Löschkonzept

• Rohereignisse: nach der vom Mandanten gewählten Aufbewahrung, im Rahmen seines Tarifs zwischen 30 und 1.095 Tagen; Voreinstellung 180 Tage
• abgeleitete Journeys, Touchpoints und Attributionsanteile: solange die zugrunde liegenden Rohereignisse bestehen
• abgewiesene Ereignisse: werden nicht gespeichert; festgehalten werden zur Fehlersuche nur Fehlergrund, Zeitpunkt, Quelle, Website, Ereignistyp und die Namen der betroffenen Felder mit Art und Länge des Werts, keine Feldinhalte und keine Kennungen; gelöscht mit der Rohdatenfrist
• Conversions: wie die Rohereignisse, denn sie sind aus ihnen entstanden; die Belege für die Buchführung des Mandanten liegen in seinen eigenen Systemen, nicht in der Messung
• Antworten auf die Nachkauf-Frage: wie die Rohereignisse, an denen sie hängen
• Abgleichsdaten der Zuordnung über den Checkout (Prüfsumme der Kennung des Checkouts, genauer Bestellzeitpunkt): an allen Speicherorten höchstens 24 Stunden nach der Bestellung, an Ereignissen des Browsers höchstens 24 Stunden nach deren Eingang; mit der Zuordnung sofort
• ausgehende Webhooks: der Inhalt einer Zustellung, bis sie zugestellt oder aufgegeben ist, höchstens 24 Stunden; das Protokoll ohne Inhalt 30 Tage
• Werbekosten: bis zur Löschung des Mandanten; sie tragen in aller Regel keinen Personenbezug
• Protokoll administrativer und sicherheitsrelevanter Vorgänge einschließlich Anmeldungen: 180 Tage je Eintrag, spätestens mit allen Daten des Mandanten 30 Tage nach Vertragsende. Wird ein Vorfall untersucht, wird der benötigte Ausschnitt gesondert gesichert. Getrennt davon bleiben minimierte Nachweise: zu Löschungen, Widersprüchen und Widerrufen 90 Tage außerhalb der Datenbank, damit sie nach einer Wiederherstellung nachgezogen werden können; zu abgeschlossenen Betroffenenanfragen bis zum Ende des dritten Kalenderjahres nach Abschluss
• Serverprotokolle der Website: 7 Tage
• Chat auf der Website: Frage, Verlauf und eine angegebene E-Mail-Adresse 30 Tage nach dem letzten Beitrag; bei einem wiederkehrenden Supportfall 365 Tage nach dem letzten Beitrag
• Konten und Zugänge: mit dem Mandanten 30 Tage nach Vertragsende, soweit sie zu keinem weiteren Mandanten gehören. Getrennt davon bleiben ein minimierter Nachweis des Vertragsschlusses, in der Regel sechs Jahre nach dem Jahr des Abschlusses (§ 257 HGB), und unsere Rechnungen als Buchungsbelege acht Jahre; beides gehört nicht zu den Daten, die wir in Ihrem Auftrag verarbeiten

Die Person wird über eine pseudonyme Kennung gesucht – Journey-Kennung, Bestellnummer, Vorgangsnummer oder pseudonymisierte Kundenkennung. Der Bereich „Datenschutz“ im Produkt zeigt vorher an, wie viele Datensätze betroffen sind.

Gelöscht werden Identitätsverknüpfungen, Journeys, Touchpoints, Conversions und Rohereignisse zu dieser Kennung.

Aggregierte Kennzahlen bleiben bestehen, wenn sie keinen Personenbezug mehr tragen – und nur dann. Dass eine Neuberechnung aufwendig wäre, ist kein Grund, etwas zu behalten. Eine Summe über einen Tag und einen Kanal sagt nichts über eine einzelne Person; eine Zeile mit dem Wert eins wäre dagegen näher an einem Ereignis als an einer Auswertung. Deshalb erscheinen in der Reichweite ohne Einwilligung nur Quellen ab fünf Aufrufen einzeln, kleinere werden zu einer Zeile zusammengefasst, und die Zählung läuft nach derselben Frist ab wie die Ereignisse selbst.

Eine Löschung ohne Fortwirkung wäre eine Momentaufnahme: Das nächste Ereignis desselben Browsers legte die Person unter einer neuen Kennung wieder an. Bei einem Widerspruch wiegt das schwerer als bei einer Löschung – wer der Verarbeitung widerspricht, will nicht in der nächsten Minute erneut verarbeitet werden.

Deshalb wird die Kennung gesperrt. Gespeichert wird dabei nur eine Prüfsumme, nicht der Wert selbst. Stünde er im Klartext dort, wäre die Sperrliste genau das, was sie verhindern soll: ein Bestand der gelöschten Kennungen im Klartext. Die Prüfsumme ist gleichwohl ein pseudonymes personenbezogenes Datum – sie erkennt die Kennung wieder, lässt sich aber nicht in sie zurückrechnen. Ihre Verarbeitung dient allein der Durchsetzung der Löschung oder des Widerspruchs (Art. 17 Abs. 1, Art. 21 DSGVO); zu keinem anderen Zweck wird sie gelesen.

Eine Sperre lässt sich aufheben, etwa wenn dieselbe Person später erneut einwilligt. Der Vorgang bleibt mit Zeitpunkt und handelnder Person im Protokoll stehen.

Nach Beendigung bleiben die Daten 30 Tage zum Export abrufbar und werden anschließend gelöscht – Messdaten, Kampagnen, Einstellungen, das Protokoll und die Konten, die zu keinem weiteren Mandanten gehören. Die Löschung läuft automatisch und hinterlässt einen Nachweis über den Zeitpunkt und die Zahl der entfallenen Datensätze; der Nachweis enthält keine Inhalte.

Sicherungen laufen nach ihrem eigenen Zyklus aus; sie werden nicht gezielt durchsucht, um einzelne Datensätze zu entfernen. Aufbewahrt wird eine Anzahl, keine Dauer: in der Produktion die letzten 14 täglichen Sicherungen, bei einer Sicherung je Tag also rund zwei Wochen, und sieben Tage Transaktionsprotokoll; in der Entwicklungsumgebung die letzten sieben, ohne Transaktionsprotokoll. Das sind die Sicherungen, aus denen wir wiederherstellen können. Davon zu unterscheiden sind Restkopien beim Cloud-Anbieter: Was wir gelöscht haben, entfernt er nach seinem Vertrag so bald wie möglich aus seinen Systemen, spätestens nach 180 Tagen; wird eine Sicherung zurückgespielt, werden die Löschungen und Widersprüche seit dem Sicherungszeitpunkt vor der Freigabe erneut ausgeführt. Gesetzliche Aufbewahrungsfristen für Belege bleiben unberührt – was aufbewahrt werden muss, wird für jede andere Verwendung gesperrt. Unsere Rechnungen an Sie gehören dazu; sie sind eigene Belege und nicht Teil der Daten, die wir in Ihrem Auftrag verarbeiten.

Sicherungen werden nicht durchsucht. Das hat eine Folge, die wir benennen, statt sie zu umgehen: Wer eine Sicherung einspielt, holt damit auch zurück, was zwischenzeitlich gelöscht wurde. Auch die Sperrliste liegt in dieser Datenbank und steht danach auf dem Stand der Sicherung. Damit eine Löschung trotzdem eine Löschung bleibt, werden vor der Freigabe einer zurückgespielten Datenbank alle Lösch- und Widerspruchsanfragen seit dem Sicherungszeitpunkt erneut ausgeführt; sie liegen außerhalb der Datenbank vor. Erst danach nimmt der Dienst wieder Daten an.

Der Analysespiegel für große Auswertungen ist je Mandant zuschaltbar und enthält keine direkten Kennungen, aber Schlüssel, über die sich Datensätze und Journeys zurückverknüpfen lassen; anonym ist er deshalb nicht. Löschungen erreichen ihn: Was in der Datenbank entfällt, wird beim Löschen vorgemerkt und im Spiegel nachgezogen – auch dann, wenn es nicht direkt gelöscht wurde, sondern an einem gelöschten Datensatz hing.

Testdaten liegen in einer eigenen Umgebung, fließen in keinen Bericht und lassen sich jederzeit im Tracking-Setup vollständig zurücksetzen.