Datenschutzerklärung (Art. 13/14 DSGVO) — WARP

Fassung vom 12.09.2026.

Grundlage sind der Quellcode des Panels (Stand f1cf3bc7) und das Fakten- und Entscheidungsregister zur Fassung vom 12.09.2026 (im Folgenden: Register 12.09.2026).

1. Verantwortlicher

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO für die in Abschnitt 3 beschriebenen Verarbeitungen (VT-1 bis VT-7) ist:

WARP – ecomm solution
Inhaber: Lukas Babbick (Einzelunternehmen, solo selbständig)
Ludwig-Erhard-Str. 11, 38518 Gifhorn, Deutschland

Vertreten durch: Lukas Babbick

Kontakt: babbick@wawihub.de · Telefon +49 171 5419509

Datenschutzbeauftragte:r

Es ist kein Datenschutzbeauftragter bestellt. Nach der dokumentierten Bewertung vom 25.07.2026 besteht für WARP – ecomm solution keine gesetzliche Pflicht zur Bestellung eines Datenschutzbeauftragten (§ 38 BDSG, Art. 37 DSGVO); die Voraussetzungen des § 38 BDSG sind bei dem Einzelunternehmen nicht erfüllt. Die Bewertung ist im Register 12.09.2026 festgehalten und wird bei Wachstum oder Ausweitung des Tracking-Umfangs neu vorgenommen. Datenschutzrechtliche Anfragen richten Sie bitte an das Postfach datenschutz@wawihub.de (siehe Abschnitt 8).

2. Überblick: Zwei Rollen von WARP — bitte genau lesen

WARP verarbeitet personenbezogene Daten in zwei getrennten Rollen. Diese Datenschutzerklärung deckt ausschließlich die erste Rolle ab.

a) WARP als Verantwortlicher — für die eigene Kundenbeziehung zu den Nutzer:innen der WARP-Plattform: Nutzerkonten und Registrierung, Anmeldesicherheit, Passwort-Zurücksetzung, System-E-Mails, Session-/Cookie-Verwaltung, Zahlungsabwicklung/Abonnement, Superadmin-Impersonation und Admin-Audit (VT-1 bis VT-7). Diese Datenverarbeitungen werden nachfolgend in Abschnitt 3 beschrieben.

b) WARP als Auftragsverarbeiter (Art. 28 DSGVO) — für Daten, die WARP im Auftrag und nach Weisung des jeweiligen Händlers verarbeitet: Google-Analytics-/Ads-/Search-Console-/Merchant-Daten, JTL-Warenwirtschaftsdaten des Händlers einschließlich Daten dessen Endkunden, Lieferanten-/Preislisten-Importe, die Pixel-/Attributionsdaten der Shop-Endkunden des Händlers sowie das Rückschreiben freigegebener Änderungen in die Warenwirtschaft des Händlers (VT-8 bis VT-12). Für diese Verarbeitungen ist nicht WARP, sondern der jeweilige Händler Verantwortlicher im Sinne der DSGVO. Es gilt insoweit die Datenschutzerklärung des Händlers gegenüber dessen Endkunden sowie der zwischen WARP und dem Händler geschlossene Auftragsverarbeitungsvertrag. Näheres dazu regeln der Auftragsverarbeitungsvertrag (warp.wawihub.de/avv) und der Pixel-Baustein für Händler (warp.wawihub.de/legal/pixel-baustein) (vom Händler in dessen eigene Datenschutzerklärung zu übernehmender Baustein zum WARP-Pixel).

Wenn Sie Besucher:in oder Kund:in eines Shops sind, der WARP einsetzt, richten Sie datenschutzrechtliche Anfragen bitte an den jeweiligen Shop-Betreiber (Händler), nicht an WARP.

2.1 Rückschreiben in die Warenwirtschaft

WARP kann auf Veranlassung des Händlers Daten in dessen JTL-Wawi schreiben: Preise, Artikeltexte, Suchmaschinenfelder und Bestände. Betroffen sind ausschließlich Artikel-, Preis-, Text- und Bestandsfelder; Endkundendaten werden nicht zurückgeschrieben. Jeder Schreibvorgang setzt eine ausdrückliche Freigabe des Händlers im Panel voraus; ohne Freigabe schreibt WARP nichts. Vor jedem Schreibvorgang legt WARP einen Sicherungsstand der betroffenen Felder an, über den der Händler den Vorgang zurücknehmen kann. Diese Sicherungsstände liegen im Backup-Modul und werden nach 90 Tagen gelöscht. WARP handelt dabei als Auftragsverarbeiter auf Weisung des Händlers; die Freigabe im Panel ist die dokumentierte Weisung. Einzelne Schreibwege können in der Beta-Phase abgeschaltet sein (derzeit: Preise). Näheres regelt der Auftragsverarbeitungsvertrag (Anlage 1, VT-12).

3. Verarbeitungen, für die WARP Verantwortlicher ist

3.1 VT-1 — Nutzerkonten, Registrierung & Authentifizierung

Was passiert: Sie legen Ihr Nutzerkonto über die öffentliche Selbstregistrierung der Plattform selbst an. Dabei geben Sie Ihren Namen, Ihre E-Mail-Adresse, den Firmennamen und ein Passwort ein. WARP sendet an die angegebene E-Mail-Adresse einen Verifikationslink; das Konto wird erst mit Bestätigung dieses Links aktiv (E-Mail-Verifikation). Das Passwort wird serverseitig mit bcrypt (Kostenfaktor 12) als Hash gespeichert; das Klartext-Passwort wird nicht gespeichert. Eine Anmeldung über externe Anbieter (z. B. Google-Login) gibt es nicht; verwendet wird ausschließlich die Anmeldung per E-Mail-Adresse und Passwort.

Mit der verifizierten Registrierung beginnt eine Testphase von 14 Tagen; für die ersten zehn verifizierten Registrierungen beträgt die Testphase 90 Tage. 14 Tage und 3 Tage vor Ablauf der Testphase erhalten Sie eine Hinweis-E-Mail an die hinterlegte Adresse (siehe 3.4). Endet die Testphase ohne Abschluss eines Abonnements, endet der Zugang; die Daten des Kontos werden 60 Tage aufbewahrt und danach gelöscht.

3.2 VT-2 — Anmeldesicherheit / Login-Lockout / API-Anfragenbegrenzung

Was passiert: Zum Schutz vor automatisierten Anmeldeversuchen (Brute-Force) wird ein Konto bzw. eine Anfragequelle nach mehreren Fehlversuchen innerhalb eines Zeitfensters vorübergehend gesperrt. Die Sperre ist gestuft: zunächst 15 Minuten, dann 60 Minuten, höchstens 4 Stunden; die Zähler werden nach 24 Stunden zurückgesetzt. Der zur Zuordnung verwendete Schlüssel wird als HMAC-SHA256-Hash aus E-Mail-Adresse und Client-IP-Adresse gebildet — weder die E-Mail-Adresse noch die IP-Adresse werden im Klartext gespeichert. Ein vergleichbarer HMAC-Schlüssel-Mechanismus wird auch zur Ratenbegrenzung von Account-Recovery-Anfragen eingesetzt (siehe 3.3). Der allgemeine API-Anfragenbegrenzer bildet ebenfalls einen stabilen HMAC-SHA256-Fingerabdruck aus seinem vollständigen Bucket-Schlüssel, der insbesondere die vertrauenswürdig aufgelöste Client-IP enthält. In warp_rate_limits werden nur dieser pseudonyme Fingerabdruck, Zähler und Zeitstempel gespeichert; ein API-Schlüssel ist nicht Bestandteil der gegenwärtigen Limiter-Schlüsselbildung. HMAC-Pseudonyme bleiben datenschutzrechtlich personenbezogen behandelbar.

3.3 VT-3 — Passwort-Zurücksetzung / Account-Recovery

Was passiert: Über die Funktion „Passwort vergessen" kann ein Rücksetz-Link angefordert werden. Bei einer Anfrage wird ein Rücksetz-Token mit hoher Entropie erzeugt; gespeichert wird nur ein kryptographischer Hash dieses Tokens, niemals der Rohwert. Das Token ist standardmäßig 60 Minuten gültig (konfigurierbar bis höchstens 24 Stunden) und wird per E-Mail ausschließlich an die hinterlegte E-Mail-Adresse des Kontos gesendet. Die Funktion nutzt denselben E-Mail-Versandweg wie die Registrierung (3.4) und ist über einen Funktionsschalter des Betreibers steuerbar.

3.4 VT-4 — System-E-Mails

Was passiert: WARP versendet automatisierte System-E-Mails zu folgenden Anlässen: die Verifikations-E-Mail bei der Registrierung (3.1), die Hinweis-E-Mails 14 und 3 Tage vor Ablauf der Testphase (3.1) sowie die Passwort-Rücksetz-E-Mail (3.3). Ein internes Versand-Protokoll (Mail-Ausgang) speichert zur Nachverfolgung nur Metadaten (Nutzer-Kennung, Status, Versuchszähler, Versandzeitpunkt, Fehlercode); weder die E-Mail-Adresse noch der Mailinhalt werden darin dauerhaft gespeichert. Die Empfängeradresse wird zum Versandzeitpunkt aus dem Nutzerkonto geladen.

Als Auftragsverarbeiter für den Versand der System-E-Mails wird IONOS eingesetzt (IONOS SE, Elgendorfer Str. 57, 56410 Montabaur; IONOS Mail Basic; Absenderadresse noreply@wawihub.de; Serverstandort Deutschland/EU). Der Auftragsverarbeitungsvertrag mit IONOS wurde am 25.07.2026 abgeschlossen.

3.5 VT-6 — Zahlungsabwicklung & Abonnement-/Testphasen-Verwaltung (Stripe, lexoffice)

Was passiert: Für Zahlungsvorgänge setzt WARP den Zahlungsdienstleister Stripe ein. Beim Auslösen eines Zahlungsvorgangs übermittelt WARP an Stripe ausschließlich eine interne, nicht auf eine Person rückführbare Mandantenkennung (tenant_id); Name und E-Mail-Adresse werden von WARP selbst nicht an Stripe übertragen. Zahlungsdaten (z. B. Zahlungs-E-Mail, Kartendaten) erhebt Stripe selbst auf der von Stripe gehosteten Checkout-Seite, außerhalb der Infrastruktur von WARP. WARP speichert selbst keine Kartendaten.

Stand des Zahlungsbetriebs: Das Stripe-Konto besteht; das Stripe Data Processing Agreement wurde am 25.07.2026 im Stripe-Dashboard angenommen. Vertragspartner sind Stripe Payments Europe, Ltd. (1 Grand Canal Street Lower, Dublin 2, Irland) und Stripe, Inc. (USA); zum Drittlandtransfer in die USA siehe Abschnitt 6. Die Plattform läuft derzeit im Stripe-Testbetrieb ohne Live-Zahlungen; während der Beta-Phase ist die Nutzung unentgeltlich. Live-Zahlungen beginnen mit dem Regelbetrieb; Kunden werden vier Wochen vorher in Textform informiert.

Der Zugang zur Plattform wird über ein internes Berechtigungsmodell gesteuert: die Testphase von 14 Tagen (für die ersten zehn verifizierten Registrierungen 90 Tage, siehe 3.1) sowie ein bezahlter Zugang nach Abschluss eines Abonnements.

Für die Rechnungsschreibung und Buchhaltung nutzt der Betreiber lexoffice (Haufe-Lexware GmbH & Co. KG, Munzinger Straße 9, 79111 Freiburg, Deutschland). Dorthin gelangen Rechnungsempfänger und Rechnungsbeträge; ein Auftragsverarbeitungsvertrag besteht über das lexoffice-Kundenkonto.

3.6 VT-7 — Superadmin-Impersonation & Admin-Audit

Was passiert: Der Plattform-Superadmin kann zu Support-/Wartungszwecken read-only in die Sicht eines Kunden-Mandanten wechseln („View-as-Tenant"). Dieser Zugriff ist technisch untrennbar an eine vorherige Protokollierung gekoppelt: ohne erfolgreich abgeschlossene Protokoll-Reservierung wird der Zugriff verweigert. Das Protokoll ist damit Teil der Zugriffskontrolle, nicht nur nachträgliche Dokumentation. Administrativen Zugriff hat ausschließlich der Inhaber.

4. Cookies & lokale Speicherung

WARP setzt beim Zugriff auf die Plattform (Panel, warp.wawihub.de) ausschließlich technisch notwendige Cookies ein: für die Sitzung, den CSRF-Schutz, die Rückleitung nach der Anmeldung und die Mandantensicht des Superadmins. Es werden keine Tracking-, Marketing- oder Analyse-Cookies gesetzt, und es wird kein localStorage/sessionStorage zu Tracking-Zwecken verwendet. Auf warp.wawihub.de sind keine Analyse- oder Werbedienste eingebunden; es findet keine eigene Reichweitenmessung statt, und es werden keine Fehlerüberwachungs- oder Statistikdienste Dritter eingesetzt.

Rechtsgrundlage: Diese Cookies sind unbedingt erforderlich, um die von Ihnen ausdrücklich gewünschte Funktion (Anmeldung und Nutzung der Plattform) bereitzustellen (§ 25 Abs. 2 Nr. 2 TDDDG). Eine Einwilligung ist daher nicht erforderlich. Datenschutzrechtlich stützt sich die Verarbeitung auf Art. 6 Abs. 1 lit. b DSGVO.

Zusätzlich verwendet das Backend ein internes, kurzlebiges Dienst-Token (technische Kommunikation zwischen Panel und API, Gültigkeit 60 Sekunden), das nicht als Browser-Cookie gesetzt wird und Ihnen als Nutzer:in nicht sichtbar ist.

5. Empfänger und Auftragsverarbeiter

WARP setzt zur Erbringung der beschriebenen Verarbeitungen folgende Dienstleister als Auftragsverarbeiter (Art. 28 DSGVO) ein:

Eine vollständige Liste der Sub-Auftragsverarbeiter ist Bestandteil des AVV mit dem jeweiligen Händler (Anhang 3); siehe Auftragsverarbeitungsvertrag (warp.wawihub.de/avv).

5.1 KI-Dienste

WARP setzt für einzelne Funktionen KI-Dienste ein. Welche Daten dabei übertragen werden, hängt von der Funktion ab:

• Texterzeugung (Content Creator, Handlungsempfehlungen): Standardanbieter ist Anthropic, PBC (548 Market St, San Francisco, CA 94104, USA). Übertragen werden die für die jeweilige Funktion nötigen Artikeldaten des Händlers: Artikelnamen, Kategorien, Attribute und vorhandene Beschreibungen. Als wählbarer Anbieter steht OpenAI (OpenAI Ireland Ltd., Dublin, Irland; OpenAI, L.L.C., USA) zur Verfügung.
• Erkennung von Tabellen in hochgeladenen Lieferanten-PDFs: Google Gemini (Google Ireland Limited, Dublin, Irland; Google LLC, USA). Die hochgeladene PDF-Datei wird zu diesem Zweck vollständig an Google übertragen.

Für alle drei Anbieter gilt das jeweilige Data Processing Addendum des Anbieters. Die Übermittlung in die USA erfolgt auf Grundlage der Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO); für OpenAI, L.L.C. und Google LLC zusätzlich auf Grundlage des Angemessenheitsbeschlusses zum EU-US Data Privacy Framework, für Anthropic, PBC ergänzend, soweit der Anbieter dort zertifiziert ist (Abschnitt 6). WARP speichert bei den Anbietern keine Daten; die Aufbewahrung beim Anbieter richtet sich nach dessen Data Processing Addendum (Anthropic und OpenAI: keine Nutzung zum Training bei API-Zugang, Löschung nach 30 Tagen laut Anbieterangabe).

Eigene Schlüssel: Händler können in den Einstellungen („Modelle") eigene API-Schlüssel der Anbieter hinterlegen; die Schlüssel werden verschlüsselt und mandantenbezogen gespeichert. Werden eigene Schlüssel genutzt, laufen die Übermittlungen unter dem Vertrag des Händlers mit dem jeweiligen Anbieter; andernfalls wird der Schlüssel des Betreibers verwendet. Soweit im KI-Kontext personenbezogene Daten verarbeitet werden, geschieht dies im Auftragskontext des Händlers (Abschnitt 2) und ist Gegenstand des AVV.

6. Drittlandtransfers

Bei folgenden Empfängern findet eine Übermittlung personenbezogener Daten in ein Land außerhalb des Europäischen Wirtschaftsraums (Drittland) statt:

Die für den Versand der System-E-Mails eingesetzten IONOS-Mailserver liegen in Deutschland/EU; insoweit findet kein Drittlandtransfer statt. Das Hosting bei Hetzner erfolgt im EU-Rechenzentrum Helsinki, Finnland, die Offsite-Sicherung bei Hetzner in Deutschland und die Rechnungsschreibung bei lexoffice in Deutschland; auch insoweit findet kein Drittlandtransfer statt.

7. Speicherdauer und Löschung

Für die unter Abschnitt 3 beschriebenen Verarbeitungen speichert WARP personenbezogene Daten so lange, wie dies zur Erfüllung des jeweiligen Zwecks erforderlich ist, längstens für die Dauer der Vertragsbeziehung und darüber hinaus nur, soweit gesetzliche Aufbewahrungspflichten (handels- und steuerrechtlich für Rechnungsdaten) dies verlangen.

Löschlauf und Fristen: Die folgenden Fristen sind verbindlich. Sie werden durch den Löschlauf der Plattform (Retention-Modul) umgesetzt; bis zu dessen betrieblicher Aktivierung werden sie manuell nach dem Lösch-Runbook durchgesetzt und gelten als Höchstfristen.

Die Fristen im Auftragskontext des Händlers (VT-8 bis VT-12) sind hier zur Übersicht mit aufgeführt; verbindlich für den Händler ist der AVV (§ 9).

Löschung nach Vertragsende: Nach Beendigung der Vertragsbeziehung gilt der folgende Rahmen (vgl. AGB und AVV):

• 30 Tage Export-Frist ab Vertragsende; der Kunde kann in diesem Zeitraum den Export bzw. die Rückgabe seiner Daten verlangen. Der Export erfolgt auf Anforderung durch den Verantwortlichen;
• endgültige Löschung 60 Tage nach Vertragsende, spätestens nach 90 Tagen einschließlich Auslauf der Sicherungen, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht;
• Auslauf der Sicherungen: Die Löschung im Livesystem erfolgt unverzüglich; in den Sicherungskopien läuft ein gelöschter Datensatz mit der jeweiligen Aufbewahrung aus (anwendungsintern 90 Tage; Datenbanksicherungen auf dem Server 14 tägliche und 8 wöchentliche Stände). Nach jeder Wiederherstellung einer Sicherung werden die seit dem Sicherungsstand protokollierten Löschungen erneut ausgeführt, bevor der Betrieb freigegeben wird (Lösch-Runbook Phase 3).

Eingangskanal für Löschersuchen und sonstige Betroffenenanfragen ist das Postfach datenschutz@wawihub.de. Einzelheiten zum praktischen Ablauf einer Löschung auf Anfrage (einschließlich des Umgangs mit Sicherungskopien) regelt BETROFFENENRECHTE-PROZESS.md.

8. Ihre Rechte als betroffene Person

Ihnen stehen hinsichtlich der unter Abschnitt 3 beschriebenen Verarbeitungen, für die WARP Verantwortlicher ist, folgende Rechte zu:

• Auskunft (Art. 15 DSGVO) über die zu Ihrer Person verarbeiteten Daten;
• Berichtigung (Art. 16 DSGVO) unrichtiger Daten;
• Löschung (Art. 17 DSGVO), soweit keine gesetzliche Aufbewahrungspflicht entgegensteht;
• Einschränkung der Verarbeitung (Art. 18 DSGVO);
• Datenübertragbarkeit (Art. 20 DSGVO) für Daten, die Sie uns bereitgestellt haben und die auf einer Einwilligung oder einem Vertrag beruhen und automatisiert verarbeitet werden;
• Widerspruch (Art. 21 DSGVO) gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO gestützt sind;
• Widerruf einer Einwilligung mit Wirkung für die Zukunft, sofern eine Verarbeitung auf einer Einwilligung beruht (Art. 7 Abs. 3 DSGVO).

Beschwerderecht: Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes (Art. 77 DSGVO). Die für WARP zuständige Aufsichtsbehörde ist, da der Sitz in Niedersachsen liegt:

Die Landesbeauftragte für den Datenschutz Niedersachsen
Prinzenstraße 5, 30159 Hannover
Postanschrift: Postfach 221, 30002 Hannover
Telefon: 0511 120-4500
E-Mail: poststelle@lfd.niedersachsen.de

Kontakt für Betroffenenanfragen: Anfragen zur Ausübung dieser Rechte richten Sie bitte an datenschutz@wawihub.de. Den internen Bearbeitungsprozess solcher Anfragen beschreibt BETROFFENENRECHTE-PROZESS.md.

9. Pflicht zur Bereitstellung der Daten; automatisierte Entscheidungsfindung

Die Bereitstellung der in Abschnitt 3 genannten Daten (insbesondere Name, E-Mail-Adresse, Zugangsdaten) ist zur Einrichtung und Nutzung eines Nutzerkontos auf der WARP-Plattform sowie zur Durchführung des Vertragsverhältnisses erforderlich. Ohne diese Angaben ist eine Nutzung der Plattform nicht möglich.

Automatisierte Entscheidungsfindung/Profiling (Art. 22 DSGVO): Im Rahmen der Verarbeitungen, für die WARP Verantwortlicher ist (Abschnitt 3), findet keine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO statt.

Auf der WARP-Plattform verfügbare Auswertungen wie Kundenwert-/Segment-Scoring (RFM/CLV) und Abwanderungsauswertung betreffen ausschließlich Endkunden des jeweiligen Händlers und finden im Auftragskontext des Händlers statt (Verantwortlicher: der Händler, nicht WARP); sie sind daher nicht Gegenstand dieser Datenschutzerklärung. Näheres regelt der AVV zwischen WARP und dem Händler. Für die Kundenwert-, Segment- und Abwanderungsauswertung wurde eine Schwellwertanalyse durchgeführt; eine Datenschutz-Folgenabschätzung ist derzeit nicht erforderlich, weil keine Klarnamen dauerhaft gespeichert werden und die Auswertung der Steuerung des eigenen Geschäfts des Händlers dient. Bei einer Änderung des Umfangs wird neu bewertet.

10. Sicherheit der Verarbeitung (Art. 32 DSGVO) — Hinweis

Zum Schutz Ihrer Daten setzt WARP nach dem Stand der Technik geeignete technische und organisatorische Maßnahmen ein. Belegte Maßnahmen sind insbesondere: Transportverschlüsselung mit TLS 1.3 (AES-256-GCM) und gültigen, automatisch erneuerten Zertifikaten (Let's Encrypt/certbot); datenbankseitig erzwungene Mandantentrennung (Row Level Security), die am 23.07.2026 auf der produktiv betriebenen Datenbank verifiziert wurde (67 von 67 Tabellen mit RLS); verschlüsselte, mandantenbezogene Speicherung hinterlegter Zugangsdaten (JTL, IMAP, Google, KI-Schlüssel); Speicherung von Passwörtern ausschließlich als Hash; verschlüsselte anwendungsinterne Sicherungskopien mit 90 Tagen Aufbewahrung; eine auf den Inhaber beschränkte administrative Zugriffskontrolle mit Admin-Audit. Eine Offsite-Sicherung auf einer Hetzner Storage Box (Deutschland) ist vorgesehen; die Kopien werden vor der Übertragung verschlüsselt, der Schlüssel liegt nicht auf dem Server. Einzelheiten sind im AVV (Anhang „Technische und organisatorische Maßnahmen") dokumentiert.

11. Änderungsvorbehalt

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte Rechtslagen oder bei Änderungen der beschriebenen Verarbeitungen anzupassen. Es gilt jeweils die zum Zeitpunkt Ihres Besuchs bzw. Ihrer Nutzung aktuelle Fassung.

Stand: 12.09.2026

Angaben beruhen auf Code-Stand f1cf3bc7 und dem Register 12.09.2026.