webpowers UG (haftungsbeschränkt), Hillenbrandstr. 9, 86156 Augsburg, Deutschland. Geschäftsführer: Maksym Vovk. Kontakt für Datenschutzanfragen: hello@grumeria.com.
Für das Kundenkonto verarbeiten wir E-Mail-Adresse, Firebase-Kennung, Erstellzeitpunkt und – bei zahlenden Konten – Stripe-Kunden- und Abonnementkennungen. Zur Bereitstellung der Suche speichern wir Shop-Konfiguration, Feed-Adresse, Feldzuordnung und Produktdaten. Zahlungs- und Kartendaten verarbeitet Stripe in eigener Verantwortung.
Im getrennten Einwilligungsmodus (JTL-Connector oder Einbau-Skript widget-consent-v1.js) funktioniert die Produktsuche auch ohne Zustimmung zur Suchstatistik. Ohne diese Zustimmung werden Suchbegriffe nur zur Beantwortung der Anfrage verarbeitet und keine Such- oder Produkt-Ereignisse für die Statistik gespeichert. Zur Berechnung des gebuchten Suchkontingents bleibt eine zusammengefasste Anzahl pro Shop-Suche und Kalendertag erhalten, ohne Suchbegriffe, Besucherkennung oder einzelne Suchzeitpunkte. Bei erteilter Zustimmung enthält die Suchstatistik Suchbegriff, Suchmethode, Trefferzahl und Zeitpunkt, jedoch keine IP-Adresse und keine personenbezogenen Suchprofile.
Ebenfalls nur bei erteilter Zustimmung speichern wir, welche Produkte in der Suche angezeigt und angeklickt wurden, bei Klicks auch die Herkunft (Suche, Empfehlung oder Kategorie). Kaufsignale meldet der Shop auf der Bestellbestätigung: je gekauftem Produkt die Produkt-ID und, soweit übermittelt, Menge, Bruttowert der Bestellzeile und Währung. Dazu vergeben wir je Meldung einen eigenen Bestellschlüssel. Fehlt ein Wert, schätzen wir ihn aus dem aktuellen Preis im Suchindex. Namen, Anschriften, Zahlungsdaten und Klartext-Bestellnummern erhalten wir dabei nicht.
Zu Impressionen, Klicks und Käufen speichern wir statt der IP-Adresse eine täglich wechselnde, gesalzene und gekürzte Kennung (Tageskennung); die IP-Adresse selbst wird dabei nicht gespeichert. Die Tageskennung wird nur innerhalb desselben Kalendertags (UTC) verwendet: zur Missbrauchs- und Dublettenprüfung, für Produktempfehlungen aus gemeinsam angesehenen Produkten und um einen Kauf einem vorherigen Suchklick auf dasselbe Produkt zuzuordnen. Aus dieser Zuordnung erhält der Shopbetreiber nur zusammengefasste Kennzahlen wie den Umsatz mit Suchbezug, keine Angaben zu einzelnen Besuchern. Für Produktempfehlungen bilden wir außerdem statistische Zusammenhänge zwischen Produkten, die gemeinsam gekauft wurden; eine pseudonyme Bestellkennung dient dabei der Gruppierung, Klartext-Bestellnummern werden dafür nicht benötigt. Die Empfehlungen beruhen auf aggregierten Produktbeziehungen und bilden keine dauerhaften Besucherprofile. Impressionen, Klicks und Kaufsignale mit ihren Werten löschen wir nach 100 Tagen.
Anwendung, Datenbank und Suchindex werden bei Fly.io in der Region Frankfurt betrieben. Für die Anmeldung nutzen wir Firebase Authentication (Google Ireland Limited), für Abrechnung und Zahlungen Stripe Payments Europe, Limited. Soweit Anbieter Daten außerhalb des Europäischen Wirtschaftsraums verarbeiten, stützen wir die Übermittlung auf einen Angemessenheitsbeschluss oder EU-Standardvertragsklauseln. Erforderliche Verträge zur Auftragsverarbeitung werden mit den eingesetzten Dienstleistern geschlossen.
Für die tägliche Datenbanksicherung nutzen wir den S3-kompatiblen Objektspeicher Tigris (Tigris Data, Inc.). Die Sicherungen verlassen unsere Systeme ausschließlich mit AES-256-GCM verschlüsselt; der Schlüssel wird aus einer nur uns bekannten Passphrase abgeleitet und liegt zu keinem Zeitpunkt beim Speicheranbieter. Aufbewahrungsdauer 30 Tage.
E-Mails an Kontoinhaber (Abschnitt 12) und Team-Einladungen (Abschnitt 11) versenden wir per SMTP über unser Postfach hello@grumeria.com bei unserem E-Mail-Anbieter ALL-INKL.COM – Neue Medien Münnich, Hauptstraße 68, 02742 Friedersdorf (Deutschland). Er erhält Empfängeradresse und Inhalt der Nachricht; Wochenberichte und Hinweise zu Suchen ohne Treffer können häufige Suchbegriffe aus dem jeweiligen Shop enthalten.
Technische Fehlermeldungen aus dem Betrieb senden wir an einen von uns festgelegten Benachrichtigungsdienst. Sie enthalten Fehlerort, Fehlertyp, eine gekürzte Fehlermeldung und die Programmversion. E-Mail- und IP-Adressen, Zugangsdaten, Schlüssel und URL-Parameter werden vor dem Versand entfernt.
Vertragserfüllung und vorvertragliche Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO), berechtigte Interessen an sicherem, stabilem Betrieb und Missbrauchsschutz (Art. 6 Abs. 1 lit. f DSGVO) sowie gesetzliche Aufbewahrungspflichten (Art. 6 Abs. 1 lit. c DSGVO). Die optionale Suchstatistik einschließlich der Kaufsignale wird im getrennten Einwilligungsmodus auf Grundlage der im jeweiligen Shop erteilten Einwilligung verarbeitet (Art. 6 Abs. 1 lit. a DSGVO). Sie kann dort in den Datenschutz-Einstellungen widerrufen werden; die Produktsuche bleibt dabei verfügbar. Die Rechtsgrundlagen für Team-Einladungen und E-Mails an Kontoinhaber stehen in den Abschnitten 11 und 12.
Such- und Produkt-Events, einschließlich der Kaufsignale mit ihren Werten, werden nach 100 Tagen automatisch gelöscht. Zusammengefasste Tageszähler ohne Besucherbezug werden mit der zugehörigen Shop-Suche gelöscht. Feed- und Kontodaten speichern wir bis zur Kontolöschung oder zum Ende gesetzlicher Aufbewahrungsfristen. Abrechnungsbelege werden entsprechend den steuer- und handelsrechtlichen Fristen aufbewahrt. Die Speicherdauer von Team-Einladungen und E-Mail-Einstellungen steht in den Abschnitten 11 und 12.
Du hast im gesetzlichen Umfang Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Konto-Export und -Löschung sind direkt im Konto-Bereich möglich; alternativ genügt eine Nachricht an hello@grumeria.com. Außerdem besteht ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde. Für uns zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach.
Beim Aufruf unserer Website verarbeitet der Hostinganbieter technisch erforderliche Verbindungsdaten, insbesondere IP-Adresse, Zeitpunkt, angeforderte Adresse und Browserinformationen, um die Website auszuliefern und Angriffe abzuwehren. Die verwendeten IBM-Plex-Schriften werden lokal ausgeliefert; der Browser ruft dafür keine Google-Font-Server auf.
Beim Feed-Check ohne Konto ruft unser Server die eingegebene Shop- oder Feedadresse ab und zeigt nur eine Zusammenfassung. Damit du eigene Suchbegriffe testen kannst, bleiben Titel, Marke, Kategorien, Kurzbeschreibung und Bildadresse der Produkte bis zu 15 Minuten im Arbeitsspeicher des Servers und werden danach verworfen; Feedinhalt und deine Suchbegriffe speichern wir nicht in einer Datenbank. Für unsere Statistik speichern wir je Prüfung nur die Domain der geprüften Adresse (ohne Pfad und Parameter), das erkannte Shopsystem, ob die Prüfung gelang, die Produktanzahl, ob sie über einen geteilten Link gestartet wurde, und einen Partnercode aus der Seitenadresse, keine IP-Adresse; diese Einträge löschen wir nach 90 Tagen (Art. 6 Abs. 1 lit. f DSGVO, unser Interesse, die Nutzung des Feed-Checks auszuwerten). Wurde eine Shopadresse geprüft, sendet unser Server einen eigenen Suchbegriff zum Vergleich auch an die öffentliche Suche dieses Shops und zeigt nur die dort gemeldete Trefferzahl; der Shop erhält dabei den Suchbegriff, nicht deine IP-Adresse. Die Beispielsuchen zeigen Produktbilder aus dem geprüften Feed. Diese Bilder lädt dein Browser direkt vom Server des Shops bzw. von dessen Bilddienst, der dabei wie bei jedem Seitenaufruf deine IP-Adresse und Browserinformationen erhält; eine Referrer-Angabe senden wir nicht mit.
Registrierst du dich über den Link einer Partneragentur oder trägst einen Partnercode ein, speichern wir den Code zu deinem Konto, um die Provision der Agentur abzurechnen. Die Agentur sieht in einer Übersicht nur den Tag der Registrierung, deinen Tarif und ob das Konto zahlt, nicht deine E-Mail-Adresse, deinen Shop oder deine Umsätze (Art. 6 Abs. 1 lit. f DSGVO, unser Interesse an einer nachprüfbaren Partnerabrechnung).
Im Kundenbereich setzen wir technisch erforderliche Sitzungs- und CSRF-Cookies. Die Entscheidung zur optionalen Werbemessung speichern wir für sechs Monate im Cookie gm_ads_consent. Erst nach Zustimmung lädt unsere eigene Website Google Ads; dabei können Google-Werbe-Cookies, insbesondere _gcl_*, mit einer Laufzeit von bis zu 90 Tagen gespeichert werden. Die in Kundenshops eingebundene Produktsuche wird dadurch nicht mit Google Ads verbunden. Das optionale Kauftracking des JTL-Connectors nutzt nach Zustimmung den Sitzungsspeicher des Browsers, um eine Bestellung nicht mehrfach zu melden. Die Entscheidung zur Zuordnung von Werbeklicks (Abschnitt 10) speichern wir für sechs Monate im Cookie gm_acq_consent; nach Zustimmung setzen wir zusätzlich für 30 Tage das Cookie gm_acq mit einer zufälligen Referenz ohne E-Mail-Adresse oder URL-Daten.
Wenn du in den Datenschutz-Einstellungen zustimmst, nutzen wir Google Ads von Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, um Anzeigenklicks einem erstmals bezahlten Grumeria-Abonnement zuzuordnen. Google erhält dafür unter anderem Klick- und Cookie-Kennungen, IP-Adresse und Browserinformationen sowie eine pseudonyme Transaktionskennung, den Nettobetrag und die Währung des Abschlusses. Wir übermitteln hierfür keine E-Mail-Adresse, keinen Namen und keine Kartendaten. Registrierungen, kostenlose Tests und laufende Abo-Verlängerungen zählen nicht als Neukundenumsatz. Personalisierte Werbung und Google Analytics sind dabei deaktiviert.
Vor einer Zustimmung laden wir den Google-Tag nicht. Ablehnung und Widerruf sind jederzeit über „Datenschutz-Einstellungen“ möglich; Website, Suche und Buchung bleiben nutzbar. Grundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Ein Widerruf gilt für die Zukunft. Google kann Daten auch in den USA verarbeiten; Informationen zu Googles Verarbeitung und internationalen Übermittlungen findest du in den Google-Datenschutzhinweisen und unter Google Business Data Responsibility. Die Einwilligung in diese Messung ist unabhängig von der Suchstatistik in Kundenshops.
Wir schalten Anzeigen über SourceKnowledge. Kommst du über eine solche Anzeige auf unsere Website und stimmst in den Datenschutz-Einstellungen zu, speichern wir die Kampagnenangaben aus dem Link (Kampagne, Kampagnen- und Klick-Kennung des Anbieters, Publisher-Kennung, Kanal), den aufgerufenen Pfad, Zeitpunkt und die Version deiner Einwilligung. Registrierst du dich innerhalb von 30 Tagen, verknüpfen wir diese Angaben mit deinem Konto und werten intern aus, ob daraus eine Registrierung, ein erster Produktimport und bezahlte Abonnements wurden (Nettobetrag und Währung von Erst- und Folgezahlungen sowie Erstattungen). So erkennen wir, ob sich die Werbung lohnt. Besuchsangaben, die nicht mit einem Konto verknüpft werden, löschen wir nach 90 Tagen; verknüpfte Angaben speichern wir bis zu deinem Widerruf oder bis zur Löschung deines Kontos.
Wir übermitteln dabei keine Daten an SourceKnowledge. Ohne Zustimmung speichern wir nichts davon; Website, Registrierung und Buchung bleiben uneingeschränkt nutzbar. Grundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Ein Widerruf über „Datenschutz-Einstellungen“ gilt für die Zukunft, entfernt das Cookie gm_acq und löst die Verknüpfung von Klick und Konto. Rechnungs- und Zahlungsdaten, die wir aus gesetzlichen Gründen aufbewahren, bleiben davon unberührt. Diese Einwilligung ist unabhängig von der Google-Ads-Erfolgsmessung in Abschnitt 9.
Inhaber eines Shops können weitere Personen per E-Mail als Bearbeiter oder Betrachter einladen. Dafür verarbeiten wir die E-Mail-Adresse der eingeladenen Person, die vorgesehene Rolle, den Shop, das einladende Konto, die Sprache der Einladung sowie Erstell-, Versand-, Ablauf- und Annahmezeitpunkt. Die Adresse stammt vom einladenden Inhaber. Wir senden eine Einladung mit einem Annahmelink, der sieben Tage gilt; erneut gesendet wird nur auf Veranlassung des Inhabers. Rechtsgrundlage ist das berechtigte Interesse des Inhabers und unser eigenes, die Zusammenarbeit im Kundenkonto zu ermöglichen (Art. 6 Abs. 1 lit. f DSGVO).
Widerrufene Einladungen löschen wir sofort, nicht angenommene 30 Tage nach Ablauf. Eine angenommene Einladung bleibt als Nachweis des Zugangs gespeichert, bis die Person aus dem Team entfernt oder der Shop oder ein beteiligtes Konto gelöscht wird. Wer eine Einladung nicht annehmen möchte, muss nichts tun. Fragen und Widerspruch richtest du an hello@grumeria.com.
Wir senden E-Mails an die E-Mail-Adresse des Kontos, shopbezogene Meldungen an den Inhaber des jeweiligen Shops. Vertragsinformationen erhältst du unabhängig von deinen Einstellungen: Willkommen und Teststart, erster vollständiger Produktindex, Feed-Fehler, veralteter JTL-Export, bevorstehendes Testende und Erreichen von 80 Prozent des Suchkontingents (Art. 6 Abs. 1 lit. b DSGVO).
Daneben senden wir Hinweise und Berichte zur Nutzung des gebuchten Dienstes: den Wochenbericht, Hinweise auf auffällig viele Suchen ohne Treffer und Erinnerungen zur Einrichtung. Grundlage ist unser berechtigtes Interesse, dich bei der Nutzung zu unterstützen (Art. 6 Abs. 1 lit. f DSGVO); soweit diese E-Mails als Werbung gelten, senden wir sie nach § 7 Abs. 3 UWG nur zu eigenen, ähnlichen Leistungen. Du kannst jeder dieser E-Mail-Arten jederzeit widersprechen, über den Abmeldelink in jeder solchen E-Mail oder per Nachricht an hello@grumeria.com. Dafür entstehen keine anderen als die Übermittlungskosten nach den Basistarifen. Suchbegriffe nennen diese E-Mails erst, wenn sie mindestens dreimal gesucht wurden.
Deine Abmeldungen speichern wir im Konto bis zu dessen Löschung. Damit keine E-Mail doppelt ankommt, vermerken wir Art und Zeitpunkt jeder versandten E-Mail; diese Vermerke löschen wir mit dem Konto.
Bei Such- und Interaktionsdaten aus eingebundenen Shops handelt Grumeria grundsätzlich als Auftragsverarbeiter. Hierfür wird mit dem Shopbetreiber ein Vertrag nach Art. 28 DSGVO geschlossen.