6 Abs. 1 lit. f DSGVO) sowie gesetzliche Aufbewahrungspflichten (Art. 6 Abs. 1 lit. c DSGVO). Die optionale Suchstatistik im getrennten Einwilligungsmodus wird auf Grundlage der im jeweiligen Shop erteilten Einwilligung verarbeitet (Art. 6 Abs. 1 lit. a DSGVO). Sie kann dort in den Datenschutz-Einstellungen widerrufen werden; die Produktsuche bleibt dabei verfügbar.
Such- und Produkt-Events werden nach 100 Tagen automatisch gelöscht. Zusammengefasste Tageszähler ohne Besucherbezug werden mit der zugehörigen Shop-Suche gelöscht. Feed- und Kontodaten speichern wir bis zur Kontolöschung oder zum Ende gesetzlicher Aufbewahrungsfristen. Abrechnungsbelege werden entsprechend den steuer- und handelsrechtlichen Fristen aufbewahrt.
Du hast im gesetzlichen Umfang Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Konto-Export und -Löschung sind direkt im Konto-Bereich möglich; alternativ genügt eine Nachricht an hello@grumeria.com. Außerdem besteht ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde. Für uns zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach.
Beim Aufruf unserer Website verarbeitet der Hostinganbieter technisch erforderliche Verbindungsdaten, insbesondere IP-Adresse, Zeitpunkt, angeforderte Adresse und Browserinformationen, um die Website auszuliefern und Angriffe abzuwehren. Die verwendeten IBM-Plex-Schriften werden lokal ausgeliefert; der Browser ruft dafür keine Google-Font-Server auf.
Im Kundenbereich setzen wir technisch erforderliche Sitzungs- und CSRF-Cookies. Die Entscheidung zur optionalen Werbemessung speichern wir für sechs Monate im Cookie gm_ads_consent. Erst nach Zustimmung lädt unsere eigene Website Google Ads; dabei können Google-Werbe-Cookies, insbesondere _gcl_*, mit einer Laufzeit von bis zu 90 Tagen gespeichert werden. Die in Kundenshops eingebundene Produktsuche wird dadurch nicht mit Google Ads verbunden. Das optionale Kauftracking des JTL-Connectors nutzt nach Zustimmung den Sitzungsspeicher des Browsers, um eine Bestellung nicht mehrfach zu melden.
Wenn du in den Datenschutz-Einstellungen zustimmst, nutzen wir Google Ads von Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, um Anzeigenklicks einem erstmals bezahlten Grumeria-Abonnement zuzuordnen. Google erhält dafür unter anderem Klick- und Cookie-Kennungen, IP-Adresse und Browserinformationen sowie eine pseudonyme Transaktionskennung, den Nettobetrag und die Währung des Abschlusses. Wir übermitteln hierfür keine E-Mail-Adresse, keinen Namen und keine Kartendaten. Registrierungen, kostenlose Tests und laufende Abo-Verlängerungen zählen nicht als Neukundenumsatz. Personalisierte Werbung und Google Analytics sind dabei deaktiviert.
Vor einer Zustimmung laden wir den Google-Tag nicht. Ablehnung und Widerruf sind jederzeit über „Datenschutz-Einstellungen“ möglich; Website, Suche und Buchung bleiben nutzbar. Grundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Ein Widerruf gilt für die Zukunft. Google kann Daten auch in den USA verarbeiten; Informationen zu Googles Verarbeitung und internationalen Übermittlungen findest du in den Google-Datenschutzhinweisen und unter Google Business Data Responsibility. Die Einwilligung in diese Messung ist unabhängig von der Suchstatistik in Kundenshops.
Bei Such- und Interaktionsdaten aus eingebundenen Shops handelt Grumeria grundsätzlich als Auftragsverarbeiter. Hierfür wird mit dem Shopbetreiber ein Vertrag nach Art. 28 DSGVO geschlossen.