DATENSCHUTZ

Datenschutzerklärung

Wer verarbeitet was, wozu, auf welcher Grundlage und wie lange – für die Website und für das Produkt getrennt.

NICHT MEHR AKTUELL

Dies ist die Fassung vom 24. September 2026. Sie ist nicht mehr aktuell und steht hier unverändert, damit nachvollziehbar bleibt, was unter ihr vereinbart wurde.

Aktuelle Fassung: 17. Oktober 2026

01 / VERANTWORTLICHER

Wer verantwortlich ist

Verantwortlich für die Verarbeitung auf dieser Website ist der im Impressum genannte Anbieter. Für die Daten, die im Produkt über Besucherinnen und Besucher unserer Kundinnen erhoben werden, ist die jeweilige Kundin verantwortlich; wir handeln dort als Auftragsverarbeiter.

Verantwortlicher: Kokolorum GmbH i. G.
Industriering Ost 66
47906 Kempen
Datenschutzbeauftragte Stelle: ePrivacy GmbH
vertreten durch Prof. Dr. Christoph Bauer und Stefanie Bauer
Bei den Mühren 5
20457 Hamburg
privacy@metrunio.com
Zuständige Aufsichtsbehörde: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestraße 2–4, 40213 Düsseldorf

02 / ZWEI ROLLEN

Die Unterscheidung, ohne die nichts stimmt

Metrunio verarbeitet Daten in zwei getrennten Rollen. Als Verantwortlicher für diese Website und für die Konten unserer Kundinnen. Als Auftragsverarbeiter für die Messdaten, die im Auftrag unserer Kundinnen auf deren Websites erhoben werden – dort bestimmt die Kundin Zweck und Mittel, nicht wir. Beide Rollen haben unterschiedliche Rechtsgrundlagen, Empfänger und Fristen; sie stehen deshalb getrennt.

03 / DIESE WEBSITE

Was beim Besuch dieser Website geschieht

Was beim Besuch dieser Website geschieht
Verarbeitung	Zweck	Rechtsgrundlage	Speicherdauer
Serverprotokolle	Auslieferung der Seiten, Abwehr von Angriffen	Art. 6 Abs. 1 lit. f DSGVO (Betrieb und Sicherheit)	7 Tage, IP-Adresse gekürzt
Demo-Anfrage	Bearbeitung Ihrer Anfrage und Kontaktaufnahme	Art. 6 Abs. 1 lit. b DSGVO (vorvertraglich)	6 Monate nach Abschluss der Anfrage, ohne Bearbeitung 6 Monate nach Eingang
Sprachwahl	Anzeige in der gewählten Sprache	Art. 6 Abs. 1 lit. f DSGVO, § 25 Abs. 2 Nr. 2 TDDDG	12 Monate, im Endgerät
Erklärvideos	Darstellung der Funktionsweise	Kein Zugriff auf das Endgerät; Auslieferung von unseren eigenen Servern	entfällt
Newsletter	Versand des Newsletters nach bestätigter Anmeldung	Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 Nr. 2 UWG (Einwilligung)	Bis zur Abmeldung; Adresse, Zeitpunkt und ein Hash der IP-Adresse bleiben danach drei Jahre als Nachweis der Einwilligung gesperrt stehen (§ 195 BGB) und werden dann gelöscht
Chat auf dieser Website	Beantwortung Ihrer Frage aus dem Hilfe-Center; die Antwort formuliert ein Sprachmodell bei Google Cloud (Vertex AI, Region europe-west3) aus den gefundenen Artikeln. E-Mail-Adressen, IBANs und Telefonnummern in Frage und Verlauf werden vorher unkenntlich gemacht; Ihre E-Mail-Adresse erhält das Modell nicht. Bei Bedarf Übergabe an eine Person	Art. 6 Abs. 1 lit. f DSGVO (Auskunft auf Anfrage); lit. b nur, wenn Ihre Anfrage selbst eine vorvertragliche Maßnahme ist. Sie können nach Art. 21 DSGVO widersprechen	Frage, Verlauf und eine angegebene E-Mail-Adresse 30 Tage nach dem letzten Beitrag; bei einem wiederkehrenden Supportfall 365 Tage nach dem letzten Beitrag; auf Ihr Verlangen früher. Bei einem Missbrauchsverdacht kann Google Eingaben bis zu 90 Tage aufbewahren
Anfragen per E-Mail an support@metrunio.com	Beantwortung Ihrer Anfrage. Ein Sprachmodell bei Google Cloud (Vertex AI, Region europe-west3) formuliert die Antwort aus unserem Hilfe-Center; E-Mail-Adressen, IBANs und Telefonnummern im Text werden vorher unkenntlich gemacht, Ihre Absenderadresse erhält das Modell nicht. Was das Hilfe-Center nicht beantwortet oder Vertrag, Preis, Recht, Beschwerden und Sicherheit betrifft, bearbeitet eine Person	Art. 6 Abs. 1 lit. f DSGVO (Auskunft auf Anfrage); lit. b, wenn die Anfrage einen Vertrag mit Ihnen betrifft. Sie können nach Art. 21 DSGVO widersprechen	6 Monate nach der letzten Nachricht zum Vorgang; auf Ihr Verlangen früher. Bei einem Missbrauchsverdacht kann Google Eingaben bis zu 90 Tage aufbewahren

Was beim Besuch dieser Website geschieht, steht vollständig in der Tabelle darüber – ein Werkzeug eines Dritten ist nicht dabei. Unser eigenes Produkt misst diese Seite heute nicht; sobald es das tut, bekommt es dort eine eigene Zeile mit Zweck, Rechtsgrundlage und Speicherdauer. Ein Einwilligungsbanner gibt es nicht, solange keine Zeile eine Einwilligung braucht.

04 / KONTO UND REGISTRIERUNG

Was mit Ihren Angaben bei der Registrierung geschieht

Diese Angaben verarbeiten wir als Verantwortlicher – sie betreffen Sie als Kundin oder Kunden, nicht die Besucherinnen und Besucher Ihrer Website.

Was mit Ihren Angaben bei der Registrierung geschieht
Verarbeitung	Zweck	Rechtsgrundlage	Speicherdauer
Firmenname, Ihr Name, E-Mail-Adresse	Anlegen des Kontos, Anmeldung, Rechnungsstellung, Betriebsmitteilungen	Art. 6 Abs. 1 lit. b DSGVO (Vertrag)	Für die Dauer des Vertrags, danach nach den handelsrechtlichen Fristen
Passwort	Anmeldung	Art. 6 Abs. 1 lit. b DSGVO (Vertrag)	Nur als Argon2id-Hash gespeichert; nie im Klartext, auch nicht im Protokoll
Adresse Ihrer Website (freiwillig)	Vorbelegung der ersten Website in der Einrichtung	Art. 6 Abs. 1 lit. b DSGVO (Vertrag)	Für die Dauer des Vertrags
Bestätigungs-Token der E-Mail-Adresse	Nachweis, dass die Adresse Ihnen gehört	Art. 6 Abs. 1 lit. f DSGVO (Missbrauchsvermeidung)	7 Tage, danach verfällt der Link
Protokoll administrativer und sicherheitsrelevanter Vorgänge, einschließlich Anmeldungen	Nachvollziehbarkeit sicherheitsrelevanter Änderungen	Art. 6 Abs. 1 lit. c und f DSGVO (Rechenschaft, Sicherheit)	Solange das Konto besteht, danach mit allen Kontodaten 30 Tage nach Vertragsende; ein Protokoll mit Verfallsdatum belegt nichts
Rechnungsanschrift, Umsatzsteuer-Identifikationsnummer, Rechnungs- und Abonnementstatus	Abrechnung und Rechnungsstellung über den Zahlungsdienstleister	Art. 6 Abs. 1 lit. b und c DSGVO (Vertrag, handels- und steuerrechtliche Pflichten)	Acht Jahre nach Ablauf des Kalenderjahres der Rechnung – die Frist für Buchungsbelege seit 2025 (§ 147 Abs. 3 AO, § 257 Abs. 4 HGB); Handelsbücher und Jahresabschlüsse zehn Jahre. Das Zahlungsmittel selbst geben Sie beim Zahlungsdienstleister ein; es liegt nicht bei uns
Anmeldesitzung und zweiter Faktor	Angemeldet bleiben, Schutz vor der Übernahme des Kontos	Art. 6 Abs. 1 lit. b DSGVO (Vertrag); für das Sitzungs-Cookie § 25 Abs. 2 Nr. 2 TDDDG (technisch erforderlich)	Bis zur Abmeldung oder zum Ablauf der Sitzung; serverseitig jederzeit widerrufbar. Das Geheimnis des zweiten Faktors, solange Sie ihn eingeschaltet lassen
Befristeter Supportzugriff auf Ihren Mandanten	Bearbeitung einer Anfrage, die sich ohne Einsicht nicht klären lässt – erteilt von Ihnen, nicht von uns	Art. 6 Abs. 1 lit. b DSGVO (Vertrag)	Der Zugriff endet mit der von Ihnen gesetzten Frist. Begründung, Zeitraum und die ausgeführten Vorgänge bleiben im Protokoll
Fragen an den Datenassistenten im Portal: Ihre Frage, der bisherige Gesprächsverlauf und die Ergebnisse der dafür abgefragten Auswertungen	Beantwortung Ihrer Frage durch ein Sprachmodell bei Google Cloud (Vertex AI, Region europe-west3). E-Mail-Adressen, IBANs und Telefonnummern in der Frage werden vorher unkenntlich gemacht, Namen nicht. Bestellnummern und Journey-Kennungen aus Ihren Daten gehen nur als Kürzel hinaus, die allein für diese Anfrage gelten. Google verwendet die Eingaben nicht zum Training	Art. 6 Abs. 1 lit. b DSGVO (Vertrag), soweit Sie selbst unser Vertragspartner sind und die Antwort für die angefragte Leistung erforderlich ist; im Übrigen Art. 6 Abs. 1 lit. f DSGVO (Beantwortung einer selbst gestellten Frage bei der Nutzung des Portals). Sie können nach Art. 21 DSGVO widersprechen	Bei uns keine Speicherung: Der Gesprächsverlauf liegt nur in Ihrem Browser; mit jeder Frage gehen höchstens die letzten zwölf Nachrichten mit, frühere Antworten mit einzelnen Datensätzen nicht. Bei einem Missbrauchsverdacht kann Google Anfragen bis zu 90 Tage aufbewahren und durch befugte Beschäftigte prüfen lassen
Nachweis des Vertragsschlusses: Firma und Anschrift, Fassungen von AGB, Datenschutzhinweisen und Auftragsverarbeitungsvertrag, Zeitpunkte, handelnde Person (Name, E-Mail-Adresse, Funktion oder Shopify-Kennung), Vertretungserklärung, Herkunft und Shop-Kennung	Nachweis, wer wann für welches Unternehmen welcher Fassung zugestimmt hat – auch gegenüber einer Aufsichtsbehörde (Art. 28 Abs. 9 DSGVO); Geltendmachung und Abwehr von Ansprüchen	Art. 6 Abs. 1 lit. f DSGVO (Nachweis des Vertragsschlusses, Rechtsverteidigung)	Während des Vertrags beim Konto. Nach Vertragsende nur diese Angaben, getrennt vom gelöschten Konto, bis zum Ende des dritten Kalenderjahres nach Vertragsende; danach werden sie automatisch gelöscht

Einrichtung über die Shopify-App

Bei der Einrichtung über unsere Shopify-App erhalten wir von Shopify die zur Zuordnung erforderlichen Shop-Daten (Shop-Kennung, Name, Sprache, Währung, Zeitzone und Domains des Shops), den in den Shop-Stammdaten hinterlegten Namen des Shop-Inhabers und die dort hinterlegte E-Mail-Adresse, die zur Kontaktadresse des Kontos wird, sowie die Rechnungsanschrift des Shops. Die Rechnungsanschrift schlagen wir lediglich als Firma und Anschrift für den Auftragsverarbeitungsvertrag vor; gespeichert wird, was die handelnde Person bestätigt. Von der Person, die die App bedient und das Konto anlegt, erhalten wir ihre Shopify-Nutzerkennung, ihren Namen, ihre E-Mail-Adresse und die Angabe, ob Shopify sie als Inhaber des Shops ausweist. Diese Person wird Inhaberin des Metrunio-Kontos; mit ihren Angaben halten wir fest, wer den AGB und dem Auftragsverarbeitungsvertrag zugestimmt hat. Wir verwenden diese Angaben zur Einrichtung und Verwaltung des Metrunio-Kontos und zur Verbindung mit dem Shop.

Soweit die betroffene Person selbst Vertragspartei ist und die Verarbeitung erforderlich ist, beruht sie auf Art. 6 Abs. 1 lit. b DSGVO. Bei Ansprechpartnern eines Unternehmens beruht sie auf Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Verwaltung des Geschäftskundenkontos und der Kommunikation zur Vertragsdurchführung. Einer Verarbeitung nach lit. f können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, nach Art. 21 DSGVO widersprechen; Ihre übrigen Rechte stehen unter „Was Sie verlangen können“. Wir speichern die Angaben wie die Kontodaten in der ersten Zeile der Tabelle oben: für die Dauer des Vertrags, danach nach den handelsrechtlichen Fristen. Der Nachweis der Zustimmung und des Vertragsschlusses bleibt nach Vertragsende in minimierter Form bis zum Ende des dritten Kalenderjahres nach Vertragsende (letzte Zeile der Tabelle). Stimmt die im Shop hinterlegte Adresse des Inhabers nicht mit der Adresse der handelnden Person überein – etwa weil eine Mitarbeiterin oder eine Agentur die App eingerichtet hat –, erhält der Shop-Inhaber diese Informationen nach Art. 14 DSGVO per E-Mail.

Wir werten Ihre Kontodaten nicht für Werbung aus und geben sie nicht an Dritte weiter, die nicht als Auftragsverarbeiter für uns tätig sind. Ihr Konto können Sie jederzeit löschen lassen; die Messdaten Ihres Mandanten werden dabei mit gelöscht.

05 / IM PRODUKT

Was Metrunio auf den Websites unserer Kundinnen misst

Pseudonyme Kennungen für Sitzung und Endgerät, sofern eine Einwilligung vorliegt.
Kampagnen-, Klick- und Impressionskennungen aus Werbemitteln.
Ereignisdaten wie Seitenaufrufe, Interaktionen und Conversions mit Wert und Währung.
Gekürzte beziehungsweise gehashte technische Merkmale; keine Speicherung roher IP-Adressen.
Keine Klartext-E-Mail-Adressen oder Telefonnummern in Analytics-Ereignissen; ein Ereignis, das welche enthält, wird abgelehnt.
Der Einwilligungszustand wird je Ereignis mitgespeichert und ausgewertet. Ohne passende Einwilligung wird kein Werbeereignis gespeichert – auch nicht roh.
Eine Sichtkennung für Post-View: ein Cookie auf der Messadresse unserer Kundin (`metrunio_view`, 30 Tage, ausschließlich für diese Adresse), das Impression-Pixel und Viewability-Tag nur bei Marketing-Einwilligung setzen und das der Browser beim Besuch im Shop zurückträgt. Verwirft der Browser es, wird es durch nichts ersetzt – kein Fingerprinting, keine Wahrscheinlichkeitsrechnung.

Rechtsgrundlage ist die Einwilligung der betroffenen Person nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG, eingeholt über die Einwilligungsverwaltung unserer Kundin. Die Aufbewahrungsdauer bestimmt die Kundin im Rahmen ihres Tarifs; die Voreinstellung beträgt 180 Tage für Rohdaten.

Schaltet unsere Kundin die Reichweitenmessung für Besuche ohne Einwilligung ein, wird ohne Einwilligung keine Kennung gespeichert. Es entsteht ausschließlich eine Zählung je Tag, Website, Kanal und Quelle, aus der sich keine Person wiedererkennen lässt; eine Auskunft oder Löschung kann darin nichts finden, weil nichts über eine Person darin steht. Die Rechtsgrundlage bestimmt unsere Kundin als Verantwortliche, wir verarbeiten auf ihre Weisung. Quellen mit weniger als fünf Aufrufen erscheinen im Bericht zusammengefasst statt einzeln, und die Zählung läuft nach derselben Frist ab wie die Ereignisse.

Meldet unsere Kundin Bestellungen und Erstattungen serverseitig, ohne dass eine Entscheidung über die Einwilligung vorliegt, speichern wir sie ohne Kennungen: Bestellnummer, Beträge, Artikel, Zeitpunkt. Anonyme Kennung, Sitzung, pseudonyme Kundennummer, Klickkennung, IP-Merkmal, aufgerufene Seite und Kampagnenangaben werden vor dem Speichern entfernt; die Bestellung wird mit keinem Werbekontakt verbunden und an keine Werbeplattform übermittelt. Ausgenommen sind Bestellungen, deren Bestellnummer zuvor oder danach aus einer Browsersitzung mit Einwilligung übermittelt wurde: Sie werden dieser Sitzung zugeordnet und wie eine Bestellung mit Einwilligung ausgewertet; die gespeicherte Bestellung selbst erhält dabei keine Kennungen. Eine abgelehnte Einwilligung führt weiterhin dazu, dass nichts gespeichert wird. Die Rechtsgrundlage bestimmt unsere Kundin als Verantwortliche; in Betracht kommt ihr berechtigtes Interesse an vollständigen Umsatzzahlen (Art. 6 Abs. 1 lit. f DSGVO). Diese Einordnung ist ein Entwurf und rechtlich noch nicht geprüft.

06 / ORT DER VERARBEITUNG

Wo die Daten liegen – und wer von außerhalb der EU zugreifen kann

Anwendung, Datenbank und Analysespiegel und das Sprachmodell der Fragefunktion im Portal laufen in der Europäischen Union, in der Region europe-west3 (Frankfurt). Vertragspartei ist jeweils eine Gesellschaft mit Sitz in der EU.

Das allein wäre keine vollständige Auskunft. Zur Verwaltung und im Support kann eine Konzerngesellschaft unseres Anbieters von außerhalb der EU auf die Systeme zugreifen; Grundlage sind die EU-Standardvertragsklauseln zuzüglich des Angemessenheitsbeschlusses. Welcher Empfänger wo verarbeitet, mit wem der Vertrag besteht und welche Zugriffe möglich sind, steht je Eintrag in der Liste der weiteren Auftragsverarbeiter.

07 / EMPFÄNGER

Wer die Daten außer uns sieht

Wir setzen Dienstleister ein, die für uns Server betreiben, E-Mails zustellen und Zahlungen abwickeln. In welcher Rolle sie dabei verarbeiten, ist nicht überall dieselbe – und davon hängt ab, welcher Vertrag gilt und wessen Weisungen sie folgen.

Auftragsverarbeiter nach Art. 28 DSGVO: Betrieb der Anwendung, Postfach und E-Mail-Versand. Sie verarbeiten ausschließlich weisungsgebunden.
Der Zahlungsdienstleister in einer Doppelrolle: Für die Vertragsdaten, die wir übergeben, ist er Auftragsverarbeiter. Für die Zahlung selbst ist er eigener Verantwortlicher – Zahlungsdiensterecht und Geldwäscherecht legen ihm eigene Pflichten auf, und wer eigene Pflichten hat, folgt insoweit keiner Weisung.
Werbeplattformen sind keine Auftragsverarbeiter. Sie erhalten nur dann etwas, wenn unsere Kundin die Rückgabe von Conversions einschaltet, und verarbeiten dann als eigene oder gemeinsam Verantwortliche zu eigenen Zwecken.

An Werbeplattformen geben wir nichts weiter, es sei denn, unsere Kundin schaltet die Rückgabe von Conversions ausdrücklich ein. Auch dann werden nur die Kennungen zurückgegeben, die von der jeweiligen Plattform stammen.

Unterlagen für die Prüfung

08 / IHRE RECHTE

Was Sie verlangen können

Auskunft über die zu Ihnen verarbeiteten Daten (Art. 15 DSGVO).
Berichtigung unrichtiger Daten (Art. 16 DSGVO).
Löschung (Art. 17 DSGVO).
Einschränkung der Verarbeitung (Art. 18 DSGVO).
Datenübertragbarkeit (Art. 20 DSGVO).
Widerspruch gegen eine Verarbeitung auf Grundlage berechtigter Interessen (Art. 21 DSGVO).
Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).
Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO).

Betrifft Ihr Anliegen Messdaten von der Website eines unserer Kunden, richten Sie es bitte an diesen Kunden – er ist dort der Verantwortliche. Wir unterstützen ihn dabei: Das Produkt hat einen eigenen Bereich für Auskunft, Löschung und Widerspruch, und eine Löschung wirkt über eine Sperrliste fort, damit dieselbe Kennung nicht in der nächsten Minute erneut erfasst wird.

09 / WAS WIR NICHT TUN

Ausdrücklich ausgeschlossen

Kein Fingerprinting über Geräteeigenschaften.
Keine probabilistische Zuordnung über Wahrscheinlichkeiten.
Keine Verknüpfung über Mandantengrenzen hinweg.
Kein Verkauf und keine Weitergabe zu eigenen Werbezwecken.
Keine Speicherung roher IP-Adressen.

10 / STAND

Status dieses Textes

Stand: 24. September 2026

Die Beschreibung der Verarbeitungen entspricht dem, was die Software tut. Sie ersetzt keine Rechtsberatung: Rechtsgrundlagen, Fristen, Empfänger und die Angaben zum Verantwortlichen sind vor der Veröffentlichung durch eine Datenschutzberatung zu prüfen.

Änderungen an dieser Erklärung stehen im Änderungsprotokoll unter Status.

11 / FASSUNGEN

Alle Fassungen

Jede Fassung bleibt unter ihrem Datum dauerhaft und unverändert abrufbar; auf diese Adressen verweist die Bestätigung per E-Mail nach einem Abschluss im Portal oder über die Shopify-App, und im Portal liegt der vereinbarte Wortlaut selbst.