Datenschutz und Sicherheit
Welche Rechtsdokumente gibt es, und wo stehen sie?
Alle stehen offen im Netz, ohne Formular und ohne Anmeldung: die Allgemeinen Geschäftsbedingungen unter /agb, die Datenschutzerklärung unter /datenschutz, und Auftragsverarbeitungsvertrag, technische und organisatorische Maßnahmen, die Anlage mit den weiteren Auftragsverarbeitern und das Löschkonzept unter /unterlagen. Auf derselben Seite steht die Übersicht „Dienstleister und Empfänger“: Sie nennt jeden Empfänger mit seiner Rolle, auch die, die eigener Verantwortlicher sind und deshalb nicht in die Vertragsanlage gehören. Weitere Nachweise (Verarbeitungsverzeichnis, Löschfristen im Detail, Meldeprozess bei einer Datenpanne) gibt es auf Anfrage.
Wo finde ich AGB, Auftragsverarbeitungsvertrag, TOM und die Liste der Dienstleister?
| Dokument | Beantwortet | Wo |
|---|---|---|
| Allgemeine Geschäftsbedingungen | Vertragsschluss, Preise und Abrechnung, Laufzeit, Haftung, Änderungen | /agb |
| Datenschutzerklärung | Was beim Besuch der Website und beim Anlegen eines Kontos verarbeitet wird | /datenschutz |
| Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO) | Gegenstand, Weisungsrecht, Unterauftrag, Rückgabe und Löschung | /unterlagen/avv |
| Technische und organisatorische Maßnahmen (Art. 32 DSGVO) | Was gegen unbefugten Zugriff, Verlust und Vermischung eingebaut ist | /unterlagen/tom |
| Anlage zum AVV: weitere Auftragsverarbeiter | Wer nach Art. 28 DSGVO im Auftrag verarbeitet, wo, und auf welcher Grundlage bei Drittlandbezug | /unterlagen/subunternehmer |
| Dienstleister und Empfänger | Jeder Empfänger mit seiner Rolle, auch die, die eigener Verantwortlicher sind | /unterlagen |
| Löschkonzept | Welche Daten wie lange bleiben und was beim Löschen einer Person geschieht | /unterlagen/loeschkonzept |
| Impressum | Wer der Anbieter ist | /impressum |
Die Rollenverteilung, ohne die nichts davon stimmt
Für die Messdaten auf deiner Website bist du der Verantwortliche; wir verarbeiten sie in deinem Auftrag. Für dein Konto, den Vertrag und die Abrechnung sind wir Verantwortlicher. Deshalb gibt es zwei Texte statt einem: Der Auftragsverarbeitungsvertrag regelt die erste Rolle, die Datenschutzerklärung beschreibt die zweite.
Frühere Fassungen
AGB, Datenschutzerklärung und die vier Vertragsunterlagen tragen ein Fassungsdatum, und jede Fassung bleibt unter diesem Datum dauerhaft abrufbar: /agb/2026-09-04, /datenschutz/2026-09-25, /unterlagen/avv/2026-09-24. Unter einer solchen Adresse steht immer genau dieser Text, auch nachdem wir ihn geändert haben; eine ältere Fassung sagt oben, dass sie nicht mehr gilt, und verlinkt die aktuelle. Unten auf jeder Seite stehen alle Fassungen. Die Bestätigung beim Abschluss verlinkt die Fassungen, denen du zugestimmt hast.
Was auf Anfrage dazukommt
- Verarbeitungsverzeichnis nach Art. 30 DSGVO, getrennt für die Rolle als Verantwortlicher und als Auftragsverarbeiter
- Löschkonzept mit den Fristen je Datenkategorie
- Prozess für Betroffenenanfragen mit den Fristen aus Art. 12 DSGVO
- Meldeprozess bei einer Verletzung des Schutzes personenbezogener Daten (Art. 33, 34 DSGVO)
- Der Auftragsverarbeitungsvertrag als unterschriebenes Dokument statt als Seite
Rechtlicher Hinweis
Die Texte beschreiben, was die Software tatsächlich tut, und sind keine Rechtsberatung für deinen Fall. Jede Fassung trägt ihr Datum und bleibt unter ihrer Adresse abrufbar; ändert sich ein Text, entsteht eine neue Fassung.
Zuletzt geprüft am 12.10.2026
Ebenfalls gefragt
- Wo finde ich die AGB?
- Gibt es einen Mustervertrag zur Auftragsverarbeitung?
- Welche Unterlagen bekomme ich für die Datenschutzprüfung?
- TOM nach Art. 32 DSGVO
- Verarbeitungsverzeichnis
- Wer ist Verantwortlicher, wer Auftragsverarbeiter?
- Vertragsunterlagen für die Beschaffung
- Welche Dienstleister bekommen meine Daten?
- Liste der Empfänger
- Wo finde ich eine frühere Fassung der AGB?
- Welcher Fassung habe ich zugestimmt?
- Alte Version des Auftragsverarbeitungsvertrags
- Dauerhafter Link auf die vereinbarte Fassung
Weiterführende Artikel
- Wo werden die Daten verarbeitet?
Gibt es einen Auftragsverarbeitungsvertrag und wo stehen die Server?
Anwendung, Datenbank und Analysespeicher sind für die Region europe-west3 (Frankfurt) vorgesehen; was darüber hinausgeht, etwa Protokolle und Supportzugriffe beim Cloud-Anbieter, nennt die Unterauftragnehmerliste unter „Unterlagen“. Den Auftragsverarbeitungsvertrag mit uns schließt du im Portal unter „Datenschutz“ oder in der Shopify-App ab; vorher wird nichts gemessen. Mit unseren Unterauftragnehmern haben wir eigene Verträge.
- Wie schließe ich den Auftragsverarbeitungsvertrag ab?
Wie schließe ich den AVV mit Metrunio ab, und warum wird vorher nichts gemessen?
Für jedes Konto gilt: Gemessen wird erst, wenn der Auftragsverarbeitungsvertrag (AVV) abgeschlossen ist; bis dahin nimmt Metrunio nichts an und speichert nichts. Du schließt ihn im Portal unter „Datenschutz“ oder im Einrichtungsschritt „AVV abschließen“ ab, bei einem Shopify-Shop auch direkt in der App: Firma, Anschrift und die abschließende Person eintragen, die Berechtigung bestätigen, fertig. Wenige Sekunden danach kommen Daten an, ohne dass du am Einbau etwas änderst.
- Wie lange werden Daten aufbewahrt?
Welche Aufbewahrungsfristen gelten und kann ich sie ändern?
Roh-Events werden standardmäßig 180 Tage aufbewahrt, im kostenlosen Tarif Start 90 Tage; die Frist ist je Mandant bis zur Grenze des Tarifs einstellbar und wird automatisch durchgesetzt. Journeys, Touchpoints und Conversions teilen die Frist der Roh-Events, aus denen sie entstanden sind, und werden mit ihnen gelöscht oder früher, wenn eine Löschung angefordert wird. Sinkt die Grenze nach einem Tarifwechsel unter die eingestellte Frist, kündigen wir die Kürzung 30 Tage vorher an.
- Brauche ich für Metrunio ein Cookie-Banner?
Brauche ich für Metrunio eine Einwilligung und einen Eintrag im Cookie-Banner?
Ja: Metrunio misst Besuche und Werbekontakte nur mit Einwilligung, deshalb gehört es mit seinen Speichereinträgen in dein Cookie-Banner und in deine Datenschutzerklärung. Ohne Einwilligung nimmt es höchstens Kauf und Erstattung zur Umsatzabstimmung an, ohne Browser-, Kunden- und Werbekennungen. Der rechtliche Rahmen dafür ist § 25 TDDDG: Speichern und Auslesen im Endgerät brauchen grundsätzlich eine Einwilligung.