Datenschutzerklärung

Verantwortlich für die Verarbeitung auf dieser Website ist der im Impressum genannte Anbieter. Für die Daten, die im Produkt über Besucherinnen und Besucher unserer Kundinnen erhoben werden, ist die jeweilige Kundin verantwortlich; wir handeln dort als Auftragsverarbeiter.

Verantwortlicher

Kokolorum GmbH
Industriering Ost 66
47906 Kempen

Datenschutzbeauftragte Stelle

heyData GmbH
Schützenstraße 5
10117 Berlin
www.heydata.eu
datenschutz@heydata.eu

Anlaufstelle für Datenschutzanliegen

privacy@metrunio.com

Zuständige Aufsichtsbehörde

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestraße 2–4, 40213 Düsseldorf

Metrunio verarbeitet Daten in zwei getrennten Rollen. Als Verantwortlicher für diese Website und für die Konten unserer Kundinnen. Als Auftragsverarbeiter für die Messdaten, die im Auftrag unserer Kundinnen auf deren Websites erhoben werden – dort bestimmt die Kundin Zweck und Mittel, nicht wir. Beide Rollen haben unterschiedliche Rechtsgrundlagen, Empfänger und Fristen; sie stehen deshalb getrennt.

Art. 6 Abs. 1 lit. b DSGVO gilt nur, soweit Sie als natürliche Person selbst unsere Vertragspartei sind und die Verarbeitung für den Vertrag erforderlich ist. Handeln Sie für ein Unternehmen, etwa als Geschäftsführerin, Mitarbeiter oder beauftragte Agentur, beruht die Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der Einrichtung und Verwaltung des Geschäftskundenkontos, der Anmeldung und der Sicherheit Ihres Zugangs, der Abrechnung und der Kommunikation zur Vertragsdurchführung. Einer Verarbeitung nach lit. f können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, nach Art. 21 DSGVO widersprechen.

Anmeldung mit Passkeys

Legen Sie im Portal einen Passkey an, können Sie sich damit ohne Passwort anmelden oder ihn als zweiten Schritt nach dem Passwort verwenden. Ein Passkey gilt nur für die Adresse des Portals. Zu jedem Passkey speichern wir seine Kennung, den öffentlichen Schlüssel, den Zähler Ihres Geräts, die vom Browser gemeldeten Übertragungswege, ob er gesichert oder synchronisiert ist, den Namen, den Sie ihm geben, und die Zeitpunkte von Anlage und letzter Nutzung. Damit Ihr Gerät den Passkey anzeigen kann, übergeben wir ihm beim Anlegen Ihre E-Mail-Adresse, Ihren Namen und die interne Kennung Ihres Nutzerkontos.

Metrunio erhält Ihren privaten Schlüssel nicht. Ihr Gerät oder der von Ihnen gewählte Passkey-Anbieter verwaltet ihn; je nach Anbieter und Ihren Einstellungen kann er gesichert und zwischen Ihren Geräten synchronisiert werden. Metrunio speichert den öffentlichen Schlüssel sowie die beschriebenen Kennungs- und Verwaltungsdaten. Eine PIN- oder biometrische Prüfung erfolgt durch Ihren Authentifikator; Metrunio erhält dabei keine Fingerabdruck- oder Gesichtsdaten.

Ihr Gerät oder der Passkey-Anbieter, den Sie gewählt haben, etwa der Anbieter Ihres Betriebssystems, Ihres Browsers oder Ihres Passwortmanagers, speichert den Passkey mit Ihrer E-Mail-Adresse, Ihrem Namen und der Kennung Ihres Nutzerkontos. Ob er ihn sichert oder mit Ihren anderen Geräten abgleicht und welche Angaben er dabei erhält, hängt von diesem Anbieter und Ihren Einstellungen ab. Er ist insoweit Empfänger dieser Angaben; durch Ihre Wahl wird er nicht unser Auftragsverarbeiter.

Das Anlegen und Verwenden eines Passkeys auf Ihrem Gerät ist für den Anmeldeweg erforderlich, den Sie ausdrücklich wünschen (§ 25 Abs. 2 Nr. 2 TDDDG); eine gesonderte Einwilligung holen wir dafür nicht ein. Die Verarbeitung der Angaben bei uns beruht wie bei den übrigen Kontodaten auf Art. 6 Abs. 1 lit. b oder lit. f DSGVO (siehe unter der Tabelle).

Für jede Anmeldung und jedes Anlegen bilden wir eine Aufgabe aus Zufallszahlen, die fünf Minuten und nur einmal gilt. Gespeichert wird nur ihre Prüfsumme. Eine eingelöste Aufgabe löschen wir sofort, eine nicht eingelöste spätestens sechs Minuten nach ihrer Anlage.

Einen Passkey löschen wir, sobald Sie ihn entfernen, sonst mit Ihrem Nutzerkonto. Ein Nutzerkonto kann mehreren Kundenkonten angehören, etwa wenn Sie für eine Agentur arbeiten. Endet ein einzelnes Kundenkonto, bleiben Ihr Nutzerkonto und Ihre Passkeys deshalb bestehen, solange Sie einem weiteren angehören; endet das letzte, löschen wir das Nutzerkonto mit diesem 30 Tage nach Vertragsende (erste Zeile der Tabelle). Entfernt ein Admin Sie aus einem Kundenkonto, bleibt Ihr Nutzerkonto mit seinen Passkeys ebenfalls bestehen; seine Löschung können Sie jederzeit verlangen. Anlegen und Entfernen eines Passkeys stehen mit seinem Namen und seiner internen Kennung im Protokoll jedes Kundenkontos, dem Sie angehören, eine Anmeldung mit Passkey wie jede Anmeldung. Abgewiesene Anmeldeversuche stehen im Protokoll der Plattform, beim Anmeldelink aus der Shopify-App im Protokoll des Kundenkontos. Diese Einträge löschen wir nach 180 Tagen, auch wenn Sie den Passkey früher entfernen; die im Protokoll eines Kundenkontos spätestens mit diesem. Damit ein entfernter Passkey nach der Wiederherstellung einer Sicherung nicht zurückkommt, halten wir das Entfernen zusätzlich 90 Tage mit der internen Kennung des Passkeys in einem gesonderten Vorgangsjournal fest.

Einrichtung über die Shopify-App

Bei der Einrichtung über unsere Shopify-App erhalten wir von Shopify die zur Zuordnung erforderlichen Shop-Daten (Shop-Kennung, Name, Sprache, Währung, Zeitzone und Domains des Shops), den in den Shop-Stammdaten hinterlegten Namen des Shop-Inhabers und die dort hinterlegte E-Mail-Adresse, die zur Kontaktadresse des Kontos wird, sowie die Rechnungsanschrift des Shops. Die Rechnungsanschrift schlagen wir lediglich als Firma und Anschrift für den Auftragsverarbeitungsvertrag vor; gespeichert wird, was die handelnde Person bestätigt. Von der Person, die die App bedient und das Konto anlegt, erhalten wir ihre Shopify-Nutzerkennung, ihren Namen, ihre E-Mail-Adresse und die Angabe, ob Shopify sie als Inhaber des Shops ausweist. Diese Person wird Inhaberin des Metrunio-Kontos; mit ihren Angaben halten wir fest, wer den AGB und dem Auftragsverarbeitungsvertrag zugestimmt hat. Wir verwenden diese Angaben zur Einrichtung und Verwaltung des Metrunio-Kontos und zur Verbindung mit dem Shop.

Soweit die betroffene Person selbst Vertragspartei ist und die Verarbeitung erforderlich ist, beruht sie auf Art. 6 Abs. 1 lit. b DSGVO. Bei Ansprechpartnern eines Unternehmens beruht sie auf Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Verwaltung des Geschäftskundenkontos und der Kommunikation zur Vertragsdurchführung. Einer Verarbeitung nach lit. f können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, nach Art. 21 DSGVO widersprechen; Ihre übrigen Rechte stehen unter „Was Sie verlangen können“. Wir speichern die Angaben wie die Kontodaten in der ersten Zeile der Tabelle oben: für die Dauer des Vertrags und danach bis zur Löschung des Kontos 30 Tage nach Vertragsende. Der Nachweis der Zustimmung und des Vertragsschlusses bleibt nach Vertragsende in minimierter Form so lange, wie es die Zeile „Nachweis des Vertragsschlusses“ der Tabelle nennt, in der Regel sechs Jahre nach dem Jahr des Vertragsschlusses (§ 257 HGB). Stimmt die im Shop hinterlegte Adresse des Inhabers nicht mit der Adresse der handelnden Person überein – etwa weil eine Mitarbeiterin oder eine Agentur die App eingerichtet hat –, erhält der Shop-Inhaber diese Informationen nach Art. 14 DSGVO per E-Mail.

Anmeldung bei Google Ads und Meta

Verbinden Kundinnen ihr Werbekonto über die Anmeldung bei Google oder Meta, erhalten wir von der Plattform ein Zugangsdatum. Bei Google ist das ein Refresh-Token, bei Meta ein langlebiges Zugriffstoken. Wir speichern es verschlüsselt (AES-256-GCM) und an den Mandanten gebunden. Es wird weder angezeigt noch protokolliert.

Mit diesem Zugang lesen wir aus dem gewählten Werbekonto:

• die Liste der zugänglichen Konten mit Name, Kennung und Währung, damit das richtige gewählt werden kann;
• Kosten, Impressionen und Klicks je Kampagne und Tag;
• ist für das Kundenkonto die Auswertung je Anzeige aktiviert, zusätzlich Kosten, Impressionen und Klicks je Anzeige und Tag, mit Name und Kennung der Anzeige und ihrer Anzeigengruppe und, soweit die Plattform eines bereitstellt, der Adresse eines Vorschaubilds der Anzeige.

Adressen der Vorschaubilder, Namen und Kennungen von Anzeigen und Anzeigengruppen und ihre Kennzahlen speichern wir wie die übrigen Kosten, solange das Kundenkonto besteht. Die Vorschaubilder selbst legen wir nicht dauerhaft ab: Wir rufen sie beim Öffnen der Auswertung über unsere Server bei der Plattform ab und halten sie höchstens eine Stunde im Arbeitsspeicher; Ihr Browser stellt dabei keine Verbindung zu Meta oder Google her. Vorschaubilder und Namen von Anzeigen können erkennbare Personen zeigen oder nennen, etwa Menschen, die in der Werbung zu sehen sind. Kosten je Anzeige zeigen wir nur in dieser Auswertung im Portal; der Datenassistent, Exporte und Schnittstellen geben sie nicht aus.

Hat die Kundin die Rückgabe von Conversions eingeschaltet, melden wir außerdem Conversions an ihr Konto. Übermittelt werden die Klickkennung der Plattform, Art, Zeitpunkt, Wert und Währung der Conversion, je nach Plattform eine Ereigniskennung, mit der die Plattform doppelte Meldungen erkennt (Meta, TikTok, LinkedIn), die Bestellnummer (Google, Meta, TikTok) und die Adresse der Seite, auf der der Klick ankam (Meta, TikTok). Als Wert übermitteln wir den Umsatz der Conversion oder, wenn die Kundin es für ein Ziel so einstellt, bei Bestellungen den Deckungsbeitrag (Nettowert abzüglich Wareneinsatz). Beschränkt die Kundin ein Ziel auf Erstbestellungen, meldet es nur solche; die Plattform erfährt daraus mittelbar, dass eine Bestellung eine Erstbestellung war. E-Mail-Adressen, Telefonnummern, IP-Adressen, Browsermerkmale und unsere eigenen Personen- oder Gerätekennungen übermitteln wir nicht. Gemeldet wird nur mit Marketing-Einwilligung, bei Google zusätzlich nur mit der Einwilligung `ad_user_data` oder der Einwilligungskategorie, die die Kundin ihr zugeordnet hat. Kampagnen, Anzeigen, Gebote und Budgets verändern wir nicht.

Die Daten dienen allein dazu, der Kundin ihre eigenen Kosten neben ihren eigenen Conversions zu zeigen und ihre Conversions an ihr eigenes Konto zurückzumelden. Auf ihre Frage hin kann der Datenassistent im Portal dieselben Kostenzahlen lesen. Er läuft auf Vertex AI in der Region europe-west3, und seine Eingaben dienen nicht dem Training von Modellen. Wir verkaufen die Daten nicht, nutzen sie nicht für Werbung und führen sie nicht mandantenübergreifend zusammen. An Dritte geben wir sie nur weiter, wenn die Kundin selbst ein KI-Werkzeug oder Programm mit ihrem Konto verbindet und uns damit anweist, ihre Daten dorthin zu übermitteln (siehe „Verbindung mit KI-Werkzeugen anderer Anbieter“).

Die Nutzung von Daten, die wir über Google-APIs erhalten, richtet sich nach der Google API Services User Data Policy, einschließlich der „Limited Use“-Anforderungen.

Wird die Verbindung in Metrunio getrennt, löschen wir das Zugangsdatum sofort. Der Zugang lässt sich jederzeit auch bei der Plattform widerrufen, unter myaccount.google.com/permissions bzw. in den Einstellungen von Meta unter „Business-Integrationen“. Die importierten Kosten bleiben, solange das Konto bei Metrunio besteht, und werden mit ihm gelöscht. Eine Löschung einzelner Daten ist jederzeit über privacy@metrunio.com möglich.

Anmeldung bei der Google Search Console

Ist die Search Console für ein Kundenkonto aktiviert und verbindet eine Person mit der Rolle Admin sie über die Anmeldung bei Google, erhalten wir von Google ein Refresh-Token mit dem Recht, die Search Console zu lesen (`https://www.googleapis.com/auth/webmasters.readonly`). Wir speichern es verschlüsselt (AES-256-GCM) und an das Kundenkonto gebunden. Es wird weder angezeigt noch protokolliert. Zur Verbindung speichern wir außerdem, wer sie wann hergestellt hat, über welchen Zugang bei Google sie läuft (OAuth-Client) und je Website die gewählte Property. Für die Dauer der Anmeldung halten wir eine Prüfsumme ihres Zustands und den Prüfwert des PKCE-Verfahrens; beides gilt zehn Minuten und wird mit dem Abschluss der Anmeldung gelöscht, sonst spätestens elf Minuten nach Beginn der Anmeldung.

Mit diesem Zugang lesen wir aus der Search Console:

• die Liste der Properties, auf die das angemeldete Google-Konto Zugriff hat, mit der Art der Berechtigung, damit je Website die richtige gewählt werden kann;
• für die gewählten Properties Klicks, Impressionen, Klickrate und durchschnittliche Position in der Google-Websuche, je Tag, je Seite und je Suchanfrage.

In der Search Console verändern wir nichts. Die Daten dienen allein dazu, der Kundin im Bericht „Organische Suche“ ihre eigenen Suchzahlen neben ihren eigenen gemessenen Besuchen und Conversions zu zeigen. Wir stellen sie je Seite gegenüber; eine einzelne Suchanfrage ordnen wir keinem Besuch, keiner Person und keiner Conversion zu. Wir rufen die Zahlen beim Öffnen des Berichts ab und halten sie höchstens eine Stunde im Arbeitsspeicher, nur für das Kundenkonto, die Verbindung und die Property, für die sie abgerufen wurden; dauerhaft abgelegt werden sie nicht. Nach dem Trennen der Verbindung geben wir sie nicht mehr aus und verwerfen sie. Die Zahlen gehen nicht in Exporte, Schnittstellen, Berichte per E-Mail oder den Datenassistenten. Wir verkaufen die Daten nicht, verwenden sie nicht unabhängig für eigene Zwecke, nutzen sie nicht für Werbung, führen sie nicht kundenübergreifend zusammen und verwenden sie nicht zum Training von Modellen. Verarbeitet werden sie nur von den Auftragsverarbeitern, mit denen wir die Funktion bereitstellen (siehe „Empfänger“).

Die Nutzung von Daten, die wir über Google-APIs erhalten, richtet sich nach der Google API Services User Data Policy, einschließlich der „Limited Use“-Anforderungen.

Suchanfragen und Seiten können Personen bezeichnen, etwa mit ihrem Namen. Google nennt seltene Suchanfragen nicht einzeln; Rückschlüsse schließt das nicht in jedem Fall aus. Wir behandeln diese Kennzahlen deshalb als personenbezogene Daten, die wir im Auftrag der Kundin verarbeiten (Art. 28 DSGVO); ihre Rechtsgrundlage bestimmt die Kundin als Verantwortliche.

Bei der Anmeldung und bei jedem Abruf erhält Google von uns das Zugangsdatum, die Property und die Angaben der Abfrage (Zeitraum und Aufschlüsselung nach Tag, Seite oder Suchanfrage); Besucher- oder Messdaten übermitteln wir dabei nicht. Die Schnittstelle stellt Google LLC in den USA bereit. Diese Übermittlung stützt sich auf den Angemessenheitsbeschluss der EU-Kommission für die USA (EU-US Data Privacy Framework), unter dem Google LLC zertifiziert ist. Google ist hier Quelle der Daten und Empfänger dieser Anfragen, wird dadurch aber nicht unser Auftragsverarbeiter; davon getrennt bleibt Google Cloud, auf der wir Metrunio betreiben, unser Auftragsverarbeiter.

Für die Angaben zur Verbindung sind wir verantwortlich. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Sie als natürliche Person selbst unsere Vertragspartei sind und die Verarbeitung dafür erforderlich ist. Verbinden Beschäftigte oder Beauftragte einer Kundin, etwa einer Agentur, beruht sie auf Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in einer autorisierten und sicheren Verbindung mit dem Dienst der Kundin. Sie können nach Art. 21 DSGVO widersprechen. Die Freigabe bei Google ist keine Einwilligung in diese Verarbeitung. Verliert die Person, die verbunden hat, ihre Rolle oder Mitgliedschaft im Kundenkonto, bleibt die Verbindung bestehen, bis ein Admin sie trennt oder neu verbindet; die Admins des Kundenkontos sehen dazu einen Hinweis.

Wird die Verbindung in Metrunio getrennt, löschen wir das Refresh-Token und die gewählten Properties sofort; auf Wunsch widerrufen wir den Zugriff dabei auch bei Google. Der Zugriff lässt sich außerdem jederzeit bei Google widerrufen, unter myaccount.google.com/permissions. Im Protokoll des Kundenkontos stehen Verbinden, die Wahl einer Property mit dieser Property und Trennen, jeweils mit Zeitpunkt und handelnder Person; diese Einträge löschen wir nach 180 Tagen, spätestens mit dem Kundenkonto.

Weitere Datenquellen unserer Kundinnen

Unsere Kundinnen können weitere Dienste verbinden, aus denen wir in ihrem Auftrag Kosten und Kennzahlen abrufen. Dazu tragen sie einen Schlüssel, ein Token oder die Adresse einer Tabelle ein: für die Werbekosten aus TikTok, LinkedIn und Microsoft Advertising, für die Kosten aus releva.nz, für die Kennzahlen ihrer Newsletter bei Klaviyo oder Brevo und für Kosten aus einer freigegebenen Tabelle (Google Sheets oder eine CSV-Datei). Für Klaviyo, Brevo und releva.nz gilt das nur, wenn diese Quellen für das Kundenkonto aktiviert sind. Verbinden kann die Rolle Admin, eine Tabelle auch die Rolle Analyse.

Aus Werbe- und Kostenquellen lesen wir Kosten, Impressionen und Klicks je Kampagne oder Shop und Tag. Aus einer Tabelle übernehmen wir nur die vorgesehenen Spalten in die Auswertung: Kampagne, Tag, Kosten und, falls vorhanden, Währung, Impressionen, Klicks und Plattform; beim Abruf der Datei können weitere Spalten vorübergehend mitübertragen werden. Aus Klaviyo und Brevo lesen wir je versendeter Kampagne ihre Kennung, ihren Namen, den Versandzeitpunkt, den Kampagnenparameter `utm_campaign` und die Zahl der Empfänger, Zustellungen und eindeutigen Klicks, keine Öffnungen, keine Inhalte der Mails und keine Angaben über einzelne Empfängerinnen und Empfänger. Auch Summen, Namen von Kampagnen und Adressen können sich auf einzelne Personen beziehen, etwa bei sehr kleinen Zahlen; wir behandeln sie deshalb wie die übrigen Daten, die wir im Auftrag unserer Kundin verarbeiten.

Die Kosten verwenden wir wie die aus Google Ads und Meta: in den Berichten des Kundenkontos, in Exporten, über die Lese-Schnittstelle, beim Datenassistenten und in Berichten per E-Mail. Die Kennzahlen aus Klaviyo und Brevo zeigen wir nur im Portal auf der Seite „Newsletter“, neben den Besuchen und Conversions, die wir selbst messen; sie gehen nicht in Exporte, die Lese-Schnittstelle, den Datenassistenten oder den Analysespiegel.

Schlüssel und Token dieser Quellen speichern wir verschlüsselt (AES-256-GCM) und an das Kundenkonto und ihren Zweck gebunden, ebenso die Adresse einer Tabelle, weil schon ihre Kenntnis Zugriff auf die Tabelle gibt. Sie werden nicht protokolliert und im Portal nicht vollständig angezeigt: Zu sehen sind höchstens die letzten vier Zeichen, bei einer Tabelle der Host und die letzten vier Zeichen der Adresse.

Wird eine Verbindung getrennt, löschen wir ihren Schlüssel sofort, bei Klaviyo und Brevo zusammen mit den abgerufenen Kennzahlen. Kosten aus releva.nz, aus einer Tabelle und aus den übrigen Werbe- und Kostenquellen bleiben wie alle importierten Kosten, solange das Kundenkonto besteht, und werden mit ihm gelöscht; wird eine Tabelle entfernt, endet ihr Abruf, und wir löschen ihre Adresse. Verbinden, Ersetzen des Schlüssels und Trennen einer Newsletter-Plattform sowie das Anlegen und Entfernen einer Tabelle stehen mit Zeitpunkt und handelnder Person im Protokoll des Kundenkontos, ohne den Schlüssel und bei einer Tabelle nur mit ihrem Host; diese Einträge löschen wir nach 180 Tagen, spätestens mit dem Kundenkonto.

Für die Angaben zur Verbindung sind wir verantwortlich; Rechtsgrundlage ist wie bei den übrigen Kontodaten Art. 6 Abs. 1 lit. b oder lit. f DSGVO (siehe unter der Tabelle). Die abgerufenen Kosten und Kennzahlen verarbeiten wir im Auftrag unserer Kundin (Art. 28 DSGVO); ihre Rechtsgrundlage bestimmt sie als Verantwortliche. Die Anbieter dieser Dienste sind Anbieter unserer Kundin und werden durch den Abruf nicht unsere Auftragsverarbeiter. Das gilt auch für Brevo, das wir daneben für unseren eigenen Newsletter einsetzen (Zeile „Newsletter“ der ersten Tabelle).

Verbindung mit KI-Werkzeugen anderer Anbieter

Verbinden Sie über die Freigabeseite im Portal ein KI-Werkzeug eines anderen Anbieters mit Ihrem Konto, etwa Claude von Anthropic oder ChatGPT von OpenAI, oder legen Sie einen Lese-Schlüssel an, erhält dieses Werkzeug oder Programm eine fortbestehende Leseberechtigung für die Messdaten des Kontos. Das verbundene Werkzeug kann innerhalb der erteilten Berechtigung Daten für Ihre Auswertungen abrufen; welche Abrufe es ausführt, entscheidet es im Rahmen seiner eigenen Abläufe. Freigeben und Schlüssel anlegen können nur die Admins des Kontos, und erst nach einem Hinweis, was die Freigabe bedeutet.

Abrufbar sind Kennzahlen und Aufschlüsselungen, darunter die aus Google Ads, Meta und anderen verbundenen Werbekonten importierten Werbekosten, einzelne Conversions mit Zeitpunkt, Wert und der Bestellnummer im Klartext sowie pseudonyme Customer Journeys mit Kennung, Zeitpunkten und Kanälen. Bei Abos ist eine Folgezahlung gekennzeichnet; die Kennung des Abos im Klartext gibt nur die Lese-Schnittstelle mit einem Lese-Schlüssel aus, ein über die Freigabeseite verbundenes KI-Werkzeug erhält sie nicht. Kennzahlen sind zusammengefasst; Rückschlüsse auf einzelne Vorgänge können trotzdem möglich sein. Namen, E-Mail-Adressen, IP-Adressen, Browserkennungen, Klickkennungen der Werbeplattformen und die besuchten Seiten gibt die Verbindung nicht aus. Bestellungen, die der Shop ohne Tracking-Einwilligung gemeldet hat, gibt die Verbindung nicht als einzelne Datensätze aus; in zugelassenen Kennzahlen wie Anzahl und Umsatzsummen sind sie enthalten, und bei kleinen Zahlen können daraus Rückschlüsse auf einzelne Bestellungen möglich sein.

Die Messdaten der Besucherinnen, Besucher und Kunden unserer Kunden geben wir dabei als Auftragsverarbeiter auf Weisung unseres Kunden heraus; die Rechtsgrundlage für diese Weitergabe bestimmt unser Kunde als Verantwortlicher. Der Anbieter des Werkzeugs ist nicht unser Unterauftragnehmer. Er verarbeitet die abgerufenen Daten nach den Bedingungen des Kontos, das unser Kunde bei ihm führt, gegebenenfalls auch außerhalb der Europäischen Union. Den Vertrag mit ihm, einen gegebenenfalls erforderlichen Auftragsverarbeitungsvertrag und die Voraussetzungen einer Übermittlung in Drittländer stellt unser Kunde sicher; unsere eigenen Pflichten als Auftragsverarbeiter bleiben bestehen. Für die Angaben zur Freigabe selbst sind wir verantwortlich; sie stehen in der Tabelle oben.

Die besonderen Schutzmaßnahmen unseres Datenassistenten im Portal gelten für diese Verbindung nicht: Bestellnummern und Journey-Kennungen gehen nicht als Kürzel hinaus, die Begrenzung der Einzelzeilen je Frage gilt nicht, und für Speicherung, Training und Löschung beim Anbieter gelten dessen Bedingungen, nicht die von Google Cloud für Vertex AI.

Eine Freigabe trennen Sie jederzeit im Portal unter „Exporte & KI-Verbindungen“; dort widerrufen Sie auch einen Lese-Schlüssel. Ab seiner nächsten Anfrage erhält das Werkzeug dann keine Daten mehr. Daten, die es bereits abgerufen hat, löscht das Trennen beim Anbieter nicht; das richtet sich nach Ihrem Vertrag mit ihm.

Partner empfehlen Metrunio und erhalten dafür eine Provision. Von Partnern, soweit sie natürliche Personen sind, und von Ansprechpersonen eines Partnerunternehmens verarbeiten wir Name, Anschrift, E-Mail-Adresse für die Abrechnung, Steuernummer oder Umsatzsteuer-Identifikationsnummer, Steuerstatus und den Tag der Partnervereinbarung, dazu je geworbenem Kunden den bezahlten Nettobetrag und den Monat der Zahlung. Zweck ist die Zuordnung geworbener Kunden zum Partner, die Berechnung der Provision, die Gutschrift (§ 14 Abs. 2 UStG) und die Buchführung.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Partnervereinbarung), bei Ansprechpersonen eines Partnerunternehmens Art. 6 Abs. 1 lit. f DSGVO (Durchführung der Partnervereinbarung mit dem Unternehmen; Sie können nach Art. 21 DSGVO widersprechen), für die Aufbewahrung Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO und § 257 HGB. Gutschriften bewahren wir als Buchungsbelege acht Jahre ab dem Ende des Kalenderjahres auf; die Stammdaten bis zum Ende der Partnerschaft und darüber hinaus, solange eine Gutschrift aufzubewahren ist, die sie nennt. Empfänger sind unsere Steuerberatung und, für den Betrieb, die unter „Empfänger“ genannten Auftragsverarbeiter.

Registriert sich ein Kunde mit dem Empfehlungscode eines Partners, speichern wir beim Konto, welchem Partner es zugeordnet ist, und für die Provision die bezahlten Beträge je Monat. Der Partner erhält keine kundenweise Aufschlüsselung: Seine Gutschrift nennt je Provisionssatz nur die Summe und die Anzahl der Kunden. Bei kleinen Gruppen, etwa wenn in einem Provisionssatz nur ein Kunde steht, können daraus Rückschlüsse auf den Betrag einzelner Kunden möglich sein. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Abrechnung des Partnerprogramms); die Beträge je Kunde bleiben als Grundlage der Gutschrift so lange wie diese. Für Kunden, die in den zwölf Monaten vor ihrer Registrierung mit Empfehlungscode schon ein Konto bei uns hatten, zahlen wir keine Provision. Dazu vergleichen wir Firmenname und E-Mail-Domain der Registrierung mit bestehenden Konten. Von gelöschten Konten bewahren wir dafür zwölf Monate ab der Löschung nur je eine mit einem geheimen Schlüssel gebildete Prüfsumme (HMAC) des Firmennamens und der E-Mail-Domains der Admins auf, ohne Domains allgemeiner E-Mail-Anbieter und ohne Klartext. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt darin, das Partnerprogramm gegen Missbrauch abzusichern. Ohne diesen Link können wir Sie auf Hinweis des Partners innerhalb von 30 Tagen nach Ihrer Registrierung nachträglich zuordnen; der Partner erfährt dann dasselbe wie bei einer Registrierung über seinen Link.

• Pseudonyme Kennungen für Sitzung und Endgerät, sofern eine Einwilligung vorliegt. Vor der Entscheidung im Einwilligungsbanner hält das Skript Ereignisse nur im Arbeitsspeicher der Seite; nach einer Zustimmung sendet es sie mit dieser Einwilligung, nach einer Ablehnung oder beim Verlassen der Seite verwirft es sie.
• Kampagnenangaben aus Werbemitteln und den Kampagnenparametern der aufgerufenen Seite, etwa `utm_source`, `utm_medium`, `utm_campaign` und `utm_content`. Ist für das Konto unserer Kundin die Auswertung je Anzeige aktiviert, ordnen wir einen Besuch der Anzeige zu, deren Kennung in `utm_content` steht; diese Kennung ist für alle Klicks auf dieselbe Anzeige gleich. Einzelne Klick- und Impressionskennungen, unsere eigenen wie die der Werbeplattformen (etwa gclid oder fbclid), nur mit Marketing-Einwilligung; bei einer Einwilligung nur in Statistik bleibt allein die Angabe, von welcher Plattform ein Klick kam.
• Ereignisdaten wie Seitenaufrufe, Interaktionen und Conversions mit Wert und Währung.
• IP-Adressen verarbeiten wir bei der Übertragung und zur Begrenzung der Anfragen und speichern sie im Ereignisbestand nicht, auch nicht als Prüfsumme. Eine früher dort gespeicherte gekürzte Prüfsumme bilden wir seit dem 14.10.2026 nicht mehr und haben vorhandene Werte gelöscht. Weitere technische Merkmale werden gekürzt oder gehasht gespeichert.
• Keine Klartext-E-Mail-Adressen oder Telefonnummern in Analytics-Ereignissen. Ereignisse, die bei der Annahme abgewiesen werden (ungültiges Format, Zeitpunkt außerhalb des zulässigen Fensters oder E-Mail-Adresse/Telefonnummer im Klartext), werden nicht gespeichert. Festgehalten werden zur Fehlersuche nur Fehlergrund, Zeitpunkt, Quelle, Website, Ereignistyp und die Namen der betroffenen Felder mit Art und Länge des Werts, keine Feldinhalte und keine Kennungen. Diese Angaben werden mit der Rohdatenfrist unserer Kundin gelöscht (Standard 180 Tage).
• Der Einwilligungszustand wird je Ereignis mitgespeichert und ausgewertet. Ohne passende Einwilligung wird kein Werbeereignis gespeichert, auch nicht roh; festgehalten wird nur, ohne Kennung, dass ein Ereignis aus diesem Grund nicht gespeichert wurde.
• Eine Sichtkennung für Post-View: ein Cookie auf der Messadresse unserer Kundin (`metrunio_view`, 30 Tage, ausschließlich für diese Adresse). Gesetzt wird es nur bei Marketing-Einwilligung, durch Impression-Pixel und Viewability-Tag auf der Werbeseite oder durch das Messskript im Shop; der Browser trägt es beim Besuch im Shop zurück. Verwirft der Browser es, wird es durch nichts ersetzt: kein Fingerprinting, keine Wahrscheinlichkeitsrechnung. Widerruft die Person ihre Marketing-Einwilligung, entfernt die Messadresse das Cookie mit der Meldung des Widerrufs; widerruft sie ihre Einwilligung vollständig, löscht das Skript zusätzlich pseudonyme Kennung und Sitzung im Browser. Bereits erfasste Werbekontakte, die mit diesem Browser verbunden sind, werden gelöscht; eine spätere Einwilligung beginnt ohne sie.
• Bei Bestellungen, die ein Shop mit Einwilligung meldet, eine pseudonyme Kundenkennung: die Kundennummer des Shops oder eine Prüfsumme (SHA-256) der E-Mail-Adresse, wie sie unsere Shopify-App und unsere Plugins für Shopware und WordPress übermitteln. Wir verrechnen jeden dieser Werte beim Empfang mit einem Schlüssel, der für jede Kundin ein anderer ist, und speichern nur das Ergebnis; dieselbe Person ergibt bei zwei Kundinnen zwei verschiedene Werte. Die Kennung verbindet Käufe derselben Person über Geräte hinweg und wird an keine Werbeplattform übermittelt.
• Eine Weiterleitung für Klicks auf Werbemittel: Unsere Messadresse leitet zur Website unserer Kundin weiter. Liegt kein Einwilligungssignal der Werbeseite vor, hängt sie an die Zieladresse nur die Kennung der Kampagne an (`metrunio_camp`, für alle Klicks derselben Kampagne gleich) und speichert keinen Klick; festgehalten wird nur, ohne Kennung, dass ein Klick aus diesem Grund nicht gespeichert wurde.
• Betreibt unsere Kundin eine eigene Messdomäne unter ihrer Domäne, legen wir die pseudonyme Besucherkennung zusätzlich als Cookie auf dieser Domäne ab (`metrunio_aid`), nur mit Einwilligung in Analyse. Das Cookie macht dieselbe Kennung auf allen Subdomänen dieser Domäne lesbar, etwa im Shop und im Checkout, und erkennt einen Browser auch dann wieder, wenn der Speicher der Seite geleert wurde. Zweck ist, Besuche und Bestellungen desselben Browsers zu verbinden. Es gilt 13 Monate; Safari begrenzt es auf sieben Tage. Ein Widerruf entfernt es.
• Hat unsere Kundin die Nachkauf-Frage eingeschaltet, fragt die Seite nach dem Kauf, wie Sie auf sie aufmerksam geworden sind, mit einer festen Auswahl und ohne Freitext. Gefragt wird nur mit Einwilligung in Analyse. Die Antwort speichern wir mit der Bestellnummer und der pseudonymen Kennung des Browsers und verbinden sie mit der Bestellung und dem Besuchsverlauf; eine anonyme Umfrage ist sie also nicht. Sie geht an keine Werbeplattform und wird mit den übrigen Ereignissen gelöscht.
• Hat unsere Kundin die Herkunft im Formular eingeschaltet, schreibt das Skript Herkunftsangaben in verdeckte Felder ihrer Formulare: eine Kennung der Anfrage, Quelle, Medium, Kampagne und Werbeplattform, mit Marketing-Einwilligung zusätzlich die Klickkennung. Das geschieht standardmäßig nur mit Einwilligung in Analyse; ohne sie schreibt das Skript nichts in Formulare und liest dafür auch die Adresse der Seite nicht aus. Für einzelne Websites kann unsere Kundin es auch ohne Einwilligung einschalten; dann werden nur Quelle, Medium und Kampagne aus der Adresse der gerade aufgerufenen Seite übernommen, und unsere Kundin muss diese Einstellung selbst begründen. Die Felder gehen mit Ihrer Anfrage, also zusammen mit Name und E-Mail-Adresse, an das System unserer Kundin, etwa ihr CRM, nicht an uns. Dort kann sie Ihre Anfrage mit deren Herkunft verbinden und, wenn sie den Abschluss später bei uns einspielt, mit dem pseudonymen Besuchsverlauf. Das geschieht auf ihre Weisung und in ihrer Verantwortung; ihr System wird dadurch nicht unser Unterauftragnehmer.
• Bei Abos die Kennung des Abos, wie der Shop oder der Zahlungsanbieter sie vergibt, und ob eine Zahlung eine Folgezahlung ist; beides gibt die Quelle an, wir erraten es nicht. Die Kennung speichern wir wie die Bestellnummer im Klartext, aber nur bei Käufen mit Einwilligung. Eine Folgezahlung mit Einwilligung übernimmt die Zuordnung der ersten Bestellung desselben Abos auf derselben Website; sie geht an keine Werbeplattform und zählt nicht als Neukundin oder Neukunde. Entfällt die erste Bestellung durch Löschung, Widerspruch, Widerruf oder den Ablauf ihrer Frist, rechnen wir ihre Folgezahlungen sofort neu, und sie bleiben ohne Zuordnung. Die Kennung des Abos geben wir nur im CSV-Export der Conversions und über die Lese-Schnittstelle aus. Im Portal steht nur das Kennzeichen „Folgezahlung“; der Datenassistent und ein über die Freigabeseite verbundenes KI-Werkzeug erhalten ebenfalls nur dieses Kennzeichen, der Analysespiegel in BigQuery speichert nur das Kennzeichen, und Webhooks enthalten keines von beiden.

Rechtsgrundlage für Kennungen und Ereignisse aus dem Browser ist die Einwilligung der betroffenen Person nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Auf der Website unserer Kundin holt deren Einwilligungsverwaltung sie ein. Bei Werbekontakten auf fremden Websites übermittelt der ausliefernde Adserver das Einwilligungssignal; einen eigenen Nachweis darüber erhalten wir nicht. Spielt unsere Kundin Conversions aus einer Datei ein, gibt sie je Zeile Herkunft, Zeitpunkt und einen Nachweis der Einwilligung an; wir prüfen diese Angaben auf Vollständigkeit und Widersprüche, nicht die Einwilligung selbst. Ohne Einwilligung geschieht nur, was in den folgenden Absätzen steht; die Rechtsgrundlage dafür bestimmt unsere Kundin als Verantwortliche. Die Aufbewahrungsdauer bestimmt die Kundin im Rahmen ihres Tarifs; die Voreinstellung beträgt 180 Tage für Rohdaten.

Ein Widerruf im Einwilligungsbanner wirkt für den Browser, in dem er erklärt wird. Widerruft die Person nur ihre Marketing-Einwilligung, löschen wir die Werbeereignisse dieses Browsers und die mit ihm verbundenen Werbekontakte und entfernen Klick- und Impressionskennungen aus seinen übrigen Ereignissen; was auf ihrer Einwilligung in Statistik beruht, bleibt. Widerruft sie vollständig, löschen wir alle Ereignisse dieses Browsers, einschließlich der Bestellungen, die der Shop mit seiner Kennung gemeldet hat. Noch nicht übermittelte Meldungen an Werbeplattformen halten wir an. Bereits übermittelte liegen bei der Plattform, und wir können sie nicht zurückholen; wir nennen unserer Kundin die Empfänger, damit sie ihrer Pflicht nachkommen kann, sie nach Art. 19 DSGVO zu unterrichten. Den Einwilligungsstand mit dem Zeitpunkt des Widerrufs speichern wir zur pseudonymen Kennung des Browsers als Nachweis, dass der Widerruf vollzogen ist, und um spätere Ereignisse dieses Browsers abzuweisen; er bleibt, solange er für die Verarbeitung oder die Durchsetzung des Widerrufs gebraucht wird. Ein Einwilligungsstand wird gelöscht, wenn der Browser 13 Monate lang weder seine Entscheidung geändert noch die Website besucht hat; den Stand nach einem Widerruf bewahren wir als Nachweis bis zum Ende des dritten Kalenderjahres nach dem Widerruf auf. Spätestens wird beides gelöscht, wenn die Website oder das Konto unserer Kundin gelöscht wird. Ein Bannerwiderruf ist keine Anfrage nach Art. 15 bis 21 DSGVO: Wer Auskunft, Löschung aller Daten zu seiner Person auf allen Geräten oder einen Widerspruch verlangt, richtet das an unsere Kundin, die es im Datenschutzbereich des Produkts umsetzt.

Die Reichweitenmessung für Besuche ohne Einwilligung lässt sich seit dem 29. September 2026 nicht mehr neu einschalten. Für Websites, bei denen unsere Kundin sie zuvor eingeschaltet hat, gilt: Ohne Einwilligung wird keine Personen- oder Gerätekennung gespeichert. Je Aufruf entsteht ein Ereignis mit Zeitpunkt, Seite ohne Abfrageteil, Seitentitel, Herkunft des Verweises und Kampagnenangaben, das zu einer Zählung je Tag, Website, Kanal und Quelle verdichtet wird. Weder Ereignis noch Zählung enthalten eine Kennung, über die eine Auskunft oder Löschung eine Person finden könnte. Die Rechtsgrundlage bestimmt unsere Kundin als Verantwortliche, wir verarbeiten auf ihre Weisung. Quellen mit weniger als fünf Aufrufen erscheinen im Bericht zusammengefasst statt einzeln, und Ereignisse wie Zählung laufen nach derselben Frist ab wie die übrigen Rohdaten.

Meldet der Shop unserer Kundin Bestellungen und Erstattungen serverseitig ohne Einwilligung in die Tracking-Messung, verarbeiten wir sie in ihrem Auftrag allein zur Umsatzabstimmung: zum Abgleich ihrer Umsätze, zum Erkennen doppelter Vorgänge und zur Zuordnung von Erstattungen. Dieser Zweck ist von der Tracking-Messung getrennt. Wir speichern dazu die Bestellnummer als erforderlichen Bestellschlüssel, die Art des Vorgangs (Bestellung, Folgezahlung eines Abos oder Erstattung), Betrag, Währung und den Tag der Bestellung ohne Uhrzeit, aber keine Browser-, Kunden- oder Werbekennungen: Pseudonyme Besucherkennung, Sitzung, pseudonyme Kundenkennung, Klickkennung, IP-Merkmal, aufgerufene Seite, Kampagnenangaben, die Kennung eines Abos und Artikel werden vor dem Speichern entfernt. Das Kennzeichen „Folgezahlung“ weist Zahlungen aus laufenden Abos im abgestimmten Umsatz getrennt aus; ein Neukundenmerkmal leiten wir daraus nicht ab. Die Daten bleiben grundsätzlich personenbezogen, weil unsere Kundin die Bestellnummer einer Person zuordnen kann. Die Bestellung wird mit keinem Besuch und keinem Werbekontakt verbunden und an keine Werbeplattform übermittelt; die einzige Ausnahme steht im nächsten Absatz. Das gilt für Bestellungen, zu denen der Shop keine Entscheidung über die Einwilligung übermittelt, weil keine getroffen wurde. Übermittelt der Shop eine Ablehnung, speichern wir die Bestellung in diesem Umfang nur, wenn unsere Kundin uns dafür eine gesonderte Weisung erteilt hat; ohne diese Weisung speichern wir sie nicht. Eine solche Bestellung wird nie einem Besuch zugeordnet. Die Rechtsgrundlage bestimmt unsere Kundin als Verantwortliche; in Betracht kommt ihr berechtigtes Interesse an vollständigen Umsatzzahlen (Art. 6 Abs. 1 lit. f DSGVO). Über diese Verarbeitung, ihre Rechtsgrundlage und den Widerspruchsweg hat unsere Kundin in ihrer eigenen Datenschutzerklärung zu informieren. Eine Ablehnung der Tracking-Messung ist für sich kein Widerspruch gegen die Umsatzabstimmung. Einen Widerspruch nach Art. 21 DSGVO richten Sie an unsere Kundin; setzt sie ihn im Datenschutzbereich des Produkts um, löschen wir die Daten zu Ihrer Bestellung und sperren die Bestellnummer für weitere Übermittlungen. Ein Widerruf Ihrer Einwilligung in die Tracking-Messung führt dazu, dass Bestellungen gelöscht werden, die mit dieser Einwilligung übermittelt wurden; in die Umsatzabstimmung werden sie nicht überführt.

Zuordnung über den Bestellvorgang. Sie betrifft nur Bestellungen, zu denen der Shop keine Entscheidung übermittelt hat, nie Bestellungen nach einer Ablehnung, und nur, wenn unsere Kundin sie gesondert eingeschaltet hat. Haben Sie im selben Bestellvorgang in die Tracking-Messung eingewilligt, deren Inhalt die Zuordnung von Bestellungen zu Besuchen und Werbekontakten umfasst, und bestand diese Einwilligung schon beim Kauf, ordnen wir die Bestellung auf dieser Grundlage Ihrem Besuch zu. Das geschieht in zwei Schritten. Schon wenn die Bestellung eingeht, legen wir einen kurz befristeten Abgleichsbestand an, auch wenn später kein passendes Ereignis aus einem Browser kommt: eine mit einem Schlüssel gebildete Prüfsumme der Kennung des Bestellvorgangs und den genauen Bestellzeitpunkt. Das betrifft auch Bestellungen, die am Ende keinem Besuch zugeordnet werden; die Rechtsgrundlage dafür bestimmt unsere Kundin als Verantwortliche, in Betracht kommt ihr berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Zugeordnet wird die Bestellung erst im zweiten Schritt und nur mit Ihrer Einwilligung. Prüfsumme und Bestellzeitpunkt verwenden wir nur bis 24 Stunden nach der Bestellung, die Prüfsumme an den Ereignissen des Browsers nur bis 24 Stunden nach deren Eingang; danach löschen wir sie im laufenden Betrieb. Für Sicherungen gelten deren eigene Fristen; nach einer Wiederherstellung werden abgelaufene Abgleichsdaten nicht mehr verwendet und mit dem nächsten Wartungslauf gelöscht. Widerrufen Sie die Einwilligung, löschen wir die Zuordnung und die Bestellung.

Ausgaben an Empfänger, die unsere Kundin bestimmt. Auf ihre Weisung übermitteln wir Daten an Ziele, die sie selbst einträgt: Webhooks an ihr eigenes System mit Bestell- oder Anfragekennung, Wert und Zeitpunkt einzelner Bestellungen, Anfragen oder Erstattungen; Kurzfassungen von Berichten und Hinweisen an einen Slack- oder Teams-Kanal; Exporte und Abrufe über die Lese-Schnittstelle oder ein verbundenes Werkzeug. Die Empfänger werden dadurch nicht unsere Unterauftragnehmer. Betrifft eine Löschung, ein Widerspruch oder ein Widerruf eine Nachricht, die noch nicht zugestellt ist, senden wir sie nicht mehr. Bereits zugestellte Daten können wir nicht zurückholen; wir nennen unserer Kundin die Empfänger, damit sie ihrer Pflicht nach Art. 19 DSGVO nachkommen kann. Damit wir die Empfänger auch später nennen können, behalten wir je Zustellung nur Ziel, Zeitpunkt und eine Prüfsumme der Bestell- oder Anfragekennung, ohne Inhalt, so lange wie die übrigen Rohdaten. Auch Ausgaben ohne Namen oder E-Mail-Adresse können personenbezogen sein, und das gilt ebenso für den Analysespiegel in BigQuery, den wir für die Konten aller Kundinnen in derselben Region führen und aus dem Berichte je Konto ab größeren Datenmengen rechnen: Bestellnummern und Schlüssel von Datensätzen und Besuchsverläufen lassen sich zurückverknüpfen, und bei kleinen Zahlen erlauben auch Summen Rückschlüsse auf einzelne Personen.

Kundinnen von Metrunio, etwa Agenturen, können für ein Kundenkonto Personen benennen, die jeden Monat einen Bericht über dieses Konto als PDF per E-Mail erhalten. Wir verarbeiten die von unserer Kundin benannten Berichtsempfänger ausschließlich im jeweiligen Auftrag. Wer für den Versand verantwortlich ist und aus welcher Quelle Ihre Adresse stammt, steht in der Nachricht. Eine Abmeldung sperrt weitere Berichte dieses Kundenkontos. Dafür verbleibt nur der erforderliche Sperrnachweis, solange dieser Versandzweck besteht.

Die vollständigen Informationen nach Art. 14 DSGVO gibt der Verantwortliche; die Nachricht verweist auf sie. Gespeichert werden Ihre E-Mail-Adresse, Ihr Name, falls angegeben, das Kundenkonto, wer Sie wann eingetragen hat, und eine Prüfsumme des Abmeldetokens. Zum Kundenkonto halten wir fest, wer Verantwortlicher ist (die Agentur oder ihre Kundin), den Link zu dessen Datenschutzhinweisen und wer beides wann eingetragen hat; daraus stammen die Angaben in der Nachricht. Zweck ist allein der Versand des Monatsberichts und die Beachtung Ihrer Abmeldung. Der Bericht enthält nur Summen über das Kundenkonto, keine einzelnen Bestellungen und keine Kennungen von Besucherinnen und Besuchern; bei kleinen Zahlen können auch Summen Rückschlüsse auf einzelne Personen erlauben. Wir versenden ihn über Google Workspace, ohne Zählpixel und ohne nachverfolgte Links.

Abmelden können Sie sich über den Link in jeder Nachricht. Dann löschen wir Ihren Eintrag sofort. Für dieses Kundenkonto bleibt nur ein Sperrnachweis: eine mit einem geheimen Schlüssel gebildete Prüfsumme (HMAC) Ihrer normalisierten E-Mail-Adresse mit dem Zeitpunkt der Abmeldung, ohne die Adresse selbst, Ihren Namen oder das Abmeldetoken. Er verhindert, dass Ihre Adresse dort erneut eingetragen wird; andere Kundenkonten sperrt er nicht. Wir löschen ihn, sobald dieser Versandzweck entfällt: mit dem Kundenkonto oder dem Konto der Agentur, sobald die Agentur das Kundenkonto nicht mehr betreut, und 30 Tage nachdem der Versand an benannte Empfänger für die Agentur ausgeschaltet wurde. Die Sperre hebt nur Ihr eigener Wunsch auf. Unsere Kundin kann Ihnen dazu höchstens einmal in 30 Tagen eine Einladung senden, die sieben Tage gilt; Berichte erhalten Sie erst wieder, wenn Sie die Einladung über den Link in dieser E-Mail bestätigen. Solange eine Einladung läuft, stehen beim Sperrnachweis Ihre Adresse, Ihr Name, falls angegeben, und eine Prüfsumme des Einladungstokens; danach leeren wir diese Angaben. Unsere Kundin kann die Sperre nicht selbst aufheben. Entfernt unsere Kundin Sie als Empfänger, bevor Sie sich abmelden, löschen wir Ihren Eintrag. Ihre Rechte nach Art. 15 bis 21 DSGVO richten Sie an den Verantwortlichen; wir unterstützen ihn dabei.

Die Hauptverarbeitung findet in der Europäischen Union statt: Anwendung, Datenbank, Analysespiegel, die Protokolle der Anwendung und das Sprachmodell der Fragefunktion im Portal laufen in der Region europe-west3 (Frankfurt). Vertragspartei ist jeweils eine Gesellschaft mit Sitz in der EU.

Das allein wäre keine vollständige Auskunft. Es gibt Ausnahmen. Verwaltungs- und Systemprotokolle der Cloud-Plattform liegen in globalen Protokollbereichen des Anbieters, die sich nicht in eine Region legen lassen, bis zu 400 Tage. Zur Verwaltung und im Support können Konzerngesellschaften und Dienstleister unserer Anbieter von außerhalb der EU auf die Systeme zugreifen; Grundlage ist der Angemessenheitsbeschluss der EU-Kommission für die USA (EU-US Data Privacy Framework), soweit der Empfänger danach zertifiziert ist, ergänzend und für nicht zertifizierte Gesellschaften die EU-Standardvertragsklauseln; die Grundlage je Empfänger nennt die Liste. Informationen und eine Kopie der einschlägigen Garantien erhalten Sie über privacy@metrunio.com. Werkzeuge und Kanäle, die unsere Kundin selbst verbindet, betreibt deren Anbieter, gegebenenfalls außerhalb der EU. Welcher Empfänger wo verarbeitet, mit wem der Vertrag besteht und welche Zugriffe möglich sind, steht je Eintrag in der Liste der weiteren Auftragsverarbeiter und in der Übersicht „Dienstleister und Empfänger“.

Wir setzen Dienstleister ein, die für uns Server betreiben, E-Mails zustellen und Zahlungen abwickeln. In welcher Rolle sie dabei verarbeiten, ist nicht überall dieselbe – und davon hängt ab, welcher Vertrag gilt und wessen Weisungen sie folgen.

• Auftragsverarbeiter nach Art. 28 DSGVO: Betrieb der Anwendung, Postfach und E-Mail-Versand. Sie verarbeiten ausschließlich weisungsgebunden.
• Der Zahlungsdienstleister in einer Doppelrolle: Für die Vertragsdaten, die wir übergeben, ist er Auftragsverarbeiter. Für die Zahlung selbst ist er eigener Verantwortlicher – Zahlungsdiensterecht und Geldwäscherecht legen ihm eigene Pflichten auf, und wer eigene Pflichten hat, folgt insoweit keiner Weisung.
• Werbeplattformen sind keine Auftragsverarbeiter. Sie erhalten nur dann etwas, wenn unsere Kundin die Rückgabe von Conversions einschaltet, und verarbeiten dann als eigene oder gemeinsam Verantwortliche zu eigenen Zwecken.

An Werbeplattformen geben wir nichts weiter, es sei denn, unsere Kundin schaltet die Rückgabe von Conversions ausdrücklich ein. Auch dann übermitteln wir zur Werbezuordnung die Klickkennung der jeweiligen Plattform und je Ziel die oben beschriebenen Bestell- oder Ereigniskennungen zur Meldung und Dublettenprüfung; eigene Personen- oder Gerätekennungen übermitteln wir nicht. Was sonst übermittelt wird, steht oben unter „Anmeldung bei Google Ads und Meta“.

Unterlagen für die Prüfung

• Auskunft über die zu Ihnen verarbeiteten Daten (Art. 15 DSGVO).
• Berichtigung unrichtiger Daten (Art. 16 DSGVO).
• Löschung (Art. 17 DSGVO).
• Einschränkung der Verarbeitung (Art. 18 DSGVO).
• Datenübertragbarkeit (Art. 20 DSGVO).
• Widerspruch gegen eine Verarbeitung auf Grundlage berechtigter Interessen (Art. 21 DSGVO).
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO). Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt davon unberührt.
• Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO).

Betrifft Ihr Anliegen Messdaten von der Website eines unserer Kunden, richten Sie es bitte an diesen Kunden – er ist dort der Verantwortliche. Wir unterstützen ihn dabei: Das Produkt hat einen eigenen Bereich für Auskunft, Löschung und Widerspruch, und eine Löschung wirkt über eine Sperrliste fort, damit dieselbe Kennung nicht in der nächsten Minute erneut erfasst wird.

• Kein Fingerprinting über Geräteeigenschaften.
• Keine probabilistische Zuordnung über Wahrscheinlichkeiten.
• Keine Verknüpfung über Mandantengrenzen hinweg.
• Kein Verkauf und keine Weitergabe zu eigenen Werbezwecken.
• Keine dauerhafte Speicherung roher IP-Adressen: Zur Begrenzung der Anfragen stehen sie höchstens zehn Minuten im Arbeitsspeicher.

Änderungen an dieser Erklärung stehen im Änderungsprotokoll unter Status.

Jede Fassung bleibt unter ihrem Datum dauerhaft und unverändert abrufbar; auf diese Adressen verweist die Bestätigung per E-Mail nach einem Abschluss im Portal oder über die Shopify-App, und im Portal liegt der vereinbarte Wortlaut selbst.

• Fassung vom 17. Oktober 2026 · aktuell
• Fassung vom 16. Oktober 2026
• Fassung vom 15. Oktober 2026
• Fassung vom 14. Oktober 2026
• Fassung vom 13. Oktober 2026
• Fassung vom 12. Oktober 2026
• Fassung vom 11. Oktober 2026
• Fassung vom 10. Oktober 2026
• Fassung vom 7. Oktober 2026
• Fassung vom 4. Oktober 2026
• Fassung vom 3. Oktober 2026
• Fassung vom 2. Oktober 2026
• Fassung vom 1. Oktober 2026
• Fassung vom 30. September 2026
• Fassung vom 26. September 2026
• Fassung vom 25. September 2026
• Fassung vom 24. September 2026