Datenschutzerklärung

Verantwortlich für die Verarbeitung auf dieser Website ist der im Impressum genannte Anbieter. Für die Daten, die im Produkt über Besucherinnen und Besucher unserer Kundinnen erhoben werden, ist die jeweilige Kundin verantwortlich; wir handeln dort als Auftragsverarbeiter.

Verantwortlicher

Kokolorum GmbH
Industriering Ost 66
47906 Kempen

Datenschutzbeauftragte Stelle

heyData GmbH
Schützenstraße 5
10117 Berlin
www.heydata.eu
datenschutz@heydata.eu

Anlaufstelle für Datenschutzanliegen

privacy@metrunio.com

Zuständige Aufsichtsbehörde

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestraße 2–4, 40213 Düsseldorf

Metrunio verarbeitet Daten in zwei getrennten Rollen. Als Verantwortlicher für diese Website und für die Konten unserer Kundinnen. Als Auftragsverarbeiter für die Messdaten, die im Auftrag unserer Kundinnen auf deren Websites erhoben werden – dort bestimmt die Kundin Zweck und Mittel, nicht wir. Beide Rollen haben unterschiedliche Rechtsgrundlagen, Empfänger und Fristen; sie stehen deshalb getrennt.

Art. 6 Abs. 1 lit. b DSGVO gilt nur, soweit Sie als natürliche Person selbst unsere Vertragspartei sind und die Verarbeitung für den Vertrag erforderlich ist. Handeln Sie für ein Unternehmen, etwa als Geschäftsführerin, Mitarbeiter oder beauftragte Agentur, beruht die Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der Einrichtung und Verwaltung des Geschäftskundenkontos, der Anmeldung und der Sicherheit Ihres Zugangs, der Abrechnung und der Kommunikation zur Vertragsdurchführung. Einer Verarbeitung nach lit. f können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, nach Art. 21 DSGVO widersprechen.

Einrichtung über die Shopify-App

Bei der Einrichtung über unsere Shopify-App erhalten wir von Shopify die zur Zuordnung erforderlichen Shop-Daten (Shop-Kennung, Name, Sprache, Währung, Zeitzone und Domains des Shops), den in den Shop-Stammdaten hinterlegten Namen des Shop-Inhabers und die dort hinterlegte E-Mail-Adresse, die zur Kontaktadresse des Kontos wird, sowie die Rechnungsanschrift des Shops. Die Rechnungsanschrift schlagen wir lediglich als Firma und Anschrift für den Auftragsverarbeitungsvertrag vor; gespeichert wird, was die handelnde Person bestätigt. Von der Person, die die App bedient und das Konto anlegt, erhalten wir ihre Shopify-Nutzerkennung, ihren Namen, ihre E-Mail-Adresse und die Angabe, ob Shopify sie als Inhaber des Shops ausweist. Diese Person wird Inhaberin des Metrunio-Kontos; mit ihren Angaben halten wir fest, wer den AGB und dem Auftragsverarbeitungsvertrag zugestimmt hat. Wir verwenden diese Angaben zur Einrichtung und Verwaltung des Metrunio-Kontos und zur Verbindung mit dem Shop.

Soweit die betroffene Person selbst Vertragspartei ist und die Verarbeitung erforderlich ist, beruht sie auf Art. 6 Abs. 1 lit. b DSGVO. Bei Ansprechpartnern eines Unternehmens beruht sie auf Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Verwaltung des Geschäftskundenkontos und der Kommunikation zur Vertragsdurchführung. Einer Verarbeitung nach lit. f können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, nach Art. 21 DSGVO widersprechen; Ihre übrigen Rechte stehen unter „Was Sie verlangen können“. Wir speichern die Angaben wie die Kontodaten in der ersten Zeile der Tabelle oben: für die Dauer des Vertrags und danach bis zur Löschung des Kontos 30 Tage nach Vertragsende. Der Nachweis der Zustimmung und des Vertragsschlusses bleibt nach Vertragsende in minimierter Form so lange, wie es die Zeile „Nachweis des Vertragsschlusses“ der Tabelle nennt, in der Regel sechs Jahre nach dem Jahr des Vertragsschlusses (§ 257 HGB). Stimmt die im Shop hinterlegte Adresse des Inhabers nicht mit der Adresse der handelnden Person überein – etwa weil eine Mitarbeiterin oder eine Agentur die App eingerichtet hat –, erhält der Shop-Inhaber diese Informationen nach Art. 14 DSGVO per E-Mail.

Anmeldung bei Google Ads und Meta

Verbinden Kundinnen ihr Werbekonto über die Anmeldung bei Google oder Meta, erhalten wir von der Plattform ein Zugangsdatum. Bei Google ist das ein Refresh-Token, bei Meta ein langlebiges Zugriffstoken. Wir speichern es verschlüsselt (AES-256-GCM) und an den Mandanten gebunden. Es wird weder angezeigt noch protokolliert.

Mit diesem Zugang lesen wir aus dem gewählten Werbekonto:

• die Liste der zugänglichen Konten mit Name, Kennung und Währung, damit das richtige gewählt werden kann;
• Kosten, Impressionen und Klicks je Kampagne und Tag.

Hat die Kundin die Rückgabe von Conversions eingeschaltet, melden wir außerdem Conversions an ihr Konto. Übermittelt werden die Klickkennung der Plattform, Art, Zeitpunkt, Wert und Währung der Conversion, je nach Plattform eine Ereigniskennung, mit der die Plattform doppelte Meldungen erkennt (Meta, TikTok, LinkedIn), die Bestellnummer (Google, Meta, TikTok) und die Adresse der Seite, auf der der Klick ankam (Meta, TikTok). Als Wert übermitteln wir den Umsatz der Conversion oder, wenn die Kundin es für ein Ziel so einstellt, bei Bestellungen den Deckungsbeitrag (Nettowert abzüglich Wareneinsatz). Beschränkt die Kundin ein Ziel auf Erstbestellungen, meldet es nur solche; die Plattform erfährt daraus mittelbar, dass eine Bestellung eine Erstbestellung war. E-Mail-Adressen, Telefonnummern, IP-Adressen, Browsermerkmale und unsere eigenen Personen- oder Gerätekennungen übermitteln wir nicht. Gemeldet wird nur mit Marketing-Einwilligung, bei Google zusätzlich nur mit der Einwilligung `ad_user_data` oder der Einwilligungskategorie, die die Kundin ihr zugeordnet hat. Kampagnen, Anzeigen, Gebote und Budgets verändern wir nicht.

Die Daten dienen allein dazu, der Kundin ihre eigenen Kosten neben ihren eigenen Conversions zu zeigen und ihre Conversions an ihr eigenes Konto zurückzumelden. Auf ihre Frage hin kann der Datenassistent im Portal dieselben Kostenzahlen lesen. Er läuft auf Vertex AI in der Region europe-west3, und seine Eingaben dienen nicht dem Training von Modellen. Wir verkaufen die Daten nicht, nutzen sie nicht für Werbung und führen sie nicht mandantenübergreifend zusammen. An Dritte geben wir sie nur weiter, wenn die Kundin selbst ein KI-Werkzeug oder Programm mit ihrem Konto verbindet und uns damit anweist, ihre Daten dorthin zu übermitteln (siehe „Verbindung mit KI-Werkzeugen anderer Anbieter“).

Die Nutzung von Daten, die wir über Google-APIs erhalten, richtet sich nach der Google API Services User Data Policy, einschließlich der „Limited Use“-Anforderungen.

Wird die Verbindung in Metrunio getrennt, löschen wir das Zugangsdatum sofort. Der Zugang lässt sich jederzeit auch bei der Plattform widerrufen, unter myaccount.google.com/permissions bzw. in den Einstellungen von Meta unter „Business-Integrationen“. Die importierten Kosten bleiben, solange das Konto bei Metrunio besteht, und werden mit ihm gelöscht. Eine Löschung einzelner Daten ist jederzeit über privacy@metrunio.com möglich.

Verbindung mit KI-Werkzeugen anderer Anbieter

Verbinden Sie über die Freigabeseite im Portal ein KI-Werkzeug eines anderen Anbieters mit Ihrem Konto, etwa Claude von Anthropic oder ChatGPT von OpenAI, oder legen Sie einen Lese-Schlüssel an, erhält dieses Werkzeug oder Programm eine fortbestehende Leseberechtigung für die Messdaten des Kontos. Das verbundene Werkzeug kann innerhalb der erteilten Berechtigung Daten für Ihre Auswertungen abrufen; welche Abrufe es ausführt, entscheidet es im Rahmen seiner eigenen Abläufe. Freigeben und Schlüssel anlegen können nur die Admins des Kontos, und erst nach einem Hinweis, was die Freigabe bedeutet.

Abrufbar sind Kennzahlen und Aufschlüsselungen, darunter die aus Google Ads, Meta und anderen verbundenen Werbekonten importierten Werbekosten, einzelne Conversions mit Zeitpunkt, Wert und der Bestellnummer im Klartext sowie pseudonyme Customer Journeys mit Kennung, Zeitpunkten und Kanälen. Kennzahlen sind zusammengefasst; Rückschlüsse auf einzelne Vorgänge können trotzdem möglich sein. Namen, E-Mail-Adressen, IP-Adressen, Browserkennungen, Klickkennungen der Werbeplattformen und die besuchten Seiten gibt die Verbindung nicht aus. Bestellungen, die der Shop ohne Tracking-Einwilligung gemeldet hat, gibt die Verbindung nicht als einzelne Datensätze aus; in zugelassenen Kennzahlen wie Anzahl und Umsatzsummen sind sie enthalten, und bei kleinen Zahlen können daraus Rückschlüsse auf einzelne Bestellungen möglich sein.

Die Messdaten der Besucherinnen, Besucher und Kunden unserer Kunden geben wir dabei als Auftragsverarbeiter auf Weisung unseres Kunden heraus; die Rechtsgrundlage für diese Weitergabe bestimmt unser Kunde als Verantwortlicher. Der Anbieter des Werkzeugs ist nicht unser Unterauftragnehmer. Er verarbeitet die abgerufenen Daten nach den Bedingungen des Kontos, das unser Kunde bei ihm führt, gegebenenfalls auch außerhalb der Europäischen Union. Den Vertrag mit ihm, einen gegebenenfalls erforderlichen Auftragsverarbeitungsvertrag und die Voraussetzungen einer Übermittlung in Drittländer stellt unser Kunde sicher; unsere eigenen Pflichten als Auftragsverarbeiter bleiben bestehen. Für die Angaben zur Freigabe selbst sind wir verantwortlich; sie stehen in der Tabelle oben.

Die besonderen Schutzmaßnahmen unseres Datenassistenten im Portal gelten für diese Verbindung nicht: Bestellnummern und Journey-Kennungen gehen nicht als Kürzel hinaus, die Begrenzung der Einzelzeilen je Frage gilt nicht, und für Speicherung, Training und Löschung beim Anbieter gelten dessen Bedingungen, nicht die von Google Cloud für Vertex AI.

Eine Freigabe trennen Sie jederzeit im Portal unter „Exporte & KI-Verbindungen“; dort widerrufen Sie auch einen Lese-Schlüssel. Ab seiner nächsten Anfrage erhält das Werkzeug dann keine Daten mehr. Daten, die es bereits abgerufen hat, löscht das Trennen beim Anbieter nicht; das richtet sich nach Ihrem Vertrag mit ihm.

Partner empfehlen Metrunio und erhalten dafür eine Provision. Von Partnern, soweit sie natürliche Personen sind, und von Ansprechpersonen eines Partnerunternehmens verarbeiten wir Name, Anschrift, E-Mail-Adresse für die Abrechnung, Steuernummer oder Umsatzsteuer-Identifikationsnummer, Steuerstatus und den Tag der Partnervereinbarung, dazu je geworbenem Kunden den bezahlten Nettobetrag und den Monat der Zahlung. Zweck ist die Zuordnung geworbener Kunden zum Partner, die Berechnung der Provision, die Gutschrift (§ 14 Abs. 2 UStG) und die Buchführung.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Partnervereinbarung), bei Ansprechpersonen eines Partnerunternehmens Art. 6 Abs. 1 lit. f DSGVO (Durchführung der Partnervereinbarung mit dem Unternehmen; Sie können nach Art. 21 DSGVO widersprechen), für die Aufbewahrung Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO und § 257 HGB. Gutschriften bewahren wir als Buchungsbelege acht Jahre ab dem Ende des Kalenderjahres auf; die Stammdaten bis zum Ende der Partnerschaft und darüber hinaus, solange eine Gutschrift aufzubewahren ist, die sie nennt. Empfänger sind unsere Steuerberatung und, für den Betrieb, die unter „Empfänger“ genannten Auftragsverarbeiter.

Registriert sich ein Kunde mit dem Empfehlungscode eines Partners, speichern wir beim Konto, welchem Partner es zugeordnet ist, und für die Provision die bezahlten Beträge je Monat. Der Partner erhält keine kundenweise Aufschlüsselung: Seine Gutschrift nennt je Provisionssatz nur die Summe und die Anzahl der Kunden. Bei kleinen Gruppen, etwa wenn in einem Provisionssatz nur ein Kunde steht, können daraus Rückschlüsse auf den Betrag einzelner Kunden möglich sein. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Abrechnung des Partnerprogramms); die Beträge je Kunde bleiben als Grundlage der Gutschrift so lange wie diese. Für Kunden, die in den zwölf Monaten vor ihrer Registrierung mit Empfehlungscode schon ein Konto bei uns hatten, zahlen wir keine Provision. Dazu vergleichen wir Firmenname und E-Mail-Domain der Registrierung mit bestehenden Konten. Von gelöschten Konten bewahren wir dafür zwölf Monate ab der Löschung nur je eine mit einem geheimen Schlüssel gebildete Prüfsumme (HMAC) des Firmennamens und der E-Mail-Domains der Admins auf, ohne Domains allgemeiner E-Mail-Anbieter und ohne Klartext. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt darin, das Partnerprogramm gegen Missbrauch abzusichern.

• Pseudonyme Kennungen für Sitzung und Endgerät, sofern eine Einwilligung vorliegt. Vor der Entscheidung im Einwilligungsbanner hält das Skript Ereignisse nur im Arbeitsspeicher der Seite; nach einer Zustimmung sendet es sie mit dieser Einwilligung, nach einer Ablehnung oder beim Verlassen der Seite verwirft es sie.
• Kampagnenangaben aus Werbemitteln. Einzelne Klick- und Impressionskennungen, unsere eigenen wie die der Werbeplattformen (etwa gclid oder fbclid), nur mit Marketing-Einwilligung; bei einer Einwilligung nur in Statistik bleibt allein die Angabe, von welcher Plattform ein Klick kam.
• Ereignisdaten wie Seitenaufrufe, Interaktionen und Conversions mit Wert und Währung.
• IP-Adressen verarbeiten wir bei der Übertragung und zur Begrenzung der Anfragen und speichern sie im Ereignisbestand nicht, auch nicht als Prüfsumme. Eine früher dort gespeicherte gekürzte Prüfsumme bilden wir seit dem 14.10.2026 nicht mehr und haben vorhandene Werte gelöscht. Weitere technische Merkmale werden gekürzt oder gehasht gespeichert.
• Keine Klartext-E-Mail-Adressen oder Telefonnummern in Analytics-Ereignissen. Ereignisse, die bei der Annahme abgewiesen werden (ungültiges Format, Zeitpunkt außerhalb des zulässigen Fensters oder E-Mail-Adresse/Telefonnummer im Klartext), werden nicht gespeichert. Festgehalten werden zur Fehlersuche nur Fehlergrund, Zeitpunkt, Quelle, Website, Ereignistyp und die Namen der betroffenen Felder mit Art und Länge des Werts, keine Feldinhalte und keine Kennungen. Diese Angaben werden mit der Rohdatenfrist unserer Kundin gelöscht (Standard 180 Tage).
• Der Einwilligungszustand wird je Ereignis mitgespeichert und ausgewertet. Ohne passende Einwilligung wird kein Werbeereignis gespeichert, auch nicht roh; festgehalten wird nur, ohne Kennung, dass ein Ereignis aus diesem Grund nicht gespeichert wurde.
• Eine Sichtkennung für Post-View: ein Cookie auf der Messadresse unserer Kundin (`metrunio_view`, 30 Tage, ausschließlich für diese Adresse). Gesetzt wird es nur bei Marketing-Einwilligung, durch Impression-Pixel und Viewability-Tag auf der Werbeseite oder durch das Messskript im Shop; der Browser trägt es beim Besuch im Shop zurück. Verwirft der Browser es, wird es durch nichts ersetzt: kein Fingerprinting, keine Wahrscheinlichkeitsrechnung. Widerruft die Person ihre Marketing-Einwilligung, entfernt die Messadresse das Cookie mit der Meldung des Widerrufs; widerruft sie ihre Einwilligung vollständig, löscht das Skript zusätzlich pseudonyme Kennung und Sitzung im Browser. Bereits erfasste Werbekontakte, die mit diesem Browser verbunden sind, werden gelöscht; eine spätere Einwilligung beginnt ohne sie.
• Bei Bestellungen, die ein Shop mit Einwilligung meldet, eine pseudonyme Kundenkennung: die Kundennummer des Shops oder eine Prüfsumme (SHA-256) der E-Mail-Adresse, wie sie unsere Shopify-App und unsere Plugins für Shopware und WordPress übermitteln. Wir verrechnen jeden dieser Werte beim Empfang mit einem Schlüssel, der für jede Kundin ein anderer ist, und speichern nur das Ergebnis; dieselbe Person ergibt bei zwei Kundinnen zwei verschiedene Werte. Die Kennung verbindet Käufe derselben Person über Geräte hinweg und wird an keine Werbeplattform übermittelt.
• Eine Weiterleitung für Klicks auf Werbemittel: Unsere Messadresse leitet zur Website unserer Kundin weiter. Liegt kein Einwilligungssignal der Werbeseite vor, hängt sie an die Zieladresse nur die Kennung der Kampagne an (`metrunio_camp`, für alle Klicks derselben Kampagne gleich) und speichert keinen Klick; festgehalten wird nur, ohne Kennung, dass ein Klick aus diesem Grund nicht gespeichert wurde.
• Betreibt unsere Kundin eine eigene Messdomäne unter ihrer Domäne, legen wir die pseudonyme Besucherkennung zusätzlich als Cookie auf dieser Domäne ab (`metrunio_aid`), nur mit Einwilligung in Analyse. Das Cookie macht dieselbe Kennung auf allen Subdomänen dieser Domäne lesbar, etwa im Shop und im Checkout, und erkennt einen Browser auch dann wieder, wenn der Speicher der Seite geleert wurde. Zweck ist, Besuche und Bestellungen desselben Browsers zu verbinden. Es gilt 13 Monate; Safari begrenzt es auf sieben Tage. Ein Widerruf entfernt es.
• Hat unsere Kundin die Nachkauf-Frage eingeschaltet, fragt die Seite nach dem Kauf, wie Sie auf sie aufmerksam geworden sind, mit einer festen Auswahl und ohne Freitext. Gefragt wird nur mit Einwilligung in Analyse. Die Antwort speichern wir mit der Bestellnummer und der pseudonymen Kennung des Browsers und verbinden sie mit der Bestellung und dem Besuchsverlauf; eine anonyme Umfrage ist sie also nicht. Sie geht an keine Werbeplattform und wird mit den übrigen Ereignissen gelöscht.
• Hat unsere Kundin die Herkunft im Formular eingeschaltet, schreibt das Skript Herkunftsangaben in verdeckte Felder ihrer Formulare: eine Kennung der Anfrage, Quelle, Medium, Kampagne und Werbeplattform, mit Marketing-Einwilligung zusätzlich die Klickkennung. Das geschieht standardmäßig nur mit Einwilligung in Analyse; ohne sie schreibt das Skript nichts in Formulare und liest dafür auch die Adresse der Seite nicht aus. Für einzelne Websites kann unsere Kundin es auch ohne Einwilligung einschalten; dann werden nur Quelle, Medium und Kampagne aus der Adresse der gerade aufgerufenen Seite übernommen, und unsere Kundin muss diese Einstellung selbst begründen. Die Felder gehen mit Ihrer Anfrage, also zusammen mit Name und E-Mail-Adresse, an das System unserer Kundin, etwa ihr CRM, nicht an uns. Dort kann sie Ihre Anfrage mit deren Herkunft verbinden und, wenn sie den Abschluss später bei uns einspielt, mit dem pseudonymen Besuchsverlauf. Das geschieht auf ihre Weisung und in ihrer Verantwortung; ihr System wird dadurch nicht unser Unterauftragnehmer.

Rechtsgrundlage für Kennungen und Ereignisse aus dem Browser ist die Einwilligung der betroffenen Person nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Auf der Website unserer Kundin holt deren Einwilligungsverwaltung sie ein. Bei Werbekontakten auf fremden Websites übermittelt der ausliefernde Adserver das Einwilligungssignal; einen eigenen Nachweis darüber erhalten wir nicht. Spielt unsere Kundin Conversions aus einer Datei ein, gibt sie je Zeile Herkunft, Zeitpunkt und einen Nachweis der Einwilligung an; wir prüfen diese Angaben auf Vollständigkeit und Widersprüche, nicht die Einwilligung selbst. Ohne Einwilligung geschieht nur, was in den folgenden Absätzen steht; die Rechtsgrundlage dafür bestimmt unsere Kundin als Verantwortliche. Die Aufbewahrungsdauer bestimmt die Kundin im Rahmen ihres Tarifs; die Voreinstellung beträgt 180 Tage für Rohdaten.

Ein Widerruf im Einwilligungsbanner wirkt für den Browser, in dem er erklärt wird. Widerruft die Person nur ihre Marketing-Einwilligung, löschen wir die Werbeereignisse dieses Browsers und die mit ihm verbundenen Werbekontakte und entfernen Klick- und Impressionskennungen aus seinen übrigen Ereignissen; was auf ihrer Einwilligung in Statistik beruht, bleibt. Widerruft sie vollständig, löschen wir alle Ereignisse dieses Browsers, einschließlich der Bestellungen, die der Shop mit seiner Kennung gemeldet hat. Noch nicht übermittelte Meldungen an Werbeplattformen halten wir an. Bereits übermittelte liegen bei der Plattform, und wir können sie nicht zurückholen; wir nennen unserer Kundin die Empfänger, damit sie ihrer Pflicht nachkommen kann, sie nach Art. 19 DSGVO zu unterrichten. Den Einwilligungsstand mit dem Zeitpunkt des Widerrufs speichern wir zur pseudonymen Kennung des Browsers als Nachweis, dass der Widerruf vollzogen ist, und um spätere Ereignisse dieses Browsers abzuweisen; er bleibt, solange er für die Verarbeitung oder die Durchsetzung des Widerrufs gebraucht wird. Ein Einwilligungsstand wird gelöscht, wenn der Browser 13 Monate lang weder seine Entscheidung geändert noch die Website besucht hat; den Stand nach einem Widerruf bewahren wir als Nachweis bis zum Ende des dritten Kalenderjahres nach dem Widerruf auf. Spätestens wird beides gelöscht, wenn die Website oder das Konto unserer Kundin gelöscht wird. Ein Bannerwiderruf ist keine Anfrage nach Art. 15 bis 21 DSGVO: Wer Auskunft, Löschung aller Daten zu seiner Person auf allen Geräten oder einen Widerspruch verlangt, richtet das an unsere Kundin, die es im Datenschutzbereich des Produkts umsetzt.

Die Reichweitenmessung für Besuche ohne Einwilligung lässt sich seit dem 29. September 2026 nicht mehr neu einschalten. Für Websites, bei denen unsere Kundin sie zuvor eingeschaltet hat, gilt: Ohne Einwilligung wird keine Personen- oder Gerätekennung gespeichert. Je Aufruf entsteht ein Ereignis mit Zeitpunkt, Seite ohne Abfrageteil, Seitentitel, Herkunft des Verweises und Kampagnenangaben, das zu einer Zählung je Tag, Website, Kanal und Quelle verdichtet wird. Weder Ereignis noch Zählung enthalten eine Kennung, über die eine Auskunft oder Löschung eine Person finden könnte. Die Rechtsgrundlage bestimmt unsere Kundin als Verantwortliche, wir verarbeiten auf ihre Weisung. Quellen mit weniger als fünf Aufrufen erscheinen im Bericht zusammengefasst statt einzeln, und Ereignisse wie Zählung laufen nach derselben Frist ab wie die übrigen Rohdaten.

Meldet der Shop unserer Kundin Bestellungen und Erstattungen serverseitig ohne Einwilligung in die Tracking-Messung, verarbeiten wir sie in ihrem Auftrag allein zur Umsatzabstimmung: zum Abgleich ihrer Umsätze, zum Erkennen doppelter Vorgänge und zur Zuordnung von Erstattungen. Dieser Zweck ist von der Tracking-Messung getrennt. Wir speichern dazu die Bestellnummer als erforderlichen Bestellschlüssel, die Art des Vorgangs, Betrag, Währung und den Tag der Bestellung ohne Uhrzeit, aber keine Browser-, Kunden- oder Werbekennungen: Pseudonyme Besucherkennung, Sitzung, pseudonyme Kundenkennung, Klickkennung, IP-Merkmal, aufgerufene Seite, Kampagnenangaben und Artikel werden vor dem Speichern entfernt. Die Daten bleiben grundsätzlich personenbezogen, weil unsere Kundin die Bestellnummer einer Person zuordnen kann. Die Bestellung wird mit keinem Besuch und keinem Werbekontakt verbunden und an keine Werbeplattform übermittelt; die einzige Ausnahme steht im nächsten Absatz. Das gilt für Bestellungen, zu denen der Shop keine Entscheidung über die Einwilligung übermittelt, weil keine getroffen wurde. Übermittelt der Shop eine Ablehnung, speichern wir die Bestellung in diesem Umfang nur, wenn unsere Kundin uns dafür eine gesonderte Weisung erteilt hat; ohne diese Weisung speichern wir sie nicht. Eine solche Bestellung wird nie einem Besuch zugeordnet. Die Rechtsgrundlage bestimmt unsere Kundin als Verantwortliche; in Betracht kommt ihr berechtigtes Interesse an vollständigen Umsatzzahlen (Art. 6 Abs. 1 lit. f DSGVO). Über diese Verarbeitung, ihre Rechtsgrundlage und den Widerspruchsweg hat unsere Kundin in ihrer eigenen Datenschutzerklärung zu informieren. Eine Ablehnung der Tracking-Messung ist für sich kein Widerspruch gegen die Umsatzabstimmung. Einen Widerspruch nach Art. 21 DSGVO richten Sie an unsere Kundin; setzt sie ihn im Datenschutzbereich des Produkts um, löschen wir die Daten zu Ihrer Bestellung und sperren die Bestellnummer für weitere Übermittlungen. Ein Widerruf Ihrer Einwilligung in die Tracking-Messung führt dazu, dass Bestellungen gelöscht werden, die mit dieser Einwilligung übermittelt wurden; in die Umsatzabstimmung werden sie nicht überführt.

Zuordnung über den Bestellvorgang. Sie betrifft nur Bestellungen, zu denen der Shop keine Entscheidung übermittelt hat, nie Bestellungen nach einer Ablehnung, und nur, wenn unsere Kundin sie gesondert eingeschaltet hat. Haben Sie im selben Bestellvorgang in die Tracking-Messung eingewilligt, deren Inhalt die Zuordnung von Bestellungen zu Besuchen und Werbekontakten umfasst, und bestand diese Einwilligung schon beim Kauf, ordnen wir die Bestellung auf dieser Grundlage Ihrem Besuch zu. Das geschieht in zwei Schritten. Schon wenn die Bestellung eingeht, legen wir einen kurz befristeten Abgleichsbestand an, auch wenn später kein passendes Ereignis aus einem Browser kommt: eine mit einem Schlüssel gebildete Prüfsumme der Kennung des Bestellvorgangs und den genauen Bestellzeitpunkt. Das betrifft auch Bestellungen, die am Ende keinem Besuch zugeordnet werden; die Rechtsgrundlage dafür bestimmt unsere Kundin als Verantwortliche, in Betracht kommt ihr berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Zugeordnet wird die Bestellung erst im zweiten Schritt und nur mit Ihrer Einwilligung. Prüfsumme und Bestellzeitpunkt verwenden wir nur bis 24 Stunden nach der Bestellung, die Prüfsumme an den Ereignissen des Browsers nur bis 24 Stunden nach deren Eingang; danach löschen wir sie im laufenden Betrieb. Für Sicherungen gelten deren eigene Fristen; nach einer Wiederherstellung werden abgelaufene Abgleichsdaten nicht mehr verwendet und mit dem nächsten Wartungslauf gelöscht. Widerrufen Sie die Einwilligung, löschen wir die Zuordnung und die Bestellung.

Ausgaben an Empfänger, die unsere Kundin bestimmt. Auf ihre Weisung übermitteln wir Daten an Ziele, die sie selbst einträgt: Webhooks an ihr eigenes System mit Bestell- oder Anfragekennung, Wert und Zeitpunkt einzelner Bestellungen, Anfragen oder Erstattungen; Kurzfassungen von Berichten und Hinweisen an einen Slack- oder Teams-Kanal; Exporte und Abrufe über die Lese-Schnittstelle oder ein verbundenes Werkzeug. Die Empfänger werden dadurch nicht unsere Unterauftragnehmer. Betrifft eine Löschung, ein Widerspruch oder ein Widerruf eine Nachricht, die noch nicht zugestellt ist, senden wir sie nicht mehr. Bereits zugestellte Daten können wir nicht zurückholen; wir nennen unserer Kundin die Empfänger, damit sie ihrer Pflicht nach Art. 19 DSGVO nachkommen kann. Damit wir die Empfänger auch später nennen können, behalten wir je Zustellung nur Ziel, Zeitpunkt und eine Prüfsumme der Bestell- oder Anfragekennung, ohne Inhalt, so lange wie die übrigen Rohdaten. Auch Ausgaben ohne Namen oder E-Mail-Adresse können personenbezogen sein, und das gilt ebenso für den Analysespiegel in BigQuery, den wir für die Konten aller Kundinnen in derselben Region führen und aus dem Berichte je Konto ab größeren Datenmengen rechnen: Bestellnummern und Schlüssel von Datensätzen und Besuchsverläufen lassen sich zurückverknüpfen, und bei kleinen Zahlen erlauben auch Summen Rückschlüsse auf einzelne Personen.

Die Hauptverarbeitung findet in der Europäischen Union statt: Anwendung, Datenbank, Analysespiegel, die Protokolle der Anwendung und das Sprachmodell der Fragefunktion im Portal laufen in der Region europe-west3 (Frankfurt). Vertragspartei ist jeweils eine Gesellschaft mit Sitz in der EU.

Das allein wäre keine vollständige Auskunft. Es gibt Ausnahmen. Verwaltungs- und Systemprotokolle der Cloud-Plattform liegen in globalen Protokollbereichen des Anbieters, die sich nicht in eine Region legen lassen, bis zu 400 Tage. Zur Verwaltung und im Support können Konzerngesellschaften und Dienstleister unserer Anbieter von außerhalb der EU auf die Systeme zugreifen; Grundlage ist der Angemessenheitsbeschluss der EU-Kommission für die USA (EU-US Data Privacy Framework), soweit der Empfänger danach zertifiziert ist, ergänzend und für nicht zertifizierte Gesellschaften die EU-Standardvertragsklauseln; die Grundlage je Empfänger nennt die Liste. Informationen und eine Kopie der einschlägigen Garantien erhalten Sie über privacy@metrunio.com. Werkzeuge und Kanäle, die unsere Kundin selbst verbindet, betreibt deren Anbieter, gegebenenfalls außerhalb der EU. Welcher Empfänger wo verarbeitet, mit wem der Vertrag besteht und welche Zugriffe möglich sind, steht je Eintrag in der Liste der weiteren Auftragsverarbeiter und in der Übersicht „Dienstleister und Empfänger“.

Wir setzen Dienstleister ein, die für uns Server betreiben, E-Mails zustellen und Zahlungen abwickeln. In welcher Rolle sie dabei verarbeiten, ist nicht überall dieselbe – und davon hängt ab, welcher Vertrag gilt und wessen Weisungen sie folgen.

• Auftragsverarbeiter nach Art. 28 DSGVO: Betrieb der Anwendung, Postfach und E-Mail-Versand. Sie verarbeiten ausschließlich weisungsgebunden.
• Der Zahlungsdienstleister in einer Doppelrolle: Für die Vertragsdaten, die wir übergeben, ist er Auftragsverarbeiter. Für die Zahlung selbst ist er eigener Verantwortlicher – Zahlungsdiensterecht und Geldwäscherecht legen ihm eigene Pflichten auf, und wer eigene Pflichten hat, folgt insoweit keiner Weisung.
• Werbeplattformen sind keine Auftragsverarbeiter. Sie erhalten nur dann etwas, wenn unsere Kundin die Rückgabe von Conversions einschaltet, und verarbeiten dann als eigene oder gemeinsam Verantwortliche zu eigenen Zwecken.

An Werbeplattformen geben wir nichts weiter, es sei denn, unsere Kundin schaltet die Rückgabe von Conversions ausdrücklich ein. Auch dann übermitteln wir zur Werbezuordnung die Klickkennung der jeweiligen Plattform und je Ziel die oben beschriebenen Bestell- oder Ereigniskennungen zur Meldung und Dublettenprüfung; eigene Personen- oder Gerätekennungen übermitteln wir nicht. Was sonst übermittelt wird, steht oben unter „Anmeldung bei Google Ads und Meta“.

Unterlagen für die Prüfung

• Auskunft über die zu Ihnen verarbeiteten Daten (Art. 15 DSGVO).
• Berichtigung unrichtiger Daten (Art. 16 DSGVO).
• Löschung (Art. 17 DSGVO).
• Einschränkung der Verarbeitung (Art. 18 DSGVO).
• Datenübertragbarkeit (Art. 20 DSGVO).
• Widerspruch gegen eine Verarbeitung auf Grundlage berechtigter Interessen (Art. 21 DSGVO).
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO). Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt davon unberührt.
• Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO).

Betrifft Ihr Anliegen Messdaten von der Website eines unserer Kunden, richten Sie es bitte an diesen Kunden – er ist dort der Verantwortliche. Wir unterstützen ihn dabei: Das Produkt hat einen eigenen Bereich für Auskunft, Löschung und Widerspruch, und eine Löschung wirkt über eine Sperrliste fort, damit dieselbe Kennung nicht in der nächsten Minute erneut erfasst wird.

• Kein Fingerprinting über Geräteeigenschaften.
• Keine probabilistische Zuordnung über Wahrscheinlichkeiten.
• Keine Verknüpfung über Mandantengrenzen hinweg.
• Kein Verkauf und keine Weitergabe zu eigenen Werbezwecken.
• Keine Speicherung roher IP-Adressen.

Änderungen an dieser Erklärung stehen im Änderungsprotokoll unter Status.

Jede Fassung bleibt unter ihrem Datum dauerhaft und unverändert abrufbar; auf diese Adressen verweist die Bestätigung per E-Mail nach einem Abschluss im Portal oder über die Shopify-App, und im Portal liegt der vereinbarte Wortlaut selbst.

• Fassung vom 17. Oktober 2026 · aktuell
• Fassung vom 16. Oktober 2026
• Fassung vom 15. Oktober 2026
• Fassung vom 14. Oktober 2026
• Fassung vom 13. Oktober 2026
• Fassung vom 12. Oktober 2026
• Fassung vom 11. Oktober 2026
• Fassung vom 10. Oktober 2026
• Fassung vom 7. Oktober 2026
• Fassung vom 4. Oktober 2026
• Fassung vom 3. Oktober 2026
• Fassung vom 2. Oktober 2026
• Fassung vom 1. Oktober 2026
• Fassung vom 30. September 2026
• Fassung vom 26. September 2026
• Fassung vom 25. September 2026
• Fassung vom 24. September 2026