Löschkonzept

• Rohereignisse: nach der vom Mandanten gewählten Aufbewahrung, im Rahmen seines Tarifs zwischen 30 und 1.095 Tagen; Voreinstellung 180 Tage
• abgeleitete Journeys, Touchpoints und Attributionsanteile: solange die zugrunde liegenden Rohereignisse bestehen; die Anteile einer Folgezahlung, die aus der ersten Bestellung desselben Abos abgeleitet sind, solange diese besteht: Entfällt sie durch Löschung, Widerspruch, Widerruf oder Ablauf ihrer Frist, wird die Folgezahlung sofort neu gerechnet und bleibt ohne Zuordnung
• abgewiesene Ereignisse: werden nicht gespeichert; festgehalten werden zur Fehlersuche nur Fehlergrund, Zeitpunkt, Quelle, Website, Ereignistyp und die Namen der betroffenen Felder mit Art und Länge des Werts, keine Feldinhalte und keine Kennungen; gelöscht mit der Rohdatenfrist
• Conversions: wie die Rohereignisse, denn sie sind aus ihnen entstanden; die Belege für die Buchführung des Mandanten liegen in seinen eigenen Systemen, nicht in der Messung
• Antworten auf die Nachkauf-Frage: wie die Rohereignisse, an denen sie hängen
• Abgleichsdaten der Zuordnung über den Checkout (Prüfsumme der Kennung des Checkouts, genauer Bestellzeitpunkt): verwendet höchstens bis 24 Stunden nach der Bestellung, an Ereignissen des Browsers höchstens bis 24 Stunden nach deren Eingang, danach im aktiven Bestand im Wartungstakt gelöscht; mit der Zuordnung sofort; in Sicherungen bis zu deren Ablauf (Abschnitt 5)
• Einwilligungszustände je Browser: bis 13 Monate nach der letzten Änderung oder dem letzten Besuch des Browsers, je nachdem, was später liegt; der Zustand nach einem vollzogenen Widerruf als Nachweis bis zum Ende des dritten Kalenderjahres nach dem Widerruf; spätestens mit der Website oder dem Mandanten
• ausgehende Webhooks: der Inhalt einer Zustellung, bis sie zugestellt oder aufgegeben ist, höchstens 24 Stunden; das Protokoll ohne Inhalt 30 Tage; eine Empfängerspur ohne Inhalt (Ziel, Zeitpunkt, Prüfsumme der Bestell- oder Anfragekennung) wie die Rohdaten, damit Empfänger auch später genannt werden können
• Werbekosten, auch je Anzeige, und Kosten aus weiteren Quellen und Tabellen, mit Namen und Kennungen von Kampagnen, Anzeigengruppen und Anzeigen und den Adressen von Vorschaubildern: bis zur Löschung des Mandanten; Namen und kleine Zahlen können sich auf Personen beziehen
• Kennzahlen aus E-Mail-Plattformen des Auftraggebers: bis zum Trennen der Verbindung, spätestens mit dem Mandanten
• Kennzahlen aus der Google Search Console und Vorschaubilder von Anzeigen: nicht gespeichert, höchstens eine Stunde im Arbeitsspeicher; Kennzahlen einer getrennten Search Console werden nicht mehr ausgegeben und verworfen
• Zugangsdaten zu Diensten des Auftraggebers, einschließlich der Adresse einer Tabelle: bis zum Trennen der Verbindung oder zum Entfernen der Tabelle, dann sofort gelöscht; spätestens mit dem Mandanten
• Empfänger von Monatsberichten: bis der Auftraggeber sie entfernt, spätestens mit dem Kundenmandanten; nach einer Abmeldung wird der Eintrag sofort gelöscht, und es bleibt je Kundenmandant nur ein Sperrnachweis (HMAC der normalisierten Adresse, ohne Adresse, Name und Abmeldetoken); er wird gelöscht mit dem Kunden- oder Agenturmandanten, sobald die Agentur den Kundenmandanten nicht mehr betreut, und 30 Tage nach dem Ausschalten des Versands an benannte Empfänger für die Agentur. Während einer Einladung zur Wiederanmeldung (höchstens eine je 30 Tage, gültig sieben Tage) stehen Adresse, Name und Prüfsumme des Einladungstokens am Sperrnachweis; danach werden sie geleert
• Protokoll administrativer und sicherheitsrelevanter Vorgänge einschließlich Anmeldungen: 180 Tage je Eintrag, spätestens mit allen Daten des Mandanten 30 Tage nach Vertragsende. Wird ein Vorfall untersucht, wird der benötigte Ausschnitt gesondert gesichert. Getrennt davon bleiben minimierte Nachweise: zu Löschungen, Widersprüchen und Widerrufen 90 Tage außerhalb der Datenbank, damit sie nach einer Wiederherstellung nachgezogen werden können; zu abgeschlossenen Betroffenenanfragen bis zum Ende des dritten Kalenderjahres nach Abschluss
• Serverprotokolle der Website: 7 Tage
• Chat auf der Website: Frage, Verlauf und eine angegebene E-Mail-Adresse 30 Tage nach dem letzten Beitrag; bei einem wiederkehrenden Supportfall 365 Tage nach dem letzten Beitrag
• Konten und Zugänge: mit dem Mandanten 30 Tage nach Vertragsende, soweit sie zu keinem weiteren Mandanten gehören. Getrennt davon bleiben ein minimierter Nachweis des Vertragsschlusses, in der Regel sechs Jahre nach dem Jahr des Abschlusses (§ 257 HGB), und unsere Rechnungen als Buchungsbelege acht Jahre; beides gehört nicht zu den Daten, die wir in Ihrem Auftrag verarbeiten

Die Person wird über eine pseudonyme Kennung gesucht – Journey-Kennung, Bestellnummer, Vorgangsnummer oder pseudonymisierte Kundenkennung. Der Bereich „Datenschutz“ im Produkt zeigt vorher an, wie viele Datensätze betroffen sind.

Gelöscht werden Identitätsverknüpfungen, Journeys, Touchpoints, Conversions und Rohereignisse zu dieser Kennung.

Aggregierte Kennzahlen bleiben bestehen, wenn sie keinen Personenbezug mehr tragen – und nur dann. Dass eine Neuberechnung aufwendig wäre, ist kein Grund, etwas zu behalten. Eine Summe über einen Tag und einen Kanal sagt nichts über eine einzelne Person; eine Zeile mit dem Wert eins wäre dagegen näher an einem Ereignis als an einer Auswertung. Deshalb erscheinen in der Reichweite ohne Einwilligung nur Quellen ab fünf Aufrufen einzeln, kleinere werden zu einer Zeile zusammengefasst, und die Zählung läuft nach derselben Frist ab wie die Ereignisse selbst.

Eine Löschung ohne Fortwirkung wäre eine Momentaufnahme: Das nächste Ereignis desselben Browsers legte die Person unter einer neuen Kennung wieder an. Bei einem Widerspruch wiegt das schwerer als bei einer Löschung – wer der Verarbeitung widerspricht, will nicht in der nächsten Minute erneut verarbeitet werden.

Deshalb wird die Kennung gesperrt. Gespeichert wird dabei nur eine Prüfsumme, nicht der Wert selbst. Stünde er im Klartext dort, wäre die Sperrliste genau das, was sie verhindern soll: ein Bestand der gelöschten Kennungen im Klartext. Die Prüfsumme ist gleichwohl ein pseudonymes personenbezogenes Datum – sie erkennt die Kennung wieder, lässt sich aber nicht in sie zurückrechnen. Ihre Verarbeitung dient allein der Durchsetzung der Löschung oder des Widerspruchs (Art. 17 Abs. 1, Art. 21 DSGVO); zu keinem anderen Zweck wird sie gelesen.

Eine Sperre lässt sich aufheben, etwa wenn dieselbe Person später erneut einwilligt. Der Vorgang bleibt mit Zeitpunkt und handelnder Person im Protokoll stehen.

Nach Beendigung bleiben die Daten 30 Tage zum Export abrufbar und werden anschließend gelöscht – Messdaten, Kampagnen, Einstellungen, das Protokoll und die Konten, die zu keinem weiteren Mandanten gehören. Die Löschung läuft automatisch und hinterlässt einen Nachweis über den Zeitpunkt und die Zahl der entfallenen Datensätze; der Nachweis enthält keine Inhalte.

Sicherungen laufen nach ihrem eigenen Zyklus aus; sie werden nicht gezielt durchsucht, um einzelne Datensätze zu entfernen. Aufbewahrt wird eine Anzahl, keine Dauer: in der Produktion die letzten 14 täglichen Sicherungen, bei einer Sicherung je Tag also rund zwei Wochen, und sieben Tage Transaktionsprotokoll; in der Entwicklungsumgebung die letzten sieben, ohne Transaktionsprotokoll. Das sind die Sicherungen, aus denen wir wiederherstellen können. Davon zu unterscheiden sind Restkopien beim Cloud-Anbieter: Was wir gelöscht haben, entfernt er nach seinem Vertrag so bald wie möglich aus seinen Systemen, spätestens nach 180 Tagen; wird eine Sicherung zurückgespielt, werden die Löschungen und Widersprüche seit dem Sicherungszeitpunkt vor der Freigabe erneut ausgeführt. Gesetzliche Aufbewahrungsfristen für Belege bleiben unberührt – was aufbewahrt werden muss, wird für jede andere Verwendung gesperrt. Unsere Rechnungen an Sie gehören dazu; sie sind eigene Belege und nicht Teil der Daten, die wir in Ihrem Auftrag verarbeiten.

Sicherungen werden nicht durchsucht. Das hat eine Folge, die wir benennen, statt sie zu umgehen: Wer eine Sicherung einspielt, holt damit auch zurück, was zwischenzeitlich gelöscht wurde. Auch die Sperrliste liegt in dieser Datenbank und steht danach auf dem Stand der Sicherung. Damit eine Löschung trotzdem eine Löschung bleibt, werden vor der Freigabe einer zurückgespielten Datenbank alle Lösch- und Widerspruchsanfragen seit dem Sicherungszeitpunkt erneut ausgeführt; sie liegen außerhalb der Datenbank vor. Erst danach nimmt der Dienst wieder Daten an.

Der Analysespiegel für große Auswertungen wird für alle Mandanten einer Umgebung geführt, je Mandant getrennt, und enthält keine direkten Kennungen, aber Schlüssel, über die sich Datensätze und Journeys zurückverknüpfen lassen; anonym ist er deshalb nicht. Löschungen erreichen ihn: Was in der Datenbank entfällt, wird beim Löschen vorgemerkt und im Spiegel nachgezogen – auch dann, wenn es nicht direkt gelöscht wurde, sondern an einem gelöschten Datensatz hing.

Testdaten liegen in einer eigenen Umgebung, fließen in keinen Bericht und lassen sich jederzeit in der Einrichtung vollständig zurücksetzen.