Arbeitsstand vom 29. Juli 2026 · Vereinbarung nach Art. 28 DSGVO.
Auftragnehmer ist die webpowers UG (haftungsbeschränkt), Hillenbrandstr. 9, 86156 Augsburg. Auftraggeber ist der im Grumeria-Konto bezeichnete Shopbetreiber. Diese Vereinbarung ergänzt den SaaS-Vertrag. Bei Widersprüchen gehen die Regelungen dieser Vereinbarung für die Verarbeitung personenbezogener Daten vor.
Gegenstand ist der Betrieb einer gehosteten Shop-Suche einschließlich Produktindex, Such-API, Widget, Interaktionsmessung und Admin-Auswertung. Die Verarbeitung dient der Auslieferung, Verbesserung und Absicherung der Suche. Sie dauert für die Laufzeit des Hauptvertrags zuzüglich technisch erforderlicher Lösch- und Sicherungsfristen.
Verarbeitet werden Produkt- und Inhaltsdaten, Suchbegriffe, Suchmethode, Trefferzahl, Zeitstempel, Produkt-IDs und Interaktionstypen. Zur täglichen Dubletten- und Missbrauchsprüfung kann ein gesalzener, gekürzter IP-Hash verarbeitet werden; die rohe IP-Adresse wird nicht im Such- oder Interaktionsprotokoll gespeichert. Betroffen sind Besucher und Kunden des vom Auftraggeber betriebenen Shops.
Wir verarbeiten Daten nur auf dokumentierte Weisung des Auftraggebers, soweit keine gesetzliche Pflicht entgegensteht. Produkt-Feed, Konfiguration und Nutzung des Dienstes gelten als dokumentierte Weisungen. Mit der Verarbeitung befasste Personen sind auf Vertraulichkeit verpflichtet und erhalten nur erforderliche Zugriffsrechte.
Die vereinbarten Maßnahmen sind unter /tom beschrieben. Wir dürfen sie dem technischen Fortschritt anpassen, solange das vereinbarte Schutzniveau nicht sinkt.
Für Hosting und Plattformbetrieb wird Fly.io, Inc. mit Datenstandort Frankfurt eingesetzt. Weitere Unterauftragsverarbeiter, insbesondere für E-Mail oder verschlüsselte Backups, werden nur nach dokumentierter Auswahl und mit den erforderlichen Datenschutzvereinbarungen eingesetzt. Wesentliche Änderungen werden dem Auftraggeber vorab elektronisch mitgeteilt; ein begründeter Widerspruch aus Datenschutzgründen bleibt möglich.
Wir unterstützen den Auftraggeber im angemessenen Umfang bei Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Datenschutz-Folgenabschätzungen und Behördenanfragen. Verletzungen des Schutzes auftragsverarbeiteter Daten melden wir dem Auftraggeber unverzüglich mit den verfügbaren Angaben zu Art, Umfang, Folgen und Maßnahmen.
Such- und Produkt-Events werden nach 100 Tagen automatisch gelöscht. Nach Vertragsende löschen oder anonymisieren wir auftragsverarbeitete Daten, soweit keine gesetzliche Aufbewahrungspflicht besteht. Ein Kontoexport kann vor der Löschung im Kundenbereich angefordert werden.
Wir stellen auf Anfrage angemessene Nachweise zur Einhaltung dieser Vereinbarung bereit. Kontrollen sind mit angemessener Vorankündigung, unter Wahrung von Betriebs- und Geschäftsgeheimnissen und ohne unverhältnismäßige Beeinträchtigung des Betriebs möglich.