Löschkonzept

• Rohereignisse: nach der vom Mandanten gewählten Aufbewahrung, im Rahmen seines Tarifs zwischen 30 und 1.095 Tagen; Voreinstellung 180 Tage
• abgeleitete Journeys, Touchpoints und Attributionsanteile: solange die zugrunde liegenden Rohereignisse bestehen
• Conversions: wie die Rohereignisse, denn sie sind aus ihnen entstanden; die Belege für die Buchführung des Mandanten liegen in seinen eigenen Systemen, nicht in der Messung
• Werbekosten: bis zur Löschung des Mandanten; sie tragen keinen Personenbezug
• Protokolldaten einschließlich Anmeldungen: solange der Mandant besteht, danach mit allen seinen Daten 30 Tage nach Vertragsende; ein Protokoll mit Ablaufdatum belegt nichts (Art. 5 Abs. 2 DSGVO)
• Serverprotokolle der Website: 7 Tage
• Chat auf der Website: Frage, Verlauf und eine angegebene E-Mail-Adresse 30 Tage nach dem letzten Beitrag; bei einem wiederkehrenden Supportfall 365 Tage nach dem letzten Beitrag
• Konto- und Vertragsdaten: bis zum Ende der gesetzlichen Aufbewahrungsfristen nach Vertragsende

Die Person wird über eine pseudonyme Kennung gesucht – Journey-Kennung, Bestellnummer, Vorgangsnummer oder pseudonymisierte Kundenkennung. Der Bereich „Datenschutz“ im Produkt zeigt vorher an, wie viele Datensätze betroffen sind.

Gelöscht werden Identitätsverknüpfungen, Journeys, Touchpoints, Conversions und Rohereignisse zu dieser Kennung.

Aggregierte Kennzahlen bleiben bestehen, wenn sie keinen Personenbezug mehr tragen – und nur dann. Dass eine Neuberechnung aufwendig wäre, ist kein Grund, etwas zu behalten. Eine Summe über einen Tag und einen Kanal sagt nichts über eine einzelne Person; eine Zeile mit dem Wert eins wäre dagegen näher an einem Ereignis als an einer Auswertung. Deshalb erscheinen in der Reichweite ohne Einwilligung nur Quellen ab fünf Aufrufen einzeln, kleinere werden zu einer Zeile zusammengefasst, und die Zählung läuft nach derselben Frist ab wie die Ereignisse selbst.

Eine Löschung ohne Fortwirkung wäre eine Momentaufnahme: Das nächste Ereignis desselben Browsers legte die Person unter einer neuen Kennung wieder an. Bei einem Widerspruch wiegt das schwerer als bei einer Löschung – wer der Verarbeitung widerspricht, will nicht in der nächsten Minute erneut verarbeitet werden.

Deshalb wird die Kennung gesperrt. Gespeichert wird dabei nur eine Prüfsumme, nicht der Wert selbst. Stünde er im Klartext dort, wäre die Sperrliste genau das, was sie verhindern soll: ein Bestand der gelöschten Kennungen im Klartext. Die Prüfsumme ist gleichwohl ein pseudonymes personenbezogenes Datum – sie erkennt die Kennung wieder, lässt sich aber nicht in sie zurückrechnen. Ihre Verarbeitung dient allein der Durchsetzung der Löschung oder des Widerspruchs (Art. 17 Abs. 1, Art. 21 DSGVO); zu keinem anderen Zweck wird sie gelesen.

Eine Sperre lässt sich aufheben, etwa wenn dieselbe Person später erneut einwilligt. Der Vorgang bleibt mit Zeitpunkt und handelnder Person im Protokoll stehen.

Nach Beendigung bleiben die Daten 30 Tage zum Export abrufbar und werden anschließend gelöscht – Messdaten, Kampagnen, Einstellungen, das Protokoll und die Konten, die zu keinem weiteren Mandanten gehören. Die Löschung läuft automatisch und hinterlässt einen Nachweis über den Zeitpunkt und die Zahl der entfallenen Datensätze; der Nachweis enthält keine Inhalte.

Sicherungen laufen nach ihrem eigenen Zyklus aus; sie werden nicht gezielt durchsucht, um einzelne Datensätze zu entfernen. Aufbewahrt werden die letzten 14 täglichen Sicherungen – rund zwei Wochen – und sieben Tage Transaktionsprotokoll; wird eine Sicherung zurückgespielt, werden die Löschungen und Widersprüche seit dem Sicherungszeitpunkt vor der Freigabe erneut ausgeführt. Gesetzliche Aufbewahrungsfristen für Belege bleiben unberührt – was aufbewahrt werden muss, wird für jede andere Verwendung gesperrt. Unsere Rechnungen an Sie gehören dazu; sie sind eigene Belege und nicht Teil der Daten, die wir in Ihrem Auftrag verarbeiten.

Sicherungen werden nicht durchsucht. Das hat eine Folge, die wir benennen, statt sie zu umgehen: Wer eine Sicherung einspielt, holt damit auch zurück, was zwischenzeitlich gelöscht wurde. Auch die Sperrliste liegt in dieser Datenbank und steht danach auf dem Stand der Sicherung. Damit eine Löschung trotzdem eine Löschung bleibt, werden vor der Freigabe einer zurückgespielten Datenbank alle Lösch- und Widerspruchsanfragen seit dem Sicherungszeitpunkt erneut ausgeführt; sie liegen außerhalb der Datenbank vor. Erst danach nimmt der Dienst wieder Daten an.

Der Analysespiegel für große Auswertungen ist je Mandant zuschaltbar und enthält keine direkten Kennungen. Löschungen erreichen ihn: Was in der Datenbank entfällt, wird beim Löschen vorgemerkt und im Spiegel nachgezogen – auch dann, wenn es nicht direkt gelöscht wurde, sondern an einem gelöschten Datensatz hing.

Testdaten liegen in einer eigenen Umgebung, fließen in keinen Bericht und lassen sich jederzeit im Tracking-Setup vollständig zurücksetzen.