# DSGVO Wissen (/docs)
# A. Allgemeines (/docs/dsgvo-art9/a-allgemeines)
Zurück zur [Übersicht Art. 9 DS-GVO](/docs/dsgvo-art9).
## Auf einen Blick [#auf-einen-blick]
Art. 9 DS-GVO sagt: Bestimmte besonders sensible Daten sind grundsätzlich verboten zu verarbeiten – außer es greift eine Ausnahme. Die Norm ist **kein Ersatz** für Art. 6 DS-GVO, sondern eine **zusätzliche Hürde**: Wer sensible Daten verarbeiten will, braucht immer beides – eine Erlaubnis nach Art. 6 **und** eine Ausnahme nach Art. 9 Abs. 2.
***
## I. Was die Norm will [#i-was-die-norm-will]
Art. 9 schützt gleich drei Dinge auf einmal:
1. **Die einzelne Person** – vor Diskriminierung und Schaden durch die Weitergabe sensibler Informationen
2. **Gruppen von Menschen** – zum Beispiel ethnische Minderheiten oder Religionsgemeinschaften, die durch Datenmissbrauch verfolgt werden könnten
3. **Die Demokratie** – weil sensible Daten in falschen Händen zur Machtkonzentration und Unterdrückung missbraucht werden können
### Wie Abs. 1–4 zusammenspielen [#wie-abs-14-zusammenspielen]
### Verhältnis zu Art. 6 DS-GVO [#verhältnis-zu-art-6-ds-gvo]
Art. 6 DS-GVO regelt, wann personenbezogene Daten **generell** verarbeitet werden dürfen. Art. 9 kommt **zusätzlich** dazu, wenn es sich um sensible Daten handelt.
**Voraussetzungen für eine erlaubte Verarbeitung sensibler Daten:**
* **a)** Erlaubnis nach Art. 6 Abs. 1 (allgemeine Grundlage – muss immer vorliegen)
* **b)** Ausnahme nach Art. 9 Abs. 2 (spezielle Grundlage – muss zusätzlich vorliegen)
Beide müssen erfüllt sein – keiner ersetzt den anderen.
***
## II. Wie die Norm entstanden ist [#ii-wie-die-norm-entstanden-ist]
Der Gedanke, bestimmte Daten besonders zu schützen, ist nicht neu:
Gegenüber der alten EU-Richtlinie von 1995 hat die DS-GVO **drei Kategorien neu aufgenommen**: genetische Daten, biometrische Daten zur Identifizierung und Daten zur sexuellen Orientierung.
***
## III. Wo Art. 9 noch eine Rolle spielt [#iii-wo-art-9-noch-eine-rolle-spielt]
Art. 9 wirkt sich auf viele andere Regeln in der DS-GVO aus:
| Vorschrift | Auswirkung |
| --------------------- | ----------------------------------------------------------------------- |
| Art. 22 Abs. 4 | Automatisierte Entscheidungen über sensible Daten brauchen extra Schutz |
| Art. 30 Abs. 5 | Keine Ausnahme von der Dokumentationspflicht |
| Art. 35 Abs. 3 lit. b | Datenschutz-Folgeabschätzung nötig bei umfangreicher Verarbeitung |
| Art. 37 Abs. 1 lit. c | Datenschutzbeauftragter muss benannt werden |
***
## Häufige Fragen (FAQ) [#häufige-fragen-faq]
**Warum gibt es überhaupt einen Sonderschutz für bestimmte Daten?**
Weil manche Daten besonders gefährlich sind: Sie verraten Dinge, die zu Diskriminierung, Verfolgung oder schwerem persönlichen Schaden führen können.
**Kann Art. 9 durch andere Regeln ersetzt werden?**
Nein. Wenn Art. 9 gilt, muss er immer zusätzlich zu Art. 6 geprüft werden – er kann nicht „umgangen" werden.
**Gilt Art. 9 auch für Daten von Verstorbenen?**
Die DS-GVO schützt grundsätzlich nur lebende Personen. Einzelne EU-Länder (wie Deutschland) können aber auch Daten Verstorbener schützen.
**Weiter:** [B. Das Verarbeitungsverbot](/docs/dsgvo-art9/b-verbotstatbestand)
# B.III Die einzelnen Kategorien (/docs/dsgvo-art9/b-kategorien)
Zurück zur [Übersicht Art. 9 DS-GVO](/docs/dsgvo-art9) | [B. Das Verarbeitungsverbot](/docs/dsgvo-art9/b-verbotstatbestand)
## Auf einen Blick [#auf-einen-blick]
Art. 9 Abs. 1 listet die sensiblen Datenkategorien **abschließend** auf – es gibt also keine weiteren. Im Zweifel wird weit ausgelegt, weil der Schutz der Betroffenen Vorrang hat.
***
## 1. Rassische und ethnische Herkunft [#1-rassische-und-ethnische-herkunft]
### Was ist gemeint? [#was-ist-gemeint]
„Rasse" wird hier nicht biologisch verstanden, sondern gesellschaftlich: Es geht darum, wie eine Person wahrgenommen wird oder welcher Gruppe sie sich selbst zugehörig fühlt.
Erfasst sind Daten zu:
* Nationalität, Hautfarbe, Sprache, Herkunftsregion
* Selbst- oder Fremdzuschreibungen ethnischer Identität
### Was ist nicht erfasst? [#was-ist-nicht-erfasst]
Nicht jede Angabe zur Nationalität oder Herkunft löst das Verbot aus. Entscheidend ist, ob die Daten geeignet sind, **ethnische Zugehörigkeit** zu verraten. Eine reine Staatsangehörigkeitsangabe im Reisepass reicht allein nicht – aber sie kann es werden, wenn sie in einem Profil mit ethnischen Merkmalen steht.
***
## 2. Politische Meinungen [#2-politische-meinungen]
### Was ist gemeint? [#was-ist-gemeint-1]
Alle Überzeugungen zu Politik, Staat und Gesellschaft: Parteizugehörigkeit, Wahlverhalten, politische Äußerungen in sozialen Medien, Teilnahme an Demonstrationen.
### Abgrenzung [#abgrenzung]
Überschneidungen mit weltanschaulichen Überzeugungen (→ Kategorie 3) sind möglich. Wer ein politisches Programm aus weltanschaulichen Gründen verfolgt, wird von beiden Kategorien erfasst.
***
## 3. Religiöse und weltanschauliche Überzeugungen [#3-religiöse-und-weltanschauliche-überzeugungen]
### Religion [#religion]
Alle Glaubens- und Bekenntnissysteme – egal wie weit verbreitet. Auch Religionslosigkeit (z. B. Atheismus) ist erfasst.
Typische Beispiele: Kirchensteuermerkmal, religiöse Kleiderordnung, Speiseanforderungen in der Kantine.
### Weltanschauung [#weltanschauung]
Umfassende Überzeugungen, die nicht religiös sind, aber das Leben prägen – zum Beispiel Humanismus oder Veganismus als Lebensphilosophie.
> Ob es sich um Religion oder Weltanschauung handelt, spielt für die Rechtsfolgen keine Rolle – beide werden gleich behandelt.
***
## 4. Gewerkschaftszugehörigkeit [#4-gewerkschaftszugehörigkeit]
### Was ist gemeint? [#was-ist-gemeint-2]
Mitgliedschaft in Gewerkschaften und Berufsverbänden mit gewerkschaftlicher Funktion, zum Beispiel:
* ver.di, IG Metall, DGB
* Tätigkeiten als Betriebsratsmitglied oder Gewerkschaftsvertreter
* Streikteilnahme
### Was ist nicht erfasst? [#was-ist-nicht-erfasst-1]
Arbeitgeberverbände und Berufsverbände ohne kollektivrechtliche Funktion (z. B. reine Standesorganisationen) fallen **nicht** unter Art. 9.
***
## 5. Genetische Daten [#5-genetische-daten]
### Was ist gemeint? [#was-ist-gemeint-3]
Daten zu ererbten oder erworbenen genetischen Eigenschaften einer Person – gewonnen z. B. durch DNA-Analyse, Genmutationstest oder Abstammungsanalyse.
### Besonderheit [#besonderheit]
Genetische Daten betreffen nicht nur die betroffene Person selbst, sondern auch deren Verwandte. Deshalb sind sie besonders sensibel.
Für genetische Daten darf Deutschland zusätzliche Regeln einführen (→ [D. Öffnungsklausel](/docs/dsgvo-art9/d-oeffnungsklausel)).
***
## 6. Biometrische Daten [#6-biometrische-daten]
### Was ist gemeint? [#was-ist-gemeint-4]
Mit technischen Verfahren gewonnene Daten zu körperlichen oder verhaltenstypischen Merkmalen, die eine Person eindeutig identifizieren – z. B. Fingerabdrücke, Gesichtsbilder, Stimmprofile.
### Einschränkung: Zweck der Identifizierung [#einschränkung-zweck-der-identifizierung]
Art. 9 gilt bei biometrischen Daten **nur**, wenn sie zur eindeutigen Identifizierung einer Person genutzt werden.
| Situation | Art. 9 gilt? |
| ---------------------------------------------------------- | ------------ |
| Fingerabdruck-Scanner zur Zugangskontrolle | Ja |
| Gesichtserkennung in Datenbanken | Ja |
| Statistische Analyse von Gesichtsformen ohne Personenbezug | Nein |
| Stimmidentifikation | Ja |
***
## 7. Gesundheitsdaten [#7-gesundheitsdaten]
### Was ist gemeint? [#was-ist-gemeint-5]
Alle Daten, die etwas über den körperlichen oder geistigen Gesundheitszustand einer Person verraten:
* Diagnosen, Befunde, Arztbriefe
* Krankenkassendaten und Abrechnungsdaten
* Apothekendaten (Medikamenteneinkäufe)
* Fitnessdaten, Schrittzähler (soweit gesundheitsrelevant)
* Behinderungsmerkmale, Pflegestufen
Für Gesundheitsdaten gelten zusätzlich die Sonderregeln aus Art. 9 Abs. 3 (→ [C – Gesundheitsbereich](/docs/dsgvo-art9/c-gesundheitsbereich)).
***
## 8. Sexualleben und sexuelle Orientierung [#8-sexualleben-und-sexuelle-orientierung]
### Was ist gemeint? [#was-ist-gemeint-6]
**Sexualleben:** Informationen über sexuelle Praktiken, Beziehungsformen, Beziehungspartner.
**Sexuelle Orientierung:** Die grundlegende Ausrichtung sexueller Anziehung (z. B. hetero-, homo-, bisexuell).
### Abgrenzung [#abgrenzung-1]
Das Geschlecht einer Person (männlich/weiblich) fällt nur dann unter Art. 9, wenn daraus auf die sexuelle Orientierung geschlossen werden kann – z. B. bei Angaben zur Geschlechtsidentität oder Transsexualität.
> **Praxishinweis:** In sozialen Netzwerken können Angaben zu Beziehungsstand und Partner in Verbindung mit Profilinformationen auf die sexuelle Orientierung schließen lassen – dann gilt Art. 9.
***
## Häufige Fragen (FAQ) [#häufige-fragen-faq]
**Sind die acht Kategorien eine abschließende Liste?**
Ja. Es gibt keine weiteren Kategorien. Wenn Daten nicht unter eine dieser acht Kategorien fallen, gilt Art. 9 nicht.
**Was ist, wenn ein Datum mehrere Kategorien berührt?**
Dann gelten alle betroffenen Kategorien gleichzeitig – das Schutzniveau wird dadurch nicht verändert.
**Muss ich immer wissen, welche Kategorie vorliegt?**
Ja, denn jede Kategorie kann unterschiedliche Ausnahmen haben. Es empfiehlt sich, im Zweifelsfall weit auszulegen.
**Weiter:** [C. Ausnahmen – Überblick](/docs/dsgvo-art9/c-ausnahmen)
# B. Das Verarbeitungsverbot (/docs/dsgvo-art9/b-verbotstatbestand)
Zurück zur [Übersicht Art. 9 DS-GVO](/docs/dsgvo-art9).
## Auf einen Blick [#auf-einen-blick]
Art. 9 Abs. 1 verbietet es, sensible Daten zu verarbeiten. Dieses Verbot gilt **abstrakt** – das heißt: Es kommt nicht darauf an, ob im Einzelfall wirklich jemand geschädigt wird. Allein der Typ der Daten reicht, um das Verbot auszulösen.
***
## I. Was genau verboten ist [#i-was-genau-verboten-ist]
Das Verbot trifft alle Formen der Verarbeitung, also zum Beispiel:
* Sammeln und Speichern
* Lesen und Auswerten
* Weitergeben und Veröffentlichen
* Löschen und Vernichten
Auch das Verarbeiten von **Metadaten** ist verboten, wenn sich daraus sensible Informationen ableiten lassen.
### Was bedeutet „aus denen … hervorgehen"? [#was-bedeutet-aus-denen--hervorgehen]
Nicht jedes Datum, das zufällig etwas Sensibles enthält, löst automatisch das Verbot aus. Entscheidend ist:
* **a)** Die Daten sind geeignet, etwas Sensibles zu verraten – direkt oder durch Kombination mit anderen Daten
* **b)** Wenn der Verantwortliche den sensiblen Inhalt zielgerichtet auswertet, gilt Art. 9 zwingend
Wichtig: Der Europäische Gerichtshof hat klargestellt, dass Art. 9 auch greift, wenn die Verarbeitung **unbeabsichtigt** war – sobald die Daten objektiv geeignet sind, sensible Eigenschaften zu verraten.
***
## II. Wen das Verbot trifft [#ii-wen-das-verbot-trifft]
Das Verbot richtet sich an **Verantwortliche** – also alle, die über Zweck und Mittel der Datenverarbeitung entscheiden:
* Unternehmen und Firmen
* Behörden
* Vereine
* Arztpraxen
* Privatpersonen (soweit die DS-GVO gilt)
Auftragsverarbeiter (z. B. IT-Dienstleister) sind mittelbar betroffen, weil sie nur auf Weisung des Verantwortlichen handeln dürfen.
### Wessen Daten sind geschützt? [#wessen-daten-sind-geschützt]
Geschützt sind Daten über **lebende natürliche Personen**. Firmen oder andere Organisationen fallen nicht darunter.
### Räumlicher Geltungsbereich [#räumlicher-geltungsbereich]
Art. 9 gilt, wenn:
* **a)** der Verantwortliche oder Auftragsverarbeiter in der EU sitzt, **oder**
* **b)** es um Daten von Personen in der EU geht, denen Dienste angeboten werden oder deren Verhalten beobachtet wird
***
## III. Warum das Verbot existiert [#iii-warum-das-verbot-existiert]
***
## IV. Folgen eines Verstoßes [#iv-folgen-eines-verstoßes]
### Für die betroffene Person [#für-die-betroffene-person]
| Anspruch | Grundlage |
| -------------------------------------------- | ---------------------------- |
| Löschung der Daten | Art. 17 Abs. 1 lit. d DS-GVO |
| Einschränkung der Verarbeitung | Art. 18 DS-GVO |
| Schadensersatz (auch für seelischen Schaden) | Art. 82 DS-GVO |
### Für den Verantwortlichen [#für-den-verantwortlichen]
***
## Häufige Fragen (FAQ) [#häufige-fragen-faq]
**Gilt das Verbot auch, wenn ich nichts Böses vorhatte?**
Ja. Das Verbot gilt unabhängig von der Absicht – entscheidend ist, welche Art von Daten verarbeitet wird.
**Was ist ein „Verantwortlicher"?**
Jeder, der allein oder gemeinsam mit anderen entscheidet, warum und wie Daten verarbeitet werden.
**Darf ein IT-Dienstleister sensible Daten verarbeiten?**
Nur wenn ein Verantwortlicher (z. B. ein Krankenhaus) ihn dazu beauftragt und die gesetzlichen Anforderungen erfüllt sind.
**Weiter:** [B.III Die einzelnen Kategorien](/docs/dsgvo-art9/b-kategorien)
# C. Ausnahmen – Überblick (/docs/dsgvo-art9/c-ausnahmen)
Zurück zur [Übersicht Art. 9 DS-GVO](/docs/dsgvo-art9) | [B. Das Verarbeitungsverbot](/docs/dsgvo-art9/b-verbotstatbestand)
## Auf einen Blick [#auf-einen-blick]
Art. 9 Abs. 2 listet **zehn Ausnahmen** auf (lit. a–j), die das Verarbeitungsverbot aufheben können. Die Liste ist **abschließend**: Was nicht unter lit. a–j fällt, bleibt verboten – es gibt keine Lücken, die man kreativ füllen darf.
***
## Die zehn Ausnahmen im Überblick [#die-zehn-ausnahmen-im-überblick]
| Ausnahme | Kurzbeschreibung |
| -------- | ------------------------------------------------------------------------------------ |
| lit. a | Die betroffene Person hat **ausdrücklich** eingewilligt |
| lit. b | Verarbeitung ist aus **arbeitsrechtlichen** Gründen nötig |
| lit. c | Schutz von **lebenswichtigen Interessen**, wenn die Person nicht einwilligen kann |
| lit. d | Verarbeitung durch eine **gemeinnützige Organisation** über ihre Mitglieder |
| lit. e | Die betroffene Person hat die Daten selbst **offensichtlich öffentlich gemacht** |
| lit. f | Verarbeitung zur **Geltendmachung, Ausübung oder Verteidigung** von Rechtsansprüchen |
| lit. g | **Erhebliches öffentliches Interesse** (mit gesetzlicher Grundlage) |
| lit. h | **Gesundheitsversorgung** und Medizin (+ Berufsgeheimnispflicht nach Abs. 3) |
| lit. i | **Öffentliche Gesundheit** – z. B. Seuchenbekämpfung |
| lit. j | **Archivierung, Forschung, Statistik** im öffentlichen Interesse |
***
## Voraussetzungen: Was muss immer erfüllt sein? [#voraussetzungen-was-muss-immer-erfüllt-sein]
Auch wenn eine Ausnahme greift, reicht das allein nicht. Es müssen **alle drei** Bedingungen vorliegen:
* **a)** Eine Ausnahme nach Art. 9 Abs. 2 lit. a–j greift
* **b)** Es liegt außerdem eine Erlaubnis nach Art. 6 Abs. 1 vor
* **c)** Die Grundsätze aus Art. 5 DS-GVO werden eingehalten (Datenminimierung, Zweckbindung, Speicherbegrenzung)
***
## Wie die Ausnahmen auszulegen sind [#wie-die-ausnahmen-auszulegen-sind]
### Eng, aber nicht zu eng [#eng-aber-nicht-zu-eng]
Die Ausnahmen müssen **eng** ausgelegt werden – schließlich weichen sie von einem Verbot ab. Aber sie dürfen auch nicht so eng verstanden werden, dass wichtige Bereiche wie Gesundheitsversorgung oder Wissenschaft praktisch nicht mehr möglich sind.
Der Leitgedanke ist immer: Der Eingriff in die Privatsphäre muss verhältnismäßig sein – geeignet, erforderlich und angemessen.
### Datenminimierung und Zweckbindung [#datenminimierung-und-zweckbindung]
Auch innerhalb einer Ausnahme gilt:
* Es dürfen nur **so viele sensible Daten wie nötig** verarbeitet werden
* Die Daten dürfen **nur für den erlaubten Zweck** genutzt werden
* Sobald der Zweck wegfällt, müssen die Daten **gelöscht** werden
***
## Welche Ausnahmen verweisen auf nationales Recht? [#welche-ausnahmen-verweisen-auf-nationales-recht]
Mehrere Ausnahmen in Art. 9 Abs. 2 setzen eine gesetzliche Grundlage im nationalen Recht voraus:
| Ausnahme | Nationales Recht notwendig |
| -------- | ------------------------------------ |
| lit. b | Arbeits- und Sozialrecht |
| lit. g | Gesetz für das öffentliche Interesse |
| lit. h | Berufsrecht für Gesundheitspersonal |
| lit. i | Nationales Gesundheitsrecht |
| lit. j | Bedingungen und Garantien per Gesetz |
### Was Mitgliedstaaten dürfen und nicht dürfen [#was-mitgliedstaaten-dürfen-und-nicht-dürfen]
Mitgliedstaaten dürfen die Ausnahmen **konkretisieren und einschränken**, aber **nicht** auf neue, im Katalog nicht vorgesehene Situationen **ausweiten**. Wer als nationaler Gesetzgeber eine neue Ausnahme erfindet, die nicht von lit. a–j gedeckt ist, verstößt gegen EU-Recht.
***
## Häufige Fragen (FAQ) [#häufige-fragen-faq]
**Kann ich mehrere Ausnahmen gleichzeitig nutzen?**
Ja. Es ist möglich, dass mehrere Ausnahmen gleichzeitig greifen – das erhöht die Rechtssicherheit, ändert aber nichts an den sonstigen Anforderungen.
**Was passiert, wenn keine Ausnahme passt?**
Dann ist die Verarbeitung verboten – punkt. Es gibt keine „Generalklausel" oder Analogiemöglichkeit.
**Reicht die Ausnahme allein?**
Nein. Zusätzlich zur Ausnahme aus Art. 9 Abs. 2 braucht man immer auch eine Erlaubnis nach Art. 6 Abs. 1.
**Weiter:**
* [C – Ausdrückliche Einwilligung (lit. a)](/docs/dsgvo-art9/c-einwilligung)
* [C – Gesundheitsbereich (lit. h und Abs. 3)](/docs/dsgvo-art9/c-gesundheitsbereich)
# C – Ausdrückliche Einwilligung (lit. a) (/docs/dsgvo-art9/c-einwilligung)
Zurück zur [Übersicht Art. 9 DS-GVO](/docs/dsgvo-art9) | [C. Ausnahmen – Überblick](/docs/dsgvo-art9/c-ausnahmen)
## Auf einen Blick [#auf-einen-blick]
Art. 9 Abs. 2 lit. a erlaubt die Verarbeitung sensibler Daten, wenn die betroffene Person **ausdrücklich** eingewilligt hat. Das ist eine strengere Form der Einwilligung als die normale Einwilligung nach Art. 6 – es reicht zum Beispiel kein Schweigen oder ein vorausgefülltes Häkchen.
***
## Voraussetzungen: Was muss eine Einwilligung erfüllen? [#voraussetzungen-was-muss-eine-einwilligung-erfüllen]
Damit die Einwilligung wirksam ist, müssen **alle fünf** Bedingungen erfüllt sein:
* **a)** **Freiwilligkeit** – die Person darf nicht unter Druck stehen und darf keine Nachteile erleiden, wenn sie ablehnt
* **b)** **Informiertheit** – die Person muss vorher vollständig informiert worden sein: Was wird verarbeitet, zu welchem Zweck?
* **c)** **Bestimmtheit** – die Einwilligung muss sich auf konkrete Zwecke und konkrete Datenkategorien beziehen
* **d)** **Ausdrücklichkeit** – die Einwilligung muss aktiv und klar erklärt werden; nicht durch Schweigen oder Zustimmung zu AGB
* **e)** **Widerrufbarkeit** – die Einwilligung muss jederzeit ohne Nachteile widerrufbar sein
***
## I. Was „ausdrücklich" bedeutet [#i-was-ausdrücklich-bedeutet]
Das Wort **„ausdrücklich"** ist der entscheidende Unterschied zur normalen Einwilligung nach Art. 6. Eine ausdrückliche Einwilligung liegt vor, wenn die Person:
* **aktiv und explizit** in die Verarbeitung der sensiblen Daten einwilligt
* **unmissverständlich** auf genau diese sensiblen Daten und deren Verarbeitungszweck Bezug nimmt
* die Einwilligung **schriftlich, elektronisch oder mündlich** erklärt (alle Formen erlaubt, aber sie muss nachweisbar sein)
### Was nicht ausreicht [#was-nicht-ausreicht]
* Vorausgefüllte Kästchen (Pre-Ticking)
* Allgemeine AGB-Klauseln ohne gesonderte Hervorhebung
* Stillschweigende Duldung der Verarbeitung
* Ein einziges Häkchen für viele verschiedene Zwecke
***
## II. Besondere Vorsicht im Arbeitsverhältnis [#ii-besondere-vorsicht-im-arbeitsverhältnis]
Im Arbeitsverhältnis ist **Freiwilligkeit** oft zweifelhaft: Wer seinen Job nicht verlieren will, stimmt leicht zu, auch wenn er eigentlich nicht möchte. Deshalb gelten hier besondere Anforderungen – die Einwilligung ist nur wirksam, wenn besondere Umstände eine echte freie Entscheidung ermöglichen.
***
## III. Widerruf der Einwilligung [#iii-widerruf-der-einwilligung]
Die betroffene Person kann ihre Einwilligung **jederzeit** widerrufen. Der Widerruf gilt **für die Zukunft** – was vorher rechtmäßig verarbeitet wurde, bleibt rechtmäßig.
Folgen des Widerrufs:
* Die Daten müssen **unverzüglich gelöscht** werden
* Alle laufenden Verarbeitungen müssen **sofort gestoppt** werden
* Ein Rückgriff auf andere Erlaubnisgrundlagen ist nicht möglich, soweit diese die Einwilligung voraussetzen
***
## IV. Praktische Relevanz [#iv-praktische-relevanz]
Die ausdrückliche Einwilligung ist vor allem wichtig bei:
* Apps und digitalen Diensten, die sensible Daten nutzen
* Marketing und Profiling mit Gesundheits- oder Herkunftsdaten
* Mitgliederverwaltung in Vereinen mit religiösem oder politischem Hintergrund
> **Hinweis:** In manchen Bereichen – z. B. bei genetischen Untersuchungen nach dem Gendiagnostikgesetz – stellt deutsches Recht noch strengere Anforderungen an die Einwilligung. Dann gelten diese strengeren Anforderungen.
***
## Häufige Fragen (FAQ) [#häufige-fragen-faq]
**Kann ich einfach ein Häkchen setzen lassen?**
Nein – nicht, wenn es vorausgefüllt ist. Das Häkchen muss von der Person selbst aktiv gesetzt werden.
**Wie muss die Einwilligung dokumentiert werden?**
Sie muss nachweisbar sein. Schriftlich oder elektronisch ist am sichersten. Mündliche Einwilligungen sind zulässig, aber schwer zu beweisen.
**Was passiert, wenn die Einwilligung unwirksam war?**
Dann gibt es keine Erlaubnis nach Art. 9 Abs. 2 lit. a – die Verarbeitung ist verboten.
**Brauche ich neben der Einwilligung noch etwas anderes?**
Ja. Zusätzlich zur Einwilligung nach Art. 9 Abs. 2 lit. a muss auch eine Erlaubnis nach Art. 6 Abs. 1 vorliegen – in der Regel ebenfalls eine Einwilligung nach Art. 6 Abs. 1 lit. a.
**Weiter:** [C – Gesundheitsbereich (lit. h und Abs. 3)](/docs/dsgvo-art9/c-gesundheitsbereich)
# C – Gesundheitsbereich (lit. h und Abs. 3) (/docs/dsgvo-art9/c-gesundheitsbereich)
Zurück zur [Übersicht Art. 9 DS-GVO](/docs/dsgvo-art9) | [C. Ausnahmen – Überblick](/docs/dsgvo-art9/c-ausnahmen)
## Auf einen Blick [#auf-einen-blick]
Art. 9 Abs. 2 lit. h ist die wichtigste Ausnahme für das Gesundheitswesen. Sie erlaubt die Verarbeitung sensibler Daten, wenn es medizinisch notwendig ist – zum Beispiel für Diagnose, Behandlung oder Abrechnung. Zusätzlich verlangt Art. 9 Abs. 3, dass nur bestimmtes Fachpersonal mit gesetzlicher Schweigepflicht diese Daten verarbeiten darf.
***
## Voraussetzungen [#voraussetzungen]
Damit die Verarbeitung nach lit. h erlaubt ist, müssen **alle drei** Bedingungen erfüllt sein:
* **a)** Die Verarbeitung ist **erforderlich** für einen Gesundheitsversorgungszweck (z. B. Diagnostik, Behandlung, Arbeitsmedizin)
* **b)** Es gibt eine **gesetzliche Grundlage** im nationalen oder EU-Recht für die Verarbeitung
* **c)** Die Verarbeitung erfolgt durch **Fachpersonal mit gesetzlicher Schweigepflicht** (Art. 9 Abs. 3) – gilt, wenn **x** und **y**:
* **x:** Es handelt sich um eine der erfassten Berufsgruppen (Arzt, Zahnarzt, Psychotherapeut, Apotheker, Pflegepersonal)
* **y:** Die Schweigepflicht ist **gesetzlich oder standesrechtlich** verankert – gilt, wenn **y1** oder **y2**:
* **y1:** Die Person ist selbst Berufsgeheimnisträger (z. B. Arzt nach § 203 StGB)
* **y2:** Die Person arbeitet **unter Verantwortung** eines Berufsgeheimnisträgers (z. B. Krankenhausverwaltung unter ärztlicher Leitung)
***
## I. Für welche Zwecke gilt lit. h? [#i-für-welche-zwecke-gilt-lit-h]
| Zweck | Beispiel |
| ----------------------- | ------------------------------------------------------- |
| Medizinische Diagnostik | Speichern von Diagnosedaten in der Patientenakte |
| Behandlung | Weitergabe von Befunden zwischen Ärzten desselben Teams |
| Gesundheitsvorsorge | Impfdokumentation, Vorsorgeuntersuchungen |
| Arbeitsmedizin | Eignungsuntersuchungen durch den Betriebsarzt |
| Systemverwaltung | Abrechnung von Krankenkassenleistungen |
**Nicht** von lit. h erfasst:
* Verarbeitung zu **Forschungszwecken** → dafür gilt lit. j
* Verarbeitung zu **Marketingzwecken** → keine Ausnahme vorhanden
* Verarbeitung durch **Versicherungen** → nur wenn direkter Versorgungsbezug besteht
***
## II. Was bedeutet „erforderlich"? [#ii-was-bedeutet-erforderlich]
Die Verarbeitung darf nur im **notwendigen Mindestmaß** stattfinden. Wenn es ein milderes Mittel gibt, das denselben Zweck erreicht, muss dieses genutzt werden.
***
## III. Welche gesetzliche Grundlage braucht man? [#iii-welche-gesetzliche-grundlage-braucht-man]
In Deutschland erfüllen zum Beispiel folgende Vorschriften die Anforderung:
| Gesetz | Inhalt |
| ----------------------------- | -------------------------------------------------- |
| § 22 Abs. 1 Nr. 1 lit. b BDSG | Gesundheitsversorgung allgemein |
| § 630f BGB | Dokumentationspflicht in der Patientenakte |
| §§ 295 ff. SGB V | Abrechnung in der gesetzlichen Krankenversicherung |
| Krankenhausgesetze der Länder | Stationäre Versorgung |
***
## IV. Wer darf die Daten verarbeiten? (Art. 9 Abs. 3) [#iv-wer-darf-die-daten-verarbeiten-art-9-abs-3]
Art. 9 Abs. 3 stellt eine **personale Zusatzvoraussetzung** auf: Gesundheitsdaten nach lit. h dürfen nur durch **Fachpersonal mit gesetzlicher Schweigepflicht** verarbeitet werden – oder unter deren Verantwortung.
| Berufsgruppe | Schweigepflicht |
| --------------------- | --------------------------------------------- |
| Ärzte | § 203 StGB, Berufsordnung |
| Zahnärzte | § 203 StGB, Berufsordnung |
| Psychotherapeuten | § 203 StGB |
| Apotheker | Berufsordnung |
| Pflegepersonal | § 203 StGB (bei entsprechender Qualifikation) |
| Krankenhausverwaltung | Nur unter ärztlicher Verantwortung |
> **Wichtig:** Eine rein vertragliche Vertraulichkeitsverpflichtung (z. B. NDA) reicht **nicht** aus. Die Schweigepflicht muss gesetzlich oder standesrechtlich verankert sein.
### IT-Dienstleister im Gesundheitswesen [#it-dienstleister-im-gesundheitswesen]
Ein IT-Dienstleister hat selbst keine Schweigepflicht. Er darf trotzdem tätig werden – aber nur, wenn:
* Der **Verantwortliche** (z. B. das Krankenhaus) als Geheimnisträger die Gesamtverantwortung trägt
* Der IT-Dienstleister **unter Aufsicht und Weisung** des Verantwortlichen handelt
***
## V. Abgrenzung zu lit. i (öffentliche Gesundheit) [#v-abgrenzung-zu-lit-i-öffentliche-gesundheit]
| | lit. h | lit. i |
| ------------ | -------------------------------------------------- | -------------------------------------- |
| Fokus | Individuelle Versorgung des einzelnen Patienten | Bevölkerungsbezogene Maßnahmen |
| Beispiele | Diagnose, Behandlung, Therapie | Seuchenbekämpfung, Epidemieüberwachung |
| Kumulierbar? | Ja – beide Tatbestände können gleichzeitig greifen | Ja |
***
## Häufige Fragen (FAQ) [#häufige-fragen-faq]
**Darf der Arzt meine Daten an einen anderen Arzt weitergeben?**
Ja – wenn es zur Behandlung erforderlich ist und beide Berufsgeheimnisträger sind.
**Darf die Krankenhasverwaltung meine Patientenakte lesen?**
Nur soweit dies unter ärztlicher Verantwortung und für die Versorgung erforderlich ist.
**Was ist mit Forschung am Krankenhaus?**
Dafür gilt nicht lit. h, sondern lit. j (Forschung und Statistik) – mit eigenen Anforderungen.
**Braucht das Krankenhaus eine zusätzliche Erlaubnis nach Art. 6?**
Ja. Lit. h ersetzt Art. 6 nicht – beide müssen parallel erfüllt sein.
**Weiter:** [D. Öffnungsklausel](/docs/dsgvo-art9/d-oeffnungsklausel)
# D. Öffnungsklausel (Abs. 4) (/docs/dsgvo-art9/d-oeffnungsklausel)
Zurück zur [Übersicht Art. 9 DS-GVO](/docs/dsgvo-art9).
## Auf einen Blick [#auf-einen-blick]
Art. 9 Abs. 4 erlaubt es den EU-Mitgliedstaaten, für **drei bestimmte Datenkategorien** noch strengere Regeln einzuführen als die DS-GVO selbst. Sie dürfen die DS-GVO also in diesen Bereichen **verschärfen** – aber nicht lockern.
***
## Für welche Datenkategorien gilt Abs. 4? [#für-welche-datenkategorien-gilt-abs-4]
Die Öffnungsklausel gilt nur für diese drei Kategorien:
| Datenkategorie | Abs. 4 gilt? |
| ---------------------------------------- | ------------ |
| Rassische/ethnische Herkunft | ❌ Nein |
| Politische Meinungen | ❌ Nein |
| Religiöse/weltanschauliche Überzeugungen | ❌ Nein |
| Gewerkschaftszugehörigkeit | ❌ Nein |
| **Genetische Daten** | ✅ Ja |
| **Biometrische Daten** | ✅ Ja |
| **Gesundheitsdaten** | ✅ Ja |
| Sexualleben/sexuelle Orientierung | ❌ Nein |
Warum gerade diese drei? Weil sie sich durch technologische Entwicklung besonders schnell verändern – und nationaler Regelungsbedarf daher absehbar war.
***
## Was Mitgliedstaaten auf dieser Grundlage dürfen [#was-mitgliedstaaten-auf-dieser-grundlage-dürfen]
Mitgliedstaaten können auf Grundlage des Art. 9 Abs. 4:
* **Zusätzliche Erlaubnisvoraussetzungen** aufstellen (z. B. behördliche Genehmigung)
* **Zweckbeschränkungen** einführen (z. B. genetische Daten nur für bestimmte medizinische Zwecke)
* **Verarbeitungsverbote** in Teilbereichen anordnen (z. B. genetische Analyse durch Arbeitgeber verboten)
* **Organisationspflichten** vorschreiben (z. B. Trennung genetischer Daten von anderen Daten)
* **Löschfristen** festlegen
### Was sie nicht dürfen [#was-sie-nicht-dürfen]
***
## Was Deutschland geregelt hat [#was-deutschland-geregelt-hat]
Deutschland hat von der Öffnungsklausel in mehreren Gesetzen Gebrauch gemacht:
| Datenkategorie | Gesetz | Wesentlicher Inhalt |
| ------------------ | ------------------------------------- | ---------------------------------------------------------------------------- |
| Genetische Daten | Gendiagnostikgesetz (GenDG) | Verbot ohne Einwilligung; besondere Einwilligungsform; Recht auf Nichtwissen |
| Gesundheitsdaten | § 22 Abs. 2 BDSG | Pflicht zu technischen und organisatorischen Schutzmaßnahmen |
| Gesundheitsdaten | §§ 295 ff. SGB V | Besondere Abrechnungsregeln für GKV-Daten |
| Biometrische Daten | Polizei- und Ordnungsrecht der Länder | Einsatzbeschränkungen bei biometrischer Erkennung |
### Das Gendiagnostikgesetz (GenDG) als wichtigstes Beispiel [#das-gendiagnostikgesetz-gendg-als-wichtigstes-beispiel]
Das GenDG ist strenger als die DS-GVO in folgenden Punkten:
* **Recht auf Nichtwissen** (§ 9 GenDG): Betroffene können die Auskunft über genetische Befunde ablehnen
* **Qualifizierte Einwilligung** (§ 8 GenDG): Strengere Anforderungen als nach Art. 7 DS-GVO
* **Diskriminierungsverbot** (§§ 18–21 GenDG): Arbeitgeber und Versicherungen dürfen weder genetische Tests verlangen noch deren Ergebnisse nutzen
* **Arztpflicht** (§ 7 GenDG): Genetische Untersuchungen zu medizinischen Zwecken dürfen nur Ärzte veranlassen
> **Kollisionsregel:** Wo das GenDG strenger ist als die DS-GVO, geht das GenDG vor. Im Zweifel gilt, was für die betroffene Person günstiger ist.
***
## Häufige Fragen (FAQ) [#häufige-fragen-faq]
**Darf Deutschland die DS-GVO für alle sensiblen Datenkategorien verschärfen?**
Nein – nur für genetische Daten, biometrische Daten und Gesundheitsdaten. Für die anderen Kategorien gibt es keinen nationalen Spielraum nach Abs. 4.
**Kann ein nationales Gesetz eine nach Art. 9 Abs. 2 verbotene Verarbeitung nachträglich erlauben?**
Nein. Art. 9 Abs. 4 erlaubt nur Verschärfungen – nicht das Aufweichen des DS-GVO-Schutzniveaus.
**Gilt das GenDG auch neben der DS-GVO?**
Ja. Beide gelten gleichzeitig. Wenn das GenDG strenger ist, gilt das GenDG. Wenn die DS-GVO strenger ist, gilt die DS-GVO.
**Weiter:** [E. DS-GVO und nationales Recht](/docs/dsgvo-art9/e-nationales-recht)
# E. DS-GVO und nationales Recht (/docs/dsgvo-art9/e-nationales-recht)
Zurück zur [Übersicht Art. 9 DS-GVO](/docs/dsgvo-art9).
## Auf einen Blick [#auf-einen-blick]
Die DS-GVO gilt als EU-Verordnung **direkt** in ganz Deutschland – ohne dass der Bundestag sie erst umsetzen muss. Sie hat **Vorrang** vor nationalem Recht. Das BDSG und andere deutsche Gesetze dürfen die DS-GVO nur konkretisieren oder – in bestimmten Bereichen – verschärfen.
***
## I. Wie deutsches Recht neben der DS-GVO stehen darf [#i-wie-deutsches-recht-neben-der-ds-gvo-stehen-darf]
| Art des nationalen Rechts | Zulässig? |
| ------------------------------------------------------------------ | --------------------------------------- |
| Konkretisierungen und Ausführungsregeln | ✅ Ja, soweit die DS-GVO Spielraum lässt |
| Öffnungsklauselrecht (z. B. über Art. 9 Abs. 4) | ✅ Ja, im jeweiligen Rahmen |
| Strengere Regeln für genetische, biometrische und Gesundheitsdaten | ✅ Ja, nach Art. 9 Abs. 4 |
| Lockerungen des DS-GVO-Schutzniveaus | ❌ Nein |
***
## II. Was das BDSG zu Art. 9 regelt [#ii-was-das-bdsg-zu-art-9-regelt]
Das **Bundesdatenschutzgesetz 2018** (BDSG) enthält mehrere Vorschriften, die Art. 9 DS-GVO konkretisieren:
| BDSG-Vorschrift | Funktion |
| ---------------- | ----------------------------------------------------------------- |
| § 22 Abs. 1 BDSG | Erlaubnisnormen für Gesundheitsdaten (Umsetzung von lit. b, h, i) |
| § 22 Abs. 2 BDSG | Pflicht zu Schutzmaßnahmen bei allen Art. 9-Daten |
| § 23 BDSG | Weiterverarbeitung besonderer Datenkategorien |
| § 26 Abs. 3 BDSG | Einwilligung im Arbeitsverhältnis für besondere Kategorien |
| § 27 BDSG | Wissenschaftliche Forschung und Statistik (Umsetzung von lit. j) |
| § 28 BDSG | Archivierung im öffentlichen Interesse (Umsetzung von lit. j) |
### Was § 22 Abs. 2 BDSG verlangt [#was--22-abs-2-bdsg-verlangt]
Wer besondere Datenkategorien verarbeitet, muss **angemessene und spezifische Schutzmaßnahmen** treffen. Das ist keine Empfehlung – es ist Pflicht. Dazu gehören:
* **Technische Maßnahmen:** Verschlüsselung, Pseudonymisierung, Zugangsbeschränkungen
* **Organisatorische Maßnahmen:** Schulungen, interne Richtlinien, Datenschutzbeauftragter
* **Kontrollen:** Protokollierung, regelmäßige Überprüfung
***
## III. Fachgesetze, die besondere Datenkategorien betreffen [#iii-fachgesetze-die-besondere-datenkategorien-betreffen]
Neben dem BDSG gibt es viele weitere deutsche Gesetze, die für sensible Daten relevant sind. Diese gehen dem BDSG als speziellere Gesetze vor:
| Gesetz | Bereich | Relevante Kategorien |
| ----------------------------- | ------------------------------- | --------------------------------- |
| GenDG | Genetische Diagnostik | Genetische Daten |
| SGB V (§§ 284 ff.) | Gesetzliche Krankenversicherung | Gesundheitsdaten |
| SGB XI (§§ 94 ff.) | Pflegeversicherung | Gesundheits- und Pflegedaten |
| IfSG (§§ 9 ff.) | Infektionsschutz | Gesundheitsdaten (Meldepflichten) |
| Krankenhausgesetze der Länder | Stationäre Versorgung | Gesundheitsdaten |
| ArbSchG | Arbeitsschutz | Gesundheitsdaten (Betriebsarzt) |
***
## IV. Datenschutz-Folgeabschätzung (DSFA) [#iv-datenschutz-folgeabschätzung-dsfa]
Wer besondere Datenkategorien **in großem Umfang** verarbeitet, muss vorher eine **Datenschutz-Folgeabschätzung** (DSFA) durchführen. Das ist eine systematische Prüfung der Risiken für die betroffenen Personen.
### Verzeichnis von Verarbeitungstätigkeiten [#verzeichnis-von-verarbeitungstätigkeiten]
Jede Verarbeitung sensibler Daten muss im **Verarbeitungsverzeichnis** nach Art. 30 DS-GVO dokumentiert werden – auch für kleine Unternehmen. Es gibt hier keine Ausnahme.
### Datenschutzbeauftragter [#datenschutzbeauftragter]
Wer sensible Daten **umfangreich** verarbeitet, muss einen **Datenschutzbeauftragten** benennen. In Deutschland konkretisiert § 38 Abs. 1 BDSG diese Pflicht für private Unternehmen.
***
## Häufige Fragen (FAQ) [#häufige-fragen-faq]
**Muss ich als kleines Unternehmen auch ein Verarbeitungsverzeichnis führen?**
Ja – für sensible Daten gibt es keine Ausnahme von der Dokumentationspflicht, auch nicht für Kleinstunternehmen.
**Wann brauche ich einen Datenschutzbeauftragten?**
Wenn Sie sensible Daten umfangreich verarbeiten. „Umfangreich" richtet sich nach Menge, Dauer, geographischer Ausdehnung und dem Risiko für Betroffene.
**Was passiert, wenn mein Fachgesetz und die DS-GVO sich widersprechen?**
In der Regel geht die striktere Regelung vor – wenn das Fachgesetz auf Art. 9 Abs. 4 basiert und strenger ist als die DS-GVO, hat es Vorrang. Lockert das Fachgesetz hingegen den DS-GVO-Schutz, ist es unzulässig.
**Zurück zur [Übersicht Art. 9 DS-GVO](/docs/dsgvo-art9)**
# DS-GVO Art. 9 – Besondere Datenkategorien (/docs/dsgvo-art9)
## Auf einen Blick [#auf-einen-blick]
Art. 9 DS-GVO schützt besonders sensible Daten – Daten, die gefährlich werden können, wenn sie in die falschen Hände geraten. Diese Daten heißen **besondere Datenkategorien**.
**Die Grundregel ist einfach:**
> Sensible Daten darf man **grundsätzlich nicht** verarbeiten – außer eine der zehn Ausnahmen aus Art. 9 Abs. 2 trifft zu.
## Voraussetzungen: Wann ist Verarbeitung erlaubt? [#voraussetzungen-wann-ist-verarbeitung-erlaubt]
Damit jemand sensible Daten verarbeiten darf, müssen **alle drei** Bedingungen gleichzeitig erfüllt sein:
* **a)** Die Daten sind wirklich „besondere Datenkategorien" nach Art. 9 Abs. 1
* **b)** Eine der zehn Ausnahmen nach Art. 9 Abs. 2 trifft zu
* **c)** Es gibt außerdem eine normale Erlaubnis nach Art. 6 Abs. 1
## Was sind sensible Daten? [#was-sind-sensible-daten]
| Kategorie | Alltagsbeispiel |
| -------------------------------------- | ------------------------------------------------------------ |
| Rassische oder ethnische Herkunft | Woher jemand stammt, Hautfarbe |
| Politische Meinung | Parteimitgliedschaft, Wahlverhalten |
| Religion oder Weltanschauung | Kirche, Atheismus, Veganismus als Lebensphilosophie |
| Gewerkschaftszugehörigkeit | Mitglied in ver.di oder IG Metall |
| Genetische Daten | DNA-Test, Erbkrankheiten |
| Biometrische Daten | Fingerabdruck-Scanner, Gesichtserkennung zur Identifizierung |
| Gesundheitsdaten | Diagnose, Rezept, Krankenhausaufenthalt |
| Sexualleben oder sexuelle Orientierung | Partnerschaft, Orientierung |
## Aufbau dieses Kommentars [#aufbau-dieses-kommentars]
| Abschnitt | Thema |
| --------------------------------------------------------------- | -------------------------------------- |
| [A. Allgemeines](/docs/dsgvo-art9/a-allgemeines) | Was die Norm will und wie sie entstand |
| [B. Das Verbot](/docs/dsgvo-art9/b-verbotstatbestand) | Was genau verboten ist und warum |
| [B.III Die Kategorien](/docs/dsgvo-art9/b-kategorien) | Jede sensible Datenkategorie erklärt |
| [C. Ausnahmen – Überblick](/docs/dsgvo-art9/c-ausnahmen) | Die zehn Ausnahmen im Überblick |
| [C – Einwilligung](/docs/dsgvo-art9/c-einwilligung) | Wann eine Einwilligung ausreicht |
| [C – Gesundheitsbereich](/docs/dsgvo-art9/c-gesundheitsbereich) | Sonderregeln für Ärzte und Kliniken |
| [D. Öffnungsklausel](/docs/dsgvo-art9/d-oeffnungsklausel) | Was Deutschland zusätzlich regeln darf |
| [E. Deutsches Recht](/docs/dsgvo-art9/e-nationales-recht) | BDSG und andere deutsche Gesetze |
## Der Gesetzestext – einfach erklärt [#der-gesetzestext--einfach-erklärt]
**Abs. 1 – Das Verbot:**
Es ist verboten, Daten zu verarbeiten, die zeigen, welcher Herkunft, politischen Meinung, Religion oder Weltanschauung jemand angehört, ob jemand in einer Gewerkschaft ist, oder die genetische Merkmale, biometrische Merkmale zur Identifizierung, den Gesundheitszustand oder das Sexualleben bzw. die sexuelle Orientierung betreffen.
**Abs. 2 – Die Ausnahmen (lit. a–j):**
Das Verbot gilt nicht, wenn einer der zehn Gründe zutrifft – zum Beispiel: die Person hat eingewilligt, es ist medizinisch notwendig oder es dient der Wissenschaft.
**Abs. 3 – Sonderregel Gesundheit:**
Bei der Ausnahme für medizinische Zwecke (lit. h) darf nur Fachpersonal mit gesetzlicher Schweigepflicht die Daten verarbeiten – zum Beispiel Ärzte oder Apotheker.
**Abs. 4 – Nationaler Spielraum:**
EU-Länder dürfen für genetische Daten, biometrische Daten und Gesundheitsdaten noch strengere Regeln einführen.
## Was passiert bei Verstößen? [#was-passiert-bei-verstößen]
Wer Art. 9 verletzt, riskiert ein Bußgeld von bis zu **20 Millionen Euro** oder **4 % des weltweiten Jahresumsatzes** – je nachdem, was höher ist.
***
## Häufige Fragen (FAQ) [#häufige-fragen-faq]
**Was sind „besondere" Datenkategorien?**
Daten, bei denen das Missbrauchsrisiko besonders hoch ist – weil sie über Identität, Körper, Überzeugungen oder Intimleben einer Person Auskunft geben.
**Reicht eine normale Erlaubnis nach Art. 6?**
Nein. Man braucht immer beides: eine Erlaubnis nach Art. 6 **und** eine Ausnahme nach Art. 9 Abs. 2.
**Was ist, wenn ich aus Versehen sensible Daten erfasse?**
Das Verbot gilt trotzdem – solange die Daten objektiv sensible Informationen enthalten.
**Gilt Art. 9 nur für Unternehmen?**
Nein, für alle, die Daten verarbeiten: Firmen, Arztpraxen, Vereine, Behörden und Privatpersonen (soweit die DS-GVO für sie gilt).
# AB Tasty und Datenschutz – Was in die Datenschutzerklärung gehört (/docs/privacy-policy-website/ab-tasty-datenschutzerklaerung)
# AB Tasty und Datenschutz – Was in die Datenschutzerklärung gehört [#ab-tasty-und-datenschutz--was-in-die-datenschutzerklärung-gehört]
AB Tasty ist eine Experimentation- und Personalisierungsplattform für A/B-Testing, Multivariate-Tests und Feature-Management. Webseitenbetreiber integrieren das System über einen JavaScript-Tag und verwenden es zur Optimierung von Nutzerreisen durch datengestützte Experimente. Für deutsche Websites und Datenschutzerklärungen ist eine fundierte Auseinandersetzung mit den Verarbeitungsprozessen, der Rechtsgrundlage und den Pflichtangaben erforderlich.
## A. Zweck und Funktionsweise von AB Tasty [#a-zweck-und-funktionsweise-von-ab-tasty]
AB Tasty ist eine Digital-Experience-Optimization-Plattform, die drei Funktionsbereiche vereint: klassisches A/B-Testing (auch: Multivariate-Testing, Split-URL-Tests), Personalisierung und Feature-Management via Feature-Flags.
**A/B-Testing und Personalisierung:** Websitebetreiber definieren Zielgruppen, Testgruppen und Varianten ihrer Website oder Anwendung. AB Tasty bestimmt für jeden Besucher, welche Variante dieser sieht, und misst Interaktionen und Conversions. Der Unterschied zur klassischen Webanalyse (z.B. Google Analytics): AB Tasty zeigt verschiedenen Nutzergruppen unterschiedliche Inhalte und misst gezielt, welche Variante besser performt – also nicht nur, was Nutzer tun, sondern **wie sie auf verschiedene Änderungen reagieren**.
**Feature-Flags und Rollouts:** AB Tasty ermöglicht es, neue Funktionen kontrolliert an einen Teil der Nutzer auszurollen (Progressive Rollout) oder für bestimmte Segmente verfügbar zu machen.
**JavaScript-Integration:** Um zu funktionieren, wird ein JavaScript-Tag auf der Website eingebunden. Dieser Tag lädt automatisch beim Seitenaufruf und kommuniziert mit AB Tastys Servern. Der Tag speichert Daten lokal im Browser (Cookie oder Local Storage) und sendet Informationen an die Datensammlung-Endpunkte von AB Tasty (z.B. ariane.abtasty.com).
## B. Pflichtangaben in der Datenschutzerklärung [#b-pflichtangaben-in-der-datenschutzerklärung]
Nach Art. 13 Abs. 1 DSGVO (oder Art. 14 für nicht direkt erhobene Daten) müssen Verantwortliche Betroffene umfassend informieren. Für AB Tasty und ähnliche Tracking-Tools sind folgende Pflichtangaben zentral:
* **Identität und Kontaktdaten des Verantwortlichen** (Art. 13 Abs. 1 lit. a): der Webseitenbetreiber selbst
* **Zwecke der Verarbeitung** (Art. 13 Abs. 1 lit. c): Ausspielen von Testvarianten, Messung von Conversions, Erstellung von Nutzerprofilen zur Personalisierung
* **Rechtsgrundlage** (Art. 13 Abs. 1 lit. e): oft Art. 6 Abs. 1 lit. a (Einwilligung, insofern Cookies im Spiel sind), in Einzelfällen Art. 6 Abs. 1 lit. b oder f
* **Empfänger/Auftragsverarbeiter** (Art. 13 Abs. 1 lit. e): AB Tasty SAS (Frankreich) als Auftragsverarbeiter, ggf. Subprozessoren (AWS, Google Cloud)
* **Speicherdauer und Löschung** (Art. 13 Abs. 1 lit. e): z.B. Cookie-Dauer (oft 365 Tage), Speicherdauer auf Servern, automatische Löschung
* **Betroffenenrechte** (Art. 13 Abs. 2 lit. a–f): Auskunft, Berichtigung, Löschung, Einschränkung, Datenportabilität, Widerspruch, automatisierte Entscheidungsfindung
Ein bloßer Textbaustein aus Cookie-Plugins oder Muster-Datenschutzerklärungen ist **nicht ausreichend**, da diese oft zu generisch sind und nicht die spezifischen Datenflüsse und Konfigurationen der Website berücksichtigen.
## C. Anbieter [#c-anbieter]
**Name und Adresse:**
* AB Tasty SAS
* 8 Rue Sainte-Cécile, 75009 Paris, Frankreich
* Registernummer: Paris B 518 685 540
* USt-IdNr.: FR92518685540
* E-Mail (Datenschutz): [dpo@abtasty.com](mailto:dpo@abtasty.com)
* Telefon: +33 (0)1 84 17 87 52
* **Website:** [https://www.abtasty.com](https://www.abtasty.com)
**Jurisdiktion und Datenschutz:**
AB Tasty SAS ist ein in Frankreich (EWR) ansässiges Unternehmen. Als Auftragsverarbeiter unterliegt es der DSGVO. Frankreich ist ein EWR-Land; es gibt daher keine Bedenken bezüglich eines Drittlandtransfers zu AB Tasty selbst. Allerdings kann AB Tasty Subprozessoren (z.B. AWS mit Rechenzentren außerhalb der EU) einsetzen.
**Privacy Policy und Dokumentation:**
* Allgemeine Privacy Policy: [https://www.abtasty.com/privacy-policy/](https://www.abtasty.com/privacy-policy/)
* GDPR-Compliance: [https://www.abtasty.com/gdpr-compliant/](https://www.abtasty.com/gdpr-compliant/)
* Customer Personal Data Processing: [https://www.abtasty.com/customer-personal-data-processing/](https://www.abtasty.com/customer-personal-data-processing/)
* Technische Dokumentation (Cookies, Consent): [https://docs.abtasty.com/](https://docs.abtasty.com/)
## D. Datenverarbeitung – Ablauf [#d-datenverarbeitung--ablauf]
**Erhebung und Initialisierung**
Beim Laden einer Seite wird der AB-Tasty-JavaScript-Tag ausgeführt. Der Tag generiert eine Besucher-ID (16 alphanumerische Zeichen, gehashed) und speichert diese in einem ABTasty-Cookie oder Local Storage. Parallel werden Daten wie der aktuelle Seitenaufruf, Device-Informationen und Browser-Details lokal erfasst.
**Speicherung (Client-Side)**
Der Browser speichert alle gesammelten Daten lokal in einem Cookie (max. 3900 Bytes) oder in Local Storage. Der Cookie hat eine typische Lebensdauer von etwa 365 Tagen, kann aber konfiguriert werden.
**Datenübertragung (Server-Side)**
Die Daten werden an AB Tastys Server (z.B. ariane.abtasty.com) übertragen. Die Infrastruktur nutzt AWS und Google Cloud mit ISO 27001 und SOC 2-Zertifizierungen.
**Verarbeitung und Variation-Zuweisung**
Auf Basis der Visitor-ID und ggf. Segment-Zuordnung berechnet AB Tasty, welche Test-Variante dieser Besucher sehen soll, und sendet diese Information an den Browser zurück. Der JavaScript-Tag passt die Seite entsprechend an.
**Messung und Reporting**
Alle Interaktionen (Klicks, Conversions, definierte Events) werden erfasst und an AB Tasty gesendet. Der Webseitenbetreiber kann diese Daten im AB-Tasty-Dashboard analysieren. Consent-Informationen (Datum, Uhrzeit, Modus) werden 13 Monate gespeichert.
**Löschung und Retention**
Cookies und Sessions verfallen nach ihrer konfigurierten Lebensdauer. IP-Adressen werden laut AB Tastys Aussagen sofort gelöscht und nicht dauerhaft gespeichert. Andere Daten werden nach den Aufbewahrungsrichtlinien in der DPA gelöscht.
## E. Erhobene Daten [#e-erhobene-daten]
AB Tasty erhebt eine Kombination technischer, Verhaltens- und Profil-Daten:
* **Besucher-Identifikation (gehashed):** Eindeutige Visitor-ID (16 Zeichen, gehashed), um Besucher über mehrere Seitenaufrufe zu erkennen
* **Netzwerk-Daten:** IP-Adresse des Besuchers; laut AB Tasty werden diese sofort gelöscht und nicht persistent gespeichert
* **Zeitstempel:** Datum und Uhrzeit von Seitenaufrufen und Ereignissen
* **Seitenaufrufe und Navigation:** URL der besuchten Seite, Referrer, Page-Path
* **Klickpfade:** Welche Elemente der Besucher angeklickt hat (falls Action-Tracking aktiviert)
* **Geräte- und Browser-Informationen:** Geräteart (Desktop, Tablet, Mobil), Betriebssystem, Browser-Name, Browser-Version, Screen-Größe
* **Grobe Standortdaten:** Aus der IP-Adresse abgeleitete Location (Region, Land)
* **Segment-Zuordnung:** AB Tasty weist Besucher Segmenten zu (z.B. „Premium-Nutzer", „Neuer Besucher") auf Basis von Verhaltensregeln oder First-Party-Daten
* **Test- und Varianten-Zuordnung:** Welche Test-ID und welche Variante der Besucher sieht
* **Conversion-Ereignisse:** Vordefinierte Ziel-Events (z.B. Kauf, Newsletter-Anmeldung, Download)
* **Interaktionsdaten:** Scrollverhalten, Verweildauer, Engagement-Metriken
* **Ggf. Custom-Events:** Websitebetreiber können beliebige Events (z.B. „Video gestartet", „Formular eingeleitet") tracken
**Hinweis:** Diese Daten werden dem Auftragsverarbeiter AB Tasty bereitgestellt; der Websitebetreiber bleibt der Verantwortliche und bestimmt, **welche** Daten erhoben und zu **welchem Zweck** sie verarbeitet werden.
## F. Nutzungszwecke [#f-nutzungszwecke]
AB Tasty verarbeitet die Daten zu folgenden Zwecken:
* **Funktionsbereitstellung:** Ausspielen der korrekten Test-Variante an den richtigen Besucher; technisches Funktionieren von Experimenten und Feature-Flags
* **Allgemeine Produktverbesserung:** Auswertung und Analyse der Test-Ergebnisse, um UX und Konversionsrate zu optimieren
* **Nutzerprofil-Erstellung:** Automatische Segmentierung von Besuchern auf Basis ihres Verhaltens oder von First-Party-Daten, z.B. zum Erreichen bestimmter Zielgruppen in zukünftigen Tests
* **Nutzerindividuelle Produktverbesserung:** Personalisierte Inhalte, Empfehlungen oder Angebote basierend auf den Nutzerprofilen
* **Sicherheit und Betriebsstabilität:** Überwachung und Verbesserung der Plattformsicherheit
* **Ggf. Consent-Management:** Speicherung und Verwaltung von Consent-Status für 13 Monate
Websitebetreiber sollten in ihrer Datenschutzerklärung präzisieren, **welche dieser Zwecke** sie konkret nutzen und welche Segment-Kriterien sie einsetzen.
## G. Rechtsgrundlagen [#g-rechtsgrundlagen]
Die Rechtsgrundlage(n) für die Verarbeitung hängen von der konkreten Konfiguration ab:
**Einwilligung (Art. 6 Abs. 1 lit. a i.V.m. § 25 Abs. 1 TDDDG):**
Sobald AB Tasty Cookies setzt (was in der Regel der Fall ist), sind diese nach dem Telemediengesetz (TDDDG, früher TTDSG) in Deutschland **nicht technisch notwendig**. Das bedeutet: Für einen Cookie-basierten Track von Besucher-ID, Klickpfaden und Conversions ist **Einwilligung erforderlich**. Diese Einwilligung muss vor dem Setzen des Cookies eingeholt werden (Opt-in-Prinzip). Ein Cookie-Banner mit „Akzeptieren"-Button ist daher obligatorisch.
**Berechtigtes Interesse (Art. 6 Abs. 1 lit. f) – Ausnahmefall:**
In seltenen Fällen könnte ein Websitebetreiber argumentieren, dass A/B-Testing zum Betrieb und zur Verbesserung seiner Website notwendig ist und daher unter berechtigte Interessen fällt. Diese Sichtweise wird in der Praxis sehr kritisch bewertet und ist nicht die Regel. Besser: explizite Einwilligung einholen.
**Vertragserfüllung (Art. 6 Abs. 1 lit. b) – ggf. B2B:**
Für B2B-Kontext (z.B. wenn eine Agentur das AB Tasty für einen Kunden einsetzt) könnte Vertragserfüllung relevant sein, aber auch hier muss der Endbesucher einwilligen.
**Fazit für die Praxis:** Die sichere und am häufigsten anzuwendende Rechtsgrundlage ist **Einwilligung**.
## H. Besonderheiten und Hinweise [#h-besonderheiten-und-hinweise]
**Auftragsverarbeitung und Datenverarbeitungsvertrag (AVV):**
AB Tasty fungiert als Auftragsverarbeiter gemäß Art. 28 GDPR. Der Websitebetreiber als Verantwortlicher muss mit AB Tasty einen schriftlichen Auftragsverarbeitungsvertrag (AVV) / Data Processing Agreement (DPA) abschließen. Dieser sollte u.a. folgende Inhalte haben:
* Verarbeitungsgegenstand und -umfang
* Art, Kontext, Umfang und Zwecke der Verarbeitung
* Zusicherung technischer und organisatorischer Maßnahmen (Standard Contractual Clauses, Verschlüsselung, Zugriffskontrolle)
* Regelungen zu Subprozessoren
Die DPA kann bei AB Tasty angefordert werden ([dpo@abtasty.com](mailto:dpo@abtasty.com)). Die Standardverträge sind oft auf der Website verfügbar oder werden auf Anfrage bereitgestellt.
**Drittlandtransfer und Subprozessoren:**
AB Tasty selbst sitzt in Frankreich (EWR), hat aber Subprozessoren:
* **AWS:** Betreibt Infrastruktur in mehreren Regionen weltweit, teils außerhalb der EU (z.B. USA). Für Transfers in die USA gelten die Standard Contractual Clauses (SCCs) bzw. ggf. nationale Anpassungen.
* **Google Cloud:** Ähnlich, mit weltweiten Rechenzentren.
Der Websitebetreiber sollte sich informieren, in welchen Regionen seine Daten gespeichert werden. Im schlimmsten Fall können Daten in die USA übertragen werden, was eine zusätzliche rechtliche Bewertung (EU-US Data Privacy Framework, SCCs) erfordert.
**Cookie-Consent-Integration und Consent-Mode:**
AB Tasty bietet verschiedene Consent-Optionen:
* **Consent-basiert:** Der Tag wartet, bis der Nutzer dem Cookie zugestimmt hat, bevor er vollständig initialisiert wird.
* **Consent-Mode:** Die Cookie-Richtlinie kann so konfiguriert werden, dass AB Tasty erst nach Consent reagiert und vorher nicht alle Funktionen nutzt.
Der Websitebetreiber sollte sein Cookie-Banner (z.B. Consentmanager, Cookiebot, OneTrust) so konfigurieren, dass AB Tasty-Cookies unter die Kategorie „Marketing" oder „Statistiken" fallen und erst nach Einwilligung gesetzt werden.
**Opt-Out und Datenschutzeinstellungen:**
AB Tasty bietet Nutzern ein Opt-Out-Fenster / Opt-Out-iFrame, über das sie ihre Teilnahme an Tests ablehnen können. Dies sollte dokumentiert oder verlinkt sein. Zudem können Besucher verlangen, dass ihre Daten gelöscht werden (Art. 17 GDPR).
**IP-Adressen:**
AB Tasty teilt mit, dass IP-Adressen **nicht gespeichert**, sondern sofort gelöscht werden. Dies ist datenschutzfreundlich, schränkt aber Funktionen (z.B. Geo-Targeting) ein. Der Websitebetreiber sollte versuchen zu klären, ob und wie lange IP-Adressen vorübergehend vorliegen.
## I. Häufige Fragen zu AB Tasty und Datenschutz [#i-häufige-fragen-zu-ab-tasty-und-datenschutz]
AB Tasty ist eine Experimentation- und Personalisierungsplattform, mit der Webseitenbetreiber A/B-Tests durchführen, Nutzer segmentieren und Inhalte personalisieren können. Das System wird per JavaScript-Tag auf der Website integriert und sammelt Daten über Besucher-IDs, Seitenaufrufe, Klicks und definierte Conversion-Events. Die Plattform nutzt Cloud-Infrastruktur (AWS, Google Cloud) und ist nach ISO 27001 und SOC 2 zertifiziert.
AB Tasty erhebt Besucher-IDs (gehashed), Seitenaufrufe, Klickpfade, Device- und Browser-Daten, zeitgestempel, grobe Standortdaten (aus IP), Segment-Zuordnungen, Test-Varianten-Zuweisungen und Conversion-Events. Auch Scrollverhalten und Interaktionsmetriken können erfasst werden. Laut Anbieter werden IP-Adressen nicht langfristig gespeichert. Allerdings hängt der genaue Umfang von der Website-Konfiguration und den Custom-Events ab.
In den meisten Fällen ist **Einwilligung (Art. 6 Abs. 1 lit. a GDPR i.V.m. § 25 Abs. 1 TDDDG)** erforderlich, da AB Tasty Cookies setzt, die nicht technisch notwendig sind. Der Websitebetreiber muss Besucher vor dem Setzen der Cookies über ein Cookie-Banner informieren und ihre explizite Zustimmung einholen. Einwilligungen müssen dokumentiert und 13 Monate lang gespeichert werden. Ein pauschales „Berechtigtes Interesse" wird von Datenschutzbehörden kritisch bewertet.
Ja, absolut. AB Tasty fungiert als Auftragsverarbeiter gemäß Art. 28 GDPR. Der Websitebetreiber (als Verantwortlicher) muss mit AB Tasty einen schriftlichen Auftragsverarbeitungsvertrag (AVV) / Data Processing Agreement (DPA) abschließen. Dieser regelt die Bedingungen, unter denen AB Tasty Daten im Auftrag verarbeitet. Die DPA ist bei AB Tasty erhältlich ([dpo@abtasty.com](mailto:dpo@abtasty.com)).
Generische Textbausteine sind nicht ausreichend. Sie berücksichtigen nicht die spezifische Konfiguration von AB Tasty auf deiner Website, die Subprozessoren, die Speicherdauer der Cookies oder deine individuellen Segment-Kriterien. Ein Privacy-Policy-Generator kann als Vorlage helfen, muss aber angepasst werden. Besser ist es, die Datenschutzerklärung selbst zu schreiben oder durch einen Datenschutzbeauftragten/Rechtsanwalt prüfen zu lassen.
## J. Fazit [#j-fazit]
AB Tasty ist ein mächtiges Werkzeug für datengestützte Optimierung, erfordert aber eine sorgfältige Datenschutzdokumentation. Die wichtigsten Punkte für die Datenschutzerklärung sind:
1. **Identität von AB Tasty SAS** (Paris, Frankreich) und Kontaktdaten ([dpo@abtasty.com](mailto:dpo@abtasty.com))
2. **Konkrete Zwecke:** A/B-Testing, Personalisierung, Segment-Erstellung – nicht nur „Analyse"
3. **Erhobene Daten:** Visitor-ID, Klickpfade, Device-Daten, Conversion-Events – präzise aufzählen
4. **Rechtsgrundlage:** Einwilligung (Art. 6 Abs. 1 lit. a + § 25 Abs. 1 TDDDG)
5. **Auftragsverarbeiter und AVV:** AB Tasty als Processor, schriftlicher DPA erforderlich
6. **Speicherdauer:** Cookie-Lebensdauer (z.B. 365 Tage), Consent-Speicherung (13 Monate)
7. **Betroffenenrechte:** Auskunft, Berichtigung, Löschung, Opt-Out-Möglichkeiten
8. **Subprozessoren:** AWS und Google Cloud, ggf. Drittlandtransfer in die USA (SCCs prüfen)
9. **Cookie-Consent:** Integration mit Cookie-Banner und Consent-Management-System
Ein pauschaler Textbaustein ist nicht ausreichend – der themenorientierte und Website-spezifische Ansatz ist rechtlich sauberer und transparenter.
**Disclaimer.** Dieser Artikel bietet einen Überblick über datenschutzrechtliche Aspekte von AB Tasty und erhebt keinen Anspruch auf Vollständigkeit oder Rechtsberatung. Jede Webseite ist unterschiedlich konfiguriert; daher sollte die Datenschutzerklärung durch einen Datenschutzbeauftragten oder Rechtsanwalt individuell geprüft werden. Stand: April 2026.
# ActiveCampaign Site Tracking und Datenschutz – Was in die Datenschutzerklärung gehört (/docs/privacy-policy-website/activecampaign-site-tracking-datenschutzerklaerung)
# ActiveCampaign Site Tracking und Datenschutz – Was in die Datenschutzerklärung gehört [#activecampaign-site-tracking-und-datenschutz--was-in-die-datenschutzerklärung-gehört]
Webseitenbetreiber nutzen ActiveCampaign Site Tracking, um Besuche auf ihrer Website mit Kontakten aus ihrem ActiveCampaign-CRM-System zu verknüpfen. Ein JavaScript-Snippet wird auf der Website eingebunden und erfasst Seitenaufrufe, Klicks und Nutzeraktionen. Die Besonderheit: Sobald ein Besucher als bekannter Kontakt (E-Mail-Adresse) identifiziert ist, werden seine anonymen Besuche mit seinem Kontaktdatensatz verknüpft – dies geht über einfache Website-Statistiken hinaus und erfordert eine fundierte datenschutzrechtliche Auseinandersetzung.
## A. Zweck und Funktionsweise von ActiveCampaign Site Tracking [#a-zweck-und-funktionsweise-von-activecampaign-site-tracking]
ActiveCampaign ist eine integrierte Plattform für E-Mail-Marketing, CRM-Systeme und Marketing-Automationen. Site Tracking ist eine spezifische Integrations-Funktion, die separate Website-Besuche mit dem CRM-System verbindet.
**ActiveCampaign als Plattform:** Das System speichert Kontakdaten (E-Mail-Adressen, Namen, Unternehmensangaben, Custom-Felder) in einer zentralen Datenbank. Nutzer können E-Mail-Kampagnen versenden, Lead-Scoring durchführen, Marketing-Automationen definieren und Kontaktverläufe visualisieren.
**Site Tracking als Funktion:** Der Webseitenbetreiber bindet ein JavaScript-Tracking-Snippet auf seiner Website ein. Dieses Snippet wird bei jedem Seitenaufruf geladen und erfasst:
* Welche Seiten besucht werden
* Welche Klicks erfolgen
* Welche vordefinierten Conversion-Ziele erreicht werden (z.B. Button-Klicks, Formular-Absendet)
Das zentrale Merkmal von Site Tracking: **Verknüpfung anonymer Besuche mit bekannten Kontakten.** Wenn ein Besucher sein Tracking-Cookie noch hat und aus irgendeiner Quelle (Form, E-Mail-Klick, CRM-Synchronisation) als Kontakt im ActiveCampaign-System bekannt ist, wird seine Besuchshistorie diesem Kontakt zugeordnet. Dies ermöglicht Marketing-Automationen wie: „Wenn Kontakt Seite X besucht, dann versende E-Mail Y" oder „Lead-Scoring basierend auf Seitenbesuchen."
**Abgrenzung:** Site Tracking ist eine Funktion zur Tracking und Profilerstellung. E-Mail-Marketing, CRM-Kontaktverwaltung und andere Automations-Funktionen von ActiveCampaign werden in diesem Artikel nicht einzeln behandelt.
## B. Pflichtangaben in der Datenschutzerklärung [#b-pflichtangaben-in-der-datenschutzerklärung]
Nach Art. 13 Abs. 1 DSGVO (oder Art. 14 für nicht direkt erhobene Daten) müssen Verantwortliche Betroffene umfassend informieren. Für ActiveCampaign Site Tracking sind folgende Pflichtangaben zentral:
* **Identität und Kontaktdaten des Verantwortlichen** (Art. 13 Abs. 1 lit. a): der Webseitenbetreiber selbst
* **Zwecke der Verarbeitung** (Art. 13 Abs. 1 lit. c): Tracking von Seitenbesuchen, Verknüpfung mit bekannten Kontakten, Marketing-Automation, Lead-Scoring, Personalisierung
* **Rechtsgrundlage** (Art. 13 Abs. 1 lit. e): regelmäßig Einwilligung (Art. 6 Abs. 1 lit. a i.V.m. § 25 Abs. 1 TDDDG)
* **Empfänger/Auftragsverarbeiter** (Art. 13 Abs. 1 lit. e): ActiveCampaign, LLC (USA) als Auftragsverarbeiter
* **Speicherdauer und Löschung** (Art. 13 Abs. 1 lit. e): Cookie-Dauer, Kontakt-Löschung, Daten-Löschung
* **Betroffenenrechte** (Art. 13 Abs. 2 lit. a–f): Auskunft, Berichtigung, Löschung, Einschränkung, Datenportabilität, Widerspruch
Ein bloßer generischer Textbaustein ist **nicht ausreichend**, da die Verknüpfung von anonymen Besuchen mit bekannten Kontakten eine datenschutzrechtlich besondere Situation darstellt und Website-spezifische Faktoren (Dauer, Zwecke, Einstellungen) berücksichtigt werden müssen.
## C. Anbieter [#c-anbieter]
**Name und Adresse:**
* **ActiveCampaign, LLC**
* 1 North Dearborn, Suite 500
* Chicago, Illinois 60602, USA
* E-Mail (Datenschutz): [privacy@activecampaign.com](mailto:privacy@activecampaign.com)
* **Website:** [https://www.activecampaign.com](https://www.activecampaign.com)
**Jurisdiktion und Datenschutz:**
ActiveCampaign, LLC ist ein US-amerikanisches Unternehmen ohne EU-Tochtergesellschaft. Dies bedeutet, dass eine Datenübertragung in die USA erfolgt. ActiveCampaign hat sich zur Einhaltung des **EU-U.S. Data Privacy Framework (DPF)** verpflichtet und ist im DPF-Participant-Verzeichnis eingetragen. Dies ermöglicht EU-Kunden, Daten in die USA zu übertragen, ohne zusätzliche Instrumentarien wie Standard Contractual Clauses (SCCs) einrichten zu müssen – die DPF-Zertifizierung gilt als „adequacy decision".
Allerdings: Die Adäquanz der DPF ist in der EU rechtlich umstritten und wurde in einigen Fällen von Datenschutzbehörden hinterfragt. Der Webseitenbetreiber sollte sich informieren, ob zusätzlich SCCs oder andere Maßnahmen erforderlich sind.
**Privacy Policy und Dokumentation:**
* Allgemeine Privacy Policy: [https://www.activecampaign.com/legal/privacy-policy](https://www.activecampaign.com/legal/privacy-policy)
* GDPR-Informationen: [https://www.activecampaign.com/legal/gdpr](https://www.activecampaign.com/legal/gdpr)
* Data Privacy Framework: [https://www.activecampaign.com/legal/dpf](https://www.activecampaign.com/legal/dpf)
* Data Processing Addendum (DPA): [https://www.activecampaign.com/legal/dpa](https://www.activecampaign.com/legal/dpa)
* Help Center Site Tracking: [https://help.activecampaign.com/hc/en-us/articles/221542267-An-overview-of-Site-Tracking](https://help.activecampaign.com/hc/en-us/articles/221542267-An-overview-of-Site-Tracking)
* GDPR-Compliance im Help Center: [https://help.activecampaign.com/hc/en-us/articles/360000872064-Site-tracking-and-the-GDPR](https://help.activecampaign.com/hc/en-us/articles/360000872064-Site-tracking-and-the-GDPR)
## D. Datenverarbeitung – Ablauf [#d-datenverarbeitung--ablauf]
**Initialisierung und Cookie-Setzung**
Der JavaScript-Tracking-Code wird beim Laden einer Seite ausgeführt. Sofern ein Nutzer dem Tracking zugestimmt hat (oder Tracking ohne Einwilligung konfiguriert ist), setzt der Code ein First-Party-Cookie auf der Website-Domain. Dieses Cookie speichert eine Besucher-ID und ggf. Informationen über den Kontaktstatus.
**Seitenaufruf-Erfassung**
Beim Aufruf jeder Seite werden Daten wie URL, Referrer, Zeitstempel und definierte Events (z.B. Button-Klicks) erfasst. Diese werden lokal im Browser gesammelt oder direkt an ActiveCampaign-Server übertragen.
**Kontakt-Identifikation und Verknüpfung**
ActiveCampaign versucht, den Besucher als bekannten Kontakt zu identifizieren. Dies geschieht durch:
* Einen vorhandenen Tracking-Cookie mit bekannter Besucher-ID
* Eine E-Mail-Adresse, die über ein Formular, einen E-Mail-Link oder CRM-Synchronisation bekannt ist
* Eine manuelle Aktivierung durch den Webseitenbetreiber (z.B. über ein identifizierndes Feld)
Sobald ein Kontakt identifiziert ist, werden seine Seitenbesuche dem Kontaktdatensatz im CRM zugeordnet. Der Kontakt sieht dann in seinem CRM-Profil: „Diese Person hat Seite X, Y, Z besucht."
**Speicherung auf ActiveCampaign-Servern**
Die Daten werden an die ActiveCampaign-Server in den USA übertragen und dort gespeichert. Die Server-Infrastruktur wird von ActiveCampaign betrieben und unterliegt deren technischen Sicherheitsmaßnahmen.
**Nutzung in Marketing-Automationen**
Der Webseitenbetreiber kann automatisierte Workflows (Automationen) definieren, die auf Site-Tracking-Daten reagieren:
* „Wenn Kontakt auf Produktseite XYZ klickt, starte eine E-Mail-Sequenz"
* „Wenn Kontakt sich nicht anmeldet, schreibe ein Re-Engagement-Mailing"
* „Nutze Seitenbesuche für Lead-Scoring und Priorisierung"
Diese Automationen sind zentral für den Nutzen von Site Tracking.
**Datenaufbewahrung und Löschung**
Tracking-Cookies haben eine konfigurierbare Lebensdauer (oft 365 Tage oder mehr). Die Daten auf ActiveCampaign-Servern werden nach den Aufbewahrungsrichtlinien der Datenschutzrichtlinie und des DPA gelöscht. Der Webseitenbetreiber kann Kontakte und ihre Daten manuell löschen (Art. 17 GDPR-Recht auf Vergessenwerden).
## E. Erhobene Daten [#e-erhobene-daten]
ActiveCampaign Site Tracking erhebt eine Kombination technischer und Verhaltens-Daten. Das zentrale Merkmal ist die **Verknüpfung anonymer Seitenbesuche mit bekannten Kontakten**:
* **Besucher-ID:** Eindeutige Identifikationsnummer aus dem Tracking-Cookie, um Besuche über mehrere Sessions zu verfolgen
* **Webserver-Protokolldaten:** IP-Adresse des Besuchers, Zeitstempel von Seitenaufrufen
* **Besuchte Seiten:** URL der Seite, Page-Title, ggf. zusätzliche Page-Parameter
* **Referrer:** Herkunftsseite (woher kam der Besucher?)
* **Klickpfade und Navigation:** Sequenz der besuchten Seiten, Reihenfolge von Nutzeraktionen
* **Geräte- und Browser-Daten:** Gerätetyp (Desktop, Mobil, Tablet), Betriebssystem, Browser-Name und -Version
* **Grobe Standortdaten:** Land, Region oder Stadt (aus IP-Adresse abgeleitet)
* **Conversion-Ereignisse:** Vordefinierte Ziel-Events (z.B. Formular-Absendung, Kauf, Download)
* **Custom-Events:** Beliebige vom Webseitenbetreiber definierte Ereignisse (z.B. „Video gestartet", „Warenkorb aktualisiert")
* **Scrollverhalten und Verweildauer:** Wie lange nutzer auf einer Seite verweilt, wie weit sie scrollt (optional)
* **Kontakt-Zuordnung:** Sobald der Besucher als Kontakt im ActiveCampaign-System bekannt ist, wird eine **Verknüpfung** hergestellt zwischen:
* Der E-Mail-Adresse des Kontakts
* Der Besuchshistorie (alle vorherigen und zukünftigen Besuche)
* Dem Kontaktprofil im CRM (Name, Unternehmen, Custom-Felder)
**Besonderheit und datenschutzrechtliche Relevanz:** ActiveCampaign Site Tracking verknüpft Webseitenbesuche mit konkreten Kontakten im CRM-System. Sobald ein Besucher als ActiveCampaign-Kontakt identifiziert ist (z.B. durch seine E-Mail-Adresse), werden seine anonymen Seitenbesuche dem Kontakt zugeordnet. Dies geht weit über anonyme Webstatistiken (z.B. Google Analytics) hinaus: Die Daten werden mit einer konkreten Person verknüpft und können zu Profilbildung, Lead-Scoring und automatisierten Marketingmitteilungen führen. Dies erfordert besondere datenschutzrechtliche Aufmerksamkeit, insbesondere bei der Konsent-Einholung und der Dokumentation von Rechtsgrundlagen.
## F. Nutzungszwecke [#f-nutzungszwecke]
ActiveCampaign Site Tracking wird zu folgenden Zwecken verarbeitet:
* **Funktionsbereitstellung und Betrieb:** Technisches Tracking von Webseitenbesuchen, Speicherung im System
* **Marketing-Automatisierung:** Trigger-basierte Workflows, die auf Seitenbesuchen reagieren (z.B. E-Mail nach Seitenbesuch)
* **Lead-Scoring und Priorisierung:** Numerische Bewertung von Leads basierend auf Seitenbesuchen, um Verkaufspriorität zu bestimmen
* **Nutzerprofilbildung:** Erstellung oder Anreicherung von Kontaktprofilen durch Verhaltens- und Besuchsdaten
* **Personalisierung:** Anpassung von Website-Inhalten oder E-Mail-Kampagnen basierend auf Nutzerverhalten
* **Zielgruppen-Segmentierung:** Unterteilung von Kontakten in Gruppen (z.B. „häufige Besucher", „Interessierte im Produkt XYZ") für gezielte Kampagnen
* **Analyse und Reporting:** Auswertung welche Seiten frequentiert werden, welche Kampagnen konvertieren
* **Sicherheit und Betriebsstabilität:** Überwachung der Systemsicherheit und Verhinderung von Missbrauch
Der Webseitenbetreiber sollte in seiner Datenschutzerklärung präzisieren, **welche dieser Zwecke** er konkret nutzt.
## G. Rechtsgrundlagen [#g-rechtsgrundlagen]
Die Rechtsgrundlage für die Verarbeitung personenbezogener Daten durch Site Tracking hängt von der konkreten Konfiguration ab:
**Einwilligung (Art. 6 Abs. 1 lit. a i.V.m. § 25 Abs. 1 TDDDG) – die Regel:**
ActiveCampaign Site Tracking setzt Cookies, die nicht technisch notwendig sind. Nach deutschem Telemediengesetz (TDDDG, früher TTDSG) sind nicht-notwendige Cookies **nicht ohne Einwilligung** zulässig. Das bedeutet: Der Webseitenbetreiber muss ein Cookie-Banner anzeigen, den Nutzer über das Tracking und die Zwecke informieren, und seine explizite Einwilligung einholen (Opt-in-Prinzip). Die Einwilligung muss vor dem Setzen des Cookies erfolgen.
Technisch bedeutet dies: Der ActiveCampaign-Tracking-Code sollte erst nach Consent-Erteilung geladen werden (z.B. über ein Consent-Management-System wie Consentmanager, Cookiebot, OneTrust).
**Berechtigtes Interesse (Art. 6 Abs. 1 lit. f) – kritisch bewertet:**
Einige Webseitenbetreiber argumentieren, dass das Tracking der Website-Optimierung und damit dem legitimen Geschäftsinteresse dient. Diese Argumentation wird von Datenschutzbehörden jedoch sehr kritisch bewertet, besonders wenn es um die Verknüpfung mit Kontakten und Marketing-Automation geht. Diese Rechtsgrundlage ist in der Praxis **nicht empfohlen**.
**Vertragserfüllung (Art. 6 Abs. 1 lit. b) – nur in B2B:**
Falls der Webseitenbetreiber mit dem Nutzer einen Vertrag hat (z.B. SaaS-Abonnement) und das Tracking zur Vertragserfüllung erforderlich ist, könnte Art. 6 Abs. 1 lit. b greifen. Dies ist aber selten und wird im B2C-Kontext nicht angewendet.
**Fazit für die Praxis:** Die sichere und am häufigsten anzuwendende Rechtsgrundlage ist **Einwilligung**. Der Webseitenbetreiber sollte sich auf Art. 6 Abs. 1 lit. a GDPR i.V.m. § 25 Abs. 1 TDDDG stützen und ein Consent-Management-System implementieren.
## H. Besonderheiten und Hinweise [#h-besonderheiten-und-hinweise]
**Auftragsverarbeitung und Datenverarbeitungsvertrag (AVV/DPA):**
ActiveCampaign fungiert als Auftragsverarbeiter gemäß Art. 28 GDPR. Der Webseitenbetreiber als Verantwortlicher muss mit ActiveCampaign einen schriftlichen Auftragsverarbeitungsvertrag (AVV) / Data Processing Agreement (DPA) abschließen. Der DPA muss folgende Inhalte haben:
* Verarbeitungsgegenstand und -umfang
* Art, Kontext, Umfang und Zwecke der Verarbeitung
* Garantien für technische und organisatorische Maßnahmen
* Regelungen zu Subprozessoren (sofern ActiveCampaign Dritte beauftragt)
* Verfahren bei Datenpannen
Der DPA ist verfügbar unter [https://www.activecampaign.com/legal/dpa](https://www.activecampaign.com/legal/dpa) und kann über das ActiveCampaign-Konto oder via [privacy@activecampaign.com](mailto:privacy@activecampaign.com) angefordert werden.
**Drittlandtransfer und Data Privacy Framework:**
ActiveCampaign sitzt in den USA (Chicago, Illinois). Dies bedeutet ein **Drittlandtransfer personenbezogener Daten in die USA** gemäß Art. 44 ff. GDPR. ActiveCampaign hat sich zur Einhaltung des **EU-U.S. Data Privacy Framework (DPF)** verpflichtet und ist im DPF-Participant-Verzeichnis ([https://www.dataprivacyframework.gov](https://www.dataprivacyframework.gov)) eingetragen. Die DPF-Zertifizierung gilt rechtlich als „adequacy decision" und ermöglicht Datentransfers ohne zusätzliche Instrumentarien.
**Hinweis:** Die rechtliche Geltung der DPF ist in der EU und innerhalb der Datenschutzbehörden umstritten. Einige Behörden und Datenschutzbeauftragte empfehlen zusätzlich, Standard Contractual Clauses (SCCs) oder andere Maßnahmen zu prüfen. Der Webseitenbetreiber sollte seine lokale Datenschutzbehörde oder einen Rechtsanwalt konsultieren.
**Aktivierung und GDPR-Tools in ActiveCampaign:**
* Site Tracking ist in ActiveCampaign **nicht standardmäßig aktiv** und muss explizit aktiviert werden.
* Der JavaScript-Tracking-Code muss auf der Website eingebunden werden.
* ActiveCampaign bietet GDPR-Konfigurationen im Konto, z.B. zur Deaktivierung von Tracking oder zum Setzen von Datenschutzflags.
* Der Webseitenbetreiber sollte diese Einstellungen prüfen und konfigurieren.
**Einstellungen und Kontrollmöglichkeiten:**
* **Tracking aktivieren/deaktivieren:** Der Webseitenbetreiber kann Tracking in seinem ActiveCampaign-Konto unter „Tracking" → „Site Tracking" verwalten.
* **Cookie-Consent-Mode:** ActiveCampaign wartet (bei richtiger Konfiguration), bis ein Nutzer Cookies akzeptiert hat, bevor Tracking startet.
* **Opt-Out-Möglichkeiten:** Nutzer sollten die Möglichkeit haben, Tracking zu deaktivieren (z.B. über ein Opt-Out-iFrame oder Cookie-Manager-Einstellung).
* **Betroffenenrechte:** Nutzer können Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17) ihrer Daten verlangen.
**Besonderheit: Identifizierung durch Kontakt-Verknüpfung:**
Site Tracking hat eine Besonderheit: Ein Besucher muss zuerst ein **Tracking-Cookie** haben, AND als **bekannter Kontakt** im CRM-System identifizieren sein, damit eine Verknüpfung erfolgt. Isolierte anonyme Besuche bleiben zunächst anonym – erst wenn der Nutzer z.B. ein Formular ausfüllt oder auf einen E-Mail-Link klickt und als Kontakt bekannt wird, erfolgt die Verknüpfung. Dies sollte in der Datenschutzerklärung erklärt werden.
## I. Häufige Fragen zu ActiveCampaign Site Tracking und Datenschutz [#i-häufige-fragen-zu-activecampaign-site-tracking-und-datenschutz]
ActiveCampaign Site Tracking ist eine Integrations-Funktion der ActiveCampaign-Plattform (USA), die Webseitenbesuche mit Kontakten im CRM-System verknüpft. Ein JavaScript-Tracking-Snippet wird auf der Website eingebunden und erfasst Seitenaufrufe, Klicks und vordefinierte Events. Die Besonderheit: Sobald ein Besucher als bekannter Kontakt identifiziert ist (z.B. durch seine E-Mail-Adresse), werden seine Seitenbesuche dem Kontaktdatensatz zugeordnet. Dies ermöglicht Marketing-Automationen wie „Wenn Kontakt Seite XYZ besucht, versende E-Mail ABC".
Site Tracking erhebt: Besucher-IDs (Cookies), Seitenaufrufe (URLs, Referrer), Klickpfade, Geräte- und Browser-Daten, Zeitstempel, grobe Standortdaten (aus IP), vordefinierte Conversion-Events und Custom-Events. Besonders relevant: sobald ein Besucher als Kontakt im CRM identifiziert ist, wird eine Verknüpfung zwischen der E-Mail-Adresse und der gesamten Besuchshistorie hergestellt. Ferner können Lead-Scoring-Punkte, Segment-Zuordnungen und Profil-Anreicherungen erfolgen.
Ja. Site Tracking setzt Cookies, die nicht technisch notwendig sind. Nach deutschem Telemediengesetz (TDDDG) und GDPR Art. 6 Abs. 1 lit. a ist eine explizite Einwilligung erforderlich. Der Webseitenbetreiber muss ein Cookie-Banner anzeigen, den Nutzer informieren und sein Opt-in erhalten, BEVOR das Tracking startet. Die Einwilligung muss dokumentiert werden (Consent-Log).
Ja, absolut. ActiveCampaign fungiert als Auftragsverarbeiter gemäß Art. 28 GDPR. Der Webseitenbetreiber (Verantwortlicher) muss mit ActiveCampaign einen schriftlichen DPA abschließen. Der DPA ist verfügbar unter [https://www.activecampaign.com/legal/dpa](https://www.activecampaign.com/legal/dpa) und kann im Konto oder via [privacy@activecampaign.com](mailto:privacy@activecampaign.com) angefordert werden. Ohne DPA ist die Verarbeitung nicht GDPR-konform.
ActiveCampaign sitzt in den USA und übertragen Daten dorthin. ActiveCampaign hat sich zur Einhaltung des EU-U.S. Data Privacy Framework (DPF) verpflichtet, das als „adequacy decision" gilt und Transfers ohne zusätzliche Instrumentarien ermöglicht. Allerdings: Die DPF ist rechtlich umstritten. Einige Datenschutzbehörden empfehlen zusätzlich SCCs oder eine „Transfer Impact Assessment" (TIA). Der Webseitenbetreiber sollte seine lokale Behörde oder einen Rechtsanwalt konsultieren.
## J. Fazit [#j-fazit]
ActiveCampaign Site Tracking ist ein leistungsstarkes Marketing-Tool, aber die Verknüpfung von anonymen Webseitenbesuchen mit bekannten Kontakten erfordert sorgfältige datenschutzrechtliche Dokumentation. Die wichtigsten Punkte für die Datenschutzerklärung sind:
1. **Identität von ActiveCampaign, LLC** (Chicago, USA) und Kontaktdaten ([privacy@activecampaign.com](mailto:privacy@activecampaign.com))
2. **Konkrete Zwecke:** Site Tracking, Marketing-Automation, Lead-Scoring, Kontaktprofilbildung
3. **Erhobene Daten:** Besucher-IDs, Seitenaufrufe, Klickpfade, Device-Daten, Conversion-Events, **Verknüpfung mit Kontakt-E-Mail-Adresse**
4. **Rechtsgrundlage:** Einwilligung (Art. 6 Abs. 1 lit. a + § 25 Abs. 1 TDDDG)
5. **Auftragsverarbeiter und AVV:** ActiveCampaign als Processor, schriftlicher DPA erforderlich
6. **Drittlandtransfer:** USA, DPF-Zertifizierung (prüfen, ob zusätzlich SCCs erforderlich)
7. **Speicherdauer:** Cookie-Lebensdauer (z.B. 365 Tage), Kontakt-Speicherung nach ActiveCampaign-Richtlinie
8. **Betroffenenrechte:** Auskunft, Berichtigung, Löschung, Einschränkung, Datenportabilität, Widerspruch
9. **Consent-Management:** Integration mit Cookie-Banner und Consent-System, Opt-in-Prinzip
10. **Besonderheit:** Erklären, wie anonyme Besuche mit bekannten Kontakten verknüpft werden
Ein generischer Textbaustein ist nicht ausreichend – der **Website-spezifische und themenorientierte Ansatz** ist rechtlich sauberer und transparenter.
**Disclaimer.** Dieser Artikel bietet einen Überblick über datenschutzrechtliche Aspekte von ActiveCampaign Site Tracking und erhebt keinen Anspruch auf Vollständigkeit oder Rechtsberatung. Jede Webseite ist unterschiedlich konfiguriert; daher sollte die Datenschutzerklärung durch einen Datenschutzbeauftragten oder Rechtsanwalt individuell geprüft werden. Stand: April 2026.
# Adobe Analytics und Datenschutz – Was in die Datenschutzerklärung gehört (/docs/privacy-policy-website/adobe-analytics-datenschutzerklaerung)
# Adobe Analytics und Datenschutz – Was Webseitenbetreiber wissen müssen [#adobe-analytics-und-datenschutz--was-webseitenbetreiber-wissen-müssen]
Setzt ein Webseitenbetreiber Adobe Analytics zur Website-Analyse und Nutzerverhalten-Verfolgung ein, verarbeitet er umfangreiche Verhaltensdaten, Ereignisse und Nutzer-Identifizierer zum Zweck der Website-Optimierung, Leistungsmessung und Geschäftsintellligenz auf Basis von Einwilligung und/oder berechtigten Interessen. Adobe Analytics fungiert als **Auftragsverarbeiter** im Sinne von DSGVO Art. 28. Der Webseitenbetreiber ist alleiniger Verantwortlicher für die Datenverarbeitung und trägt die volle Rechenschaftspflicht. Adobe hat sich zum Data Privacy Framework (DPF) und Standard Contractual Clauses (SCCs) verpflichtet, was Datenübermittlungen in die USA regelt. Ein Auftragsverarbeitungsvertrag (AVV) mit Adobe ist zwingend erforderlich. Die vorliegende Anleitung erklärt Adobes Rolle, die Datenverarbeitung und die Anforderungen an DSGVO-Konformität. Stand: 2026-04-22.
## A. Zweck und Funktionsweise von Adobe Analytics [#a-zweck-und-funktionsweise-von-adobe-analytics]
Adobe Analytics ist eine Enterprise-Analytics-Plattform, mit der Webseitenbetreiber Website-Besucherdaten erfassen, analysieren und reporting können. Es ermöglicht tiefgreifende Einblicke in Nutzerverhalten, Nutzer-Journeys, Conversion-Pfade und Website-Performance.
**Zentrale Funktionen:**
**1. Datenerfassung via AppMeasurement (JavaScript-Tracking-Code):**
Der AppMeasurement-Code wird in die Website eingebettet und erfasst umfassend Nutzerdaten: Seitenkontakte, Klicks, Konversionen, Nutzer-Attribute, technische Daten, und ggf. auch benutzerdefinierte Variablen, die der Webseitenbetreiber definiert.
**2. Nutzer-Identifikation (Visitor ID und Experience Cloud ID):**
Adobe Analytics generiert anonyme Visitor-IDs zur Verfolgung von Nutzer-Journeys über mehrere Website-Besuche hinweg. Mit der Experience Cloud ID (ECID) können Nutzer auch über verschiedene Adobe-Produkte (Analytics, Target, Audience Manager) hinweg identifiziert werden.
**3. Reporting und Dashboards:**
Adobe Analytics bietet umfassende Auswertungen: Traffic-Analysen, Conversion-Trichter, Kohortenanalysen, Attribution-Modellierung, und Echtzeit-Reporting.
**4. Data Warehouse und Export:**
Webseitenbetreiber können Rohdaten exportieren und für BI-Zwecke oder Integration mit anderen Systemen nutzen.
**5. Prädiktive Analytik und Machine Learning:**
Adobe Analytics nutzt ML-Modelle zur Vorhersage von Nutzerverhalten und automatischer Anomalie-Erkennung.
**Unterschied zu Google Analytics:**
Adobe Analytics ist eine Premium-Enterprise-Lösung mit tieferem Tracking, erweiterten Attribution-Modellen, und erweiterten Datenexport-Optionen. Google Analytics ist kostenlos und einsteigerfreundlicher. Datenschutzrechtlich sind beide als Auftragsverarbeiter-Szenarien zu behandeln.
## B. Pflichtangaben in der Datenschutzerklärung zu Adobe Analytics [#b-pflichtangaben-in-der-datenschutzerklärung-zu-adobe-analytics]
Nach DSGVO Art. 13 Abs. 1 und Art. 14 müssen Webseitenbetreiber bei Einsatz von Adobe Analytics folgende Angaben machen:
* **Zwecke** der Verarbeitung (Art. 13 Abs. 1 lit. c)
* **Rechtsgrundlagen** (Art. 13 Abs. 1 lit. d)
* **Berechtigte Interessen**, sofern diese Grundlage ist (Art. 13 Abs. 1 lit. d)
* **Kategorien von Empfängern** (Art. 13 Abs. 1 lit. e) – hier: Adobe Systems Software Ireland Limited als Auftragsverarbeiter
* **Speicherdauer** oder Kriterien zur Bestimmung (Art. 13 Abs. 2 lit. a)
* **Drittlandtransfers** und Schutzgarantien (Art. 13 Abs. 1 lit. f)
Ein zentraler Punkt: Die Datenschutzerklärung muss klar machen, dass Adobe Auftragsverarbeiter ist und dass Datenübermittlungen in die USA erfolgen (ggf. mit Verweis auf DPF oder SCCs).
**Besserer Ansatz:** Ein zentral erklärtes Kapitel zu Zwecken und Rechtsgrundlagen, eine Empfängertabelle, die Adobe als Auftragsverarbeiter ausweist, und ein Hinweis auf den DPF-Status und die Verfügbarkeit des AVV.
## C. Anbieter von Adobe Analytics: Adobe Systems Software Ireland Limited [#c-anbieter-von-adobe-analytics-adobe-systems-software-ireland-limited]
**Juridische Basis (europäische Entität):**
* **Vollständiger Name:** Adobe Systems Software Ireland Limited
* **Anschrift:** 4-6 Riverwalk, Citywest Business Campus, Dublin 24, D24 AV70, Irland
* **Sitzland:** Irland (Europäischer Wirtschaftsraum)
* **Mutterkonzern:** Adobe Inc. (USA)
* **Rolle:** Auftragsverarbeiter (Data Processor) im Sinne von DSGVO Art. 28
**Alternative Kontaktperson für US-Datenverarbeitung:**
Bei Datenübermittlungen in die USA kann Adobe Inc. (USA) die Daten auch direkt verarbeiten. In diesem Fall ist Adobe Inc. ebenfalls Auftragsverarbeiter unter Vertrag.
**Data Privacy Framework (DPF) und Datenübermittlungen:**
Adobe Inc. und ihre Tochtergesellschaften (inkl. Marketo Inc., Magento/X-commerce Inc., Workfront Inc.) haben sich zum EU-US Data Privacy Framework verpflichtet und sind zertifiziert. Dies ermöglicht Datenübermittlungen in die USA auf Basis eines Angemessenheitsbeschlusses (Art. 45 DSGVO).
**Datenschutzerklärung:**
[https://www.adobe.com/de/privacy/policy.html](https://www.adobe.com/de/privacy/policy.html)
**Auftragsverarbeitungsvertrag (AVV/DPA):**
Adobe stellt einen Standard-Datenverarbeitungsvertrag (DPA) zur Verfügung. Dieser ist über die Adobe-Webseite oder direkt im Kundenkonto abrufbar, typischerweise unter:
* [https://www.adobe.com/go/tou-dpa](https://www.adobe.com/go/tou-dpa)
* Oder direkt in den Vertragsdokumenten: [https://www.adobe.com/content/dam/cc/de/legal/terms/enterprise/pdfs/DPA-DE.pdf](https://www.adobe.com/content/dam/cc/de/legal/terms/enterprise/pdfs/DPA-DE.pdf)
Der DPA enthält auch Standard Contractual Clauses (SCCs) als zusätzliche Sicherungsmaßnahme für Datenübermittlungen in die USA.
## D. Datenverarbeitung durch Adobe Analytics – Ablauf [#d-datenverarbeitung-durch-adobe-analytics--ablauf]
### Erhebung [#erhebung]
Der Adobe-AppMeasurement-Code wird in die Website eingebettet (oder via Tag-Management-System wie Google Tag Manager geladen). Sobald ein Nutzer die Website aufruft, wird der Code ausgeführt und erfasst umfassend: IP-Adresse, User-Agent (Browser, Betriebssystem, Gerätetyp), besuchte Seiten (Page-Name, URL-Parameter), Referrer, Klicks, Scroll-Tiefe, Nutzer-Attribute (Customer ID, falls definiert), Conversion-Ereignisse, benutzerdefinierte Variablen, und Geolocation (auf IP-Basis).
### Speicherung [#speicherung]
Die Daten werden in Adobes Cloud-Infrastruktur (typischerweise auf Adobe Experience Cloud Servern) gespeichert. Bei DPF-Zertifizierung können Daten in den USA oder in EU-Rechenzentren gespeichert werden. Adobe betreibt Rechenzentren in mehreren Ländern, und der Lagerungsort kann vom Webseitenbetreiber konfiguriert werden. Die Standard-Aufbewahrungsdauer ist typischerweise 25 Monate, kann aber je nach Vertrag konfiguriert werden.
### Nutzung [#nutzung]
Adobe nutzt die Daten im Auftrag des Webseitenbetreibers zu folgenden Zwecken: (1) Bereitstellung von Analyze-Reports und Dashboards, (2) Berechnung von Metriken (Visits, Unique Visitors, Bounce Rate, Conversion Rates, etc.), (3) Segmentierung und Audience-Erstellung, (4) Attribution-Analyse (welche Touchpoints führen zu Conversions), (5) Anomalie-Erkennung und Alerts bei unerwarteten Trends. Als Auftragsverarbeiter darf Adobe die Daten nicht zu eigenen Geschäftszwecken nutzen, es sei denn, der Webseitenbetreiber hat explizit zugestimmt (z.B. für Benchmarking oder Aggregate-Reporting).
### Weitergabe [#weitergabe]
Adobe kann die Daten an seine Subprozessoren weitergeben (z.B. Cloud-Infrastruktur-Partner, Sicherheitsdienstleister, Data-Warehouse-Partner). Diese müssen im DPA aufgelistet sein. Eine Weitergabe an Dritte zu deren eigenen Zwecken ist nicht vorgesehen (allerdings ist eine Überprüfung durch den Betreiber zu empfehlen).
### Löschung [#löschung]
Der Webseitenbetreiber kann Adobe Analytics deaktivieren oder sein Kundenkonto kündigen. Adobe löscht Daten nach einer Standard-Aufbewahrungsfrist (typischerweise 25 Monate), die im Vertrag festgelegt ist. Nach Kontokündigung werden Daten typischerweise innerhalb von 90 bis 180 Tagen gelöscht. Die exakte Frist ist im DPA zu überprüfen.
## E. Erhobene Daten beim Einsatz von Adobe Analytics [#e-erhobene-daten-beim-einsatz-von-adobe-analytics]
Adobe Analytics erfasst umfangreiche Website- und Nutzerdaten:
Diese Daten lassen sich in folgende standardisierte Datenarten-Klassen einordnen:
* **Webserver-Protokolldaten:** IP-Adresse, HTTP-Header (User-Agent, Referrer, Accept-Language), Request-Timestamp, Zeitzone, Geolocation (auf IP-Basis)
* **Klickpfade und Navigation:** Besuchte Seiten (Page-Name, Page-URL mit Parametern), Seiten-Hierarchie, interne Suchen, angeklickte Links, Download-Aktivitäten, Video-Interaktionen
* **Endgeräte-Daten:** Gerätetyp (Desktop, Tablet, Mobile), Betriebssystem, Betriebssystem-Version, Bildschirmauflösung, Bildschirmgröße, Netzwerk-Typ (WiFi, Mobilfunk)
* **Browserinformationen:** Browser-Name, Browser-Version, Cookies (Adobe-Cookies, Third-Party-Cookies), Local Storage, JavaScript-Aktivierung, Plug-ins
* **Conversion- und Geschäftsereignisse:** Produktansichten, Warenkorb-Vorgänge (Addition, Entfernung, Anzeige), Käufe mit Transaktion-Details (Order-ID, Wert, Währung, Produktklasse, Menge, Rabatt), Lead-Erfassung, Content-Download, Video-Views, ggf. auch Dauer und Engagement
* **Benutzer-Profildaten:** Experience Cloud ID (ECID), Visitor ID (Seriennummer), ggf. auch kundendefinierten Nutzer-IDs oder CRM-IDs (wenn vom Webseitenbetreiber gesendet), Kundensegmente (wenn definiert)
* **Technische Telemetriedaten:** Page-Load-Zeit, Server-Response-Zeit, Fehlermetriken, JavaScript-Fehler, API-Latenzen
* **Benutzerdefinierte Variablen:** Der Webseitenbetreiber kann zusätzlich eigene Daten definieren und über Adobe Analytics senden (z.B. Artikel-ID, Kategorie, Nutzer-Segment, interne Nutzer-ID)
## F. Nutzungszwecke beim Einsatz von Adobe Analytics [#f-nutzungszwecke-beim-einsatz-von-adobe-analytics]
Adobe gibt an, dass Analytics-Daten zu folgenden Zwecken verarbeitet werden:
* **Website-Analyse und Leistungsmessung:** Analyse von Traffic-Trends, Nutzer-Demografie, Geographic-Verteilung, Gerätenutzung, Browser-Verteilung
* **Conversion-Tracking und Attribution:** Verfolgung von Conversions und Multi-Touch-Attribution (Bestimmung, welche Touchpoints zu Conversions beitragen)
* **Nutzersegmentierung und Audience-Erstellung:** Bildung von Nutzer-Segmenten auf Basis von Verhalten (z.B. „hochwertige Kunden", „Abbrecher", „Wiederholungskäufer")
* **Website-Optimierung und A/B-Testing:** (falls Adobe Target integriert) Testen von Website-Varianten zur Optimierung von Conversion-Rates
* **Personalisierung:** (falls integriert) Anzeige personalisierter Inhalte auf Basis von Nutzer-Segmenten
* **Anomalie-Erkennung und Alerts:** Automatische Erkennung ungewöhnlicher Trends und Benachrichtigungen
* **Geschäftsintellligenz und Benchmarking:** Vergleich der Leistung gegen Industrie-Benchmarks (mit Zustimmung des Webseitenbetreibers)
* **Sicherheit und Missbrauchserkennung:** Erkennung verdächtiger oder betrügerischer Aktivitäten
## G. Rechtsgrundlagen für Adobe Analytics [#g-rechtsgrundlagen-für-adobe-analytics]
**Rechtsgrundlage hängt vom Umfang und Zweck ab:**
**1. Analytik ohne Personenidentifizierung (nur aggregierte Daten):**
**Berechtigte Interessen** des Webseitenbetreibers (Art. 6 Abs. 1 lit. f DSGVO) können eine Grundlage sein: Website-Optimierung, Geschäftsplanung, technische Verbesserung. Dies erfordert eine Interessensabwägung und ist transparent zu kommunizieren.
**2. Analytik mit Personenidentifizierung (Visitor IDs, Custom User IDs):**
**Einwilligung** nach Art. 6 Abs. 1 lit. a DSGVO kann erforderlich sein, insbesondere wenn Nutzer über mehrere Besuche hinweg identifiziert werden oder benutzerdefinierte Nutzer-IDs (z.B. aus CRM) mit Analytics-Daten verbunden werden. Dies ist eine konservativere, aber rechtlich sicherere Positionierung.
**3. Datenübermittlung in die USA:**
Bei DPF-Zertifizierung: Art. 45 DSGVO (Angemessenheitsbeschluss). Die Daten müssen zu einem DPF-zertifizierten Unternehmen übermittelt werden. Zusätzlich bietet Adobe SCCs (Standard Contractual Clauses) als zusätzliche Sicherungsmaßnahme.
**Praktischer Tipp:**
Eine konservative Positionierung ist: Analytics-Cookies erfordern Einwilligung (ähnlich wie Marketing-Cookies), oder zumindest eine transparente Kommunikation der berechtigten Interessen. Dies reduziert Rechtsrisiken und ist nutzerfreundlicher.
## H. Besonderheiten und Hinweise zu Adobe Analytics [#h-besonderheiten-und-hinweise-zu-adobe-analytics]
**1. Auftragsverarbeiter-Status ist klar**
Adobe Analytics ist eine klare Auftragsverarbeiter-Konstellation. Adobe verarbeitet Daten im Auftrag des Webseitenbetreibers, nicht als eigenständiger Verantwortlicher.
**2. Datenverarbeitungsvertrag (DPA) ist Pflicht**
Ein formaler DPA ist eine zwingende Voraussetzung. Adobe stellt einen Standard-DPA zur Verfügung, der auch Standard Contractual Clauses (SCCs) enthält. Der Webseitenbetreiber muss diesen abrufen und aufbewahren.
**3. DPF-Zertifizierung und Datenübermittlung in die USA**
Adobe Inc. ist DPF-zertifiziert. Dies ermöglicht Datenübermittlungen in die USA auf Basis eines Angemessenheitsbeschlusses (Art. 45 DSGVO). Der Status sollte regelmäßig überprüft werden.
**4. Subprozessoren und Transparenz**
Der DPA sollte eine aktuelle Liste genehmigter Subprozessoren enthalten. Der Webseitenbetreiber hat das Recht, von Subprozessoren-Änderungen informiert zu werden und gegebenenfalls Einspruch zu erheben.
**5. Datensicherung und Encryption**
Adobe bietet verschiedene Sicherheitsmaßnahmen: SSL/TLS-Encryption für Datentransfer, Verschlüsselung in Ruhe (je nach Konfiguration), Multi-Faktor-Authentifizierung für Account-Zugang, regelmäßige Security-Audits.
**6. Experience Cloud ID (ECID) und Cross-Domain-Tracking**
Die ECID ermöglicht Nutzer-Verfolgung über mehrere Adobe-Produkte hinweg (Analytics, Target, Audience Manager) und sogar über mehrere Domains. Dies erhöht die Reichweite des Trackings und erfordert transparente Kommunikation in der Datenschutzerklärung.
**7. Datenexport und Data Warehouse**
Webseitenbetreiber können Daten aus Adobe Analytics exportieren und für BI-Zwecke oder externe Analysen nutzen. Dies ist zulässig, der Webseitenbetreiber wird aber zur Verantwortlichen für diese exportierten Daten und muss eigene Sicherungsmaßnahmen treffen.
**8. Cookies und Nutzer-Kontrolle**
Adobe Analytics setzt typischerweise First-Party-Cookies (z.B. „s\_vi", „s\_ecid"). Bei Einsatz von Consent-Management-Plattformen (CMPs) sollte das Cookie-Banner transparent über Adobe-Cookies berichten und Nutzer-Kontrollen anbieten.
## I. FAQ zu Adobe Analytics [#i-faq-zu-adobe-analytics]
Adobe Analytics ist eine Enterprise-Webanalyse-Plattform von Adobe. Sie erfasst umfassend Nutzerdaten (Seitenkontakte, Klicks, Conversions, technische Daten) über einen JavaScript-Tracking-Code (AppMeasurement) und bietet detaillierte Reports, Segmentierung, Attribution-Analyse und Machine-Learning-basierte Insights.
Adobe Analytics funktioniert als Auftragsverarbeiter (Data Processor) im Sinne von DSGVO Art. 28. Der Webseitenbetreiber ist alleiniger Verantwortlicher. Dies bedeutet, dass der Betreiber die volle Rechenschaftspflicht trägt, ein DPA erforderlich ist, und Adobe Daten nicht für eigene Zwecke nutzen darf.
Adobe Analytics erfasst Seiten-Views, Klickpfade, Conversion-Ereignisse, Geräte-Informationen, Browser-Daten, Visitor-IDs (zur Verfolgung über mehrere Besuche), und benutzerdefinierte Variablen, die der Webseitenbetreiber definiert. Je nach Konfiguration auch Standort-Daten (IP-basiert) und kundenspezifische Nutzer-IDs.
Die Rechtsgrundlage ist typischerweise berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO) für reine Website-Optimierung; oder Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) für tiefergehendes Tracking mit Nutzer-Identifizierung. Eine konservative Positionierung ist, Analytics-Cookies als einwilligungspflichtig zu behandeln.
Ja, definitiv. Ein DPA ist eine Pflicht-Voraussetzung für die DSGVO-konforme Nutzung. Adobe stellt einen Standard-DPA zur Verfügung, der auch Standard Contractual Clauses (SCCs) für Datenübermittlungen in die USA enthält. Der Webseitenbetreiber muss diesen abrufen und aufbewahren.
Ja, Adobe Inc. und ihre Tochtergesellschaften sind DPF-zertifiziert. Dies ermöglicht Datenübermittlungen in die USA auf Basis eines Angemessenheitsbeschlusses (Art. 45 DSGVO). Zusätzlich bietet Adobe SCCs als zusätzliche Sicherungsmaßnahme.
Ein separater „Adobe Analytics"-Absatz ist optional. Stattdessen wird ein integrierter Ansatz empfohlen: Zentrale Erklärung der Zwecke (Website-Analyse, Optimierung, Leistungsmessung), Rechtsgrundlagen (berechtigte Interessen oder Einwilligung), und eine Empfängertabelle, die Adobe als Auftragsverarbeiter ausweist. Ein Hinweis auf DPF-Zertifizierung, SCCs, und die Verfügbarkeit des DPA sollte nicht fehlen.
## J. Fazit und Empfehlung zu Adobe Analytics [#j-fazit-und-empfehlung-zu-adobe-analytics]
Adobe Analytics ist eine leistungsstarke Enterprise-Webanalyse-Lösung mit tiefgreifenden Tracking- und Analysefunktionen. Datenschutzrechtlich ist die Struktur klar: Adobe fungiert als Auftragsverarbeiter, der Webseitenbetreiber ist alleiniger Verantwortlicher.
Die kritischen Anforderungen sind: (1) ein formaler Datenverarbeitungsvertrag (DPA) mit Adobe, (2) transparente Kommunikation in der Datenschutzerklärung über die Datenverarbeitung in die USA und die Sicherungsmaßnahmen (DPF, SCCs), und (3) klarheit über die Rechtsgrundlage (berechtigte Interessen vs. Einwilligung).
Eine Datenschutzerklärung kann Adobe Analytics integriert darstellen (nicht als isolierter Absatz), mit expliziter Nennung als Auftragsverarbeiter, Hinweis auf den DPA, und Information über Datenübermittlung und Schutzmaßnahmen. Eine DSFA (Datenschutz-Folgenabschätzung) ist empfohlen, insbesondere bei großen Datenmengen oder sensiblen Kategorien.
Dieser Beitrag dient der allgemeinen Information zu Adobe Analytics und ersetzt keine rechtliche Beratung im Einzelfall. Die Angaben beruhen auf Herstellerangaben (Adobe), öffentlich zugänglichen Quellen und der DSGVO. Stand: 2026-04-22.
# Adobe Target und Datenschutz – Was Webseitenbetreiber wissen müssen (/docs/privacy-policy-website/adobe-target-datenschutzerklaerung)
# Adobe Target und Datenschutz – Was Webseitenbetreiber wissen müssen [#adobe-target-und-datenschutz--was-webseitenbetreiber-wissen-müssen]
Setzt ein Webseitenbetreiber Adobe Target ein, verarbeitet er Besucherdaten zum Zweck der Personalisierung und A/B-Testing auf Basis von Einwilligung und berechtigten Interessen. Adobe Target ist ein Personalisierungs- und Testinginstrument, das Webseitenbetreibern ermöglicht, Besucher in Gruppen zu teilen und ihnen unterschiedliche Versionen von Inhalten oder Produkten zu zeigen, um Konversionsraten zu optimieren. Diese Datenschutzerklärung richtet sich an Webseitenbetreiber und erläutert, welche Angaben zu Adobe Target rechtlich in die eigene Datenschutzerklärung gehören.
## A. Zweck und Funktionsweise von Adobe Target [#a-zweck-und-funktionsweise-von-adobe-target]
Adobe Target wird in der Regel über ein JavaScript-Snippet (Client-seitig) oder über Serveraufrufe in die Website integriert. Das Tool erfasst automatisch Daten über das Nutzerverhalten und Geräteattribute. Auf dieser Basis erstellt Adobe Target Nutzersegmente und zeigt dem Besucher automatisch eine von mehreren vordefiniert getesteten Versionen an (A/B-Test oder multivariates Testen).
Ein Webseitenbetreiber nutzt Adobe Target typischerweise, um zu optimieren, welche Produktdetailseite, welcher Checkout-Prozess, welche Headline oder welche Marketingbotschaft zu höherer Konversion führt. Adobe Target speichert Klick- und Nutzungspfade, erstellt auf Basis davon Verhaltensprofile und versendet diese an Adobe-Systeme zur Zentralverarbeitung, Profilenreichment und zum Machine-Learning-Training.
Die Integration erfolgt durch ein JavaScript-Tag oder eine Server-API. Das Tag wird entweder direkt in den HTML-Code der Website oder über einen Tag Manager (Google Tag Manager, Adobe Launch) eingebunden. Für Backend-Implementierungen werden API-Aufrufe mit Besucherkennungen gesendet.
## B. Pflichtangaben in der Datenschutzerklärung zu Adobe Target [#b-pflichtangaben-in-der-datenschutzerklärung-zu-adobe-target]
Nach DSGVO Art. 13 Abs. 1 lit. c muss ein Webseitenbetreiber die **Zwecke** der Verarbeitung offenlegen. Art. 13 Abs. 1 lit. d verlangt die **Rechtsgrundlagen**, Art. 13 Abs. 1 lit. e die **Empfänger oder Kategorien von Empfängern**. Art. 13 Abs. 1 lit. f fordert, dass **Drittlandtransfers** (z. B. in die USA) offengelegt und begründet werden.
Hinweis: **Toolspezifische Textbausteine sind problematisch.** Art. 12 Abs. 1 DSGVO verlangt, dass Datenschutzerklärungen in einer **klaren und verständlichen Sprache** verfasst werden. Ein Textbaustein, der bloß kopiert und eingefügt wird und nur von Adobe Target spricht, zeigt nicht die konkrete Verarbeitung auf dieser Website und verstoßt gegen das Transparenzgebot. Besser: Der Webseitenbetreiber beschreibt themenorientiert (z. B. unter „Optimierung und Personalisierung"), welche Daten zu diesem Zweck verarbeitet werden, von welchen Tools und auf welcher Rechtsgrundlage.
Am Ende der Datenschutzerklärung empfiehlt sich ein **Empfänger-Anhang**, der alle Auftragsverarbeiter und deren Zwecke bündelt.
## C. Anbieter von Adobe Target: Adobe Systems Software Ireland Limited [#c-anbieter-von-adobe-target-adobe-systems-software-ireland-limited]
**Juristischer Name:** Adobe Systems Software Ireland Limited\
**Anschrift:** 4-6 Riverwalk, Citywest Business Campus, Dublin 24, D24 AV82, Irland\
**Sitzland:** Irland (Europäischer Wirtschaftsraum)\
**Rolle:** Auftragsverarbeiter
**DPF-Status:** Adobe Inc. (USA) ist DPF-zertifiziert. Weitere Informationen unter [https://www.adobe.com/de/privacy/policy.html](https://www.adobe.com/de/privacy/policy.html)
**Data Processing Addendum (DPA/AVV):** Adobe stellt ein DPA bereit, das Webseitenbetreiber mit Adobe abschließen müssen, bevor sie Adobe Target nutzen. Das DPA regelt die Verarbeitung personenbezogener Daten auf Weisung des Webseitenbetreibers und enthält Verpflichtungen zum Datenschutz, Subprozessoren, Datenübermittlung in Drittländer und Datensicherheit.
## D. Datenverarbeitung durch Adobe Target – Ablauf [#d-datenverarbeitung-durch-adobe-target--ablauf]
### Erhebung [#erhebung]
Adobe Target erfasst Daten durch sein Client-seitiges JavaScript-Tag. Die Daten werden beim Besuch der Website erhoben und umfassen Besucherkennung, Geräteattribute, Klickpfade, Seiteninhalte, Conversion-Events und zeitliche Metadaten. Der Webseitenbetreiber kann zusätzlich auch Daten über Datenschicht-Variablen an Adobe Target übergeben.
### Speicherung [#speicherung]
Adobe Target speichert die Daten in seinen Systemen, die sich in den USA befinden. Die Speicherdauer beträgt typischerweise 30 Tage (für Besuchersegmente und Aktivitätsdaten), längere Zeiträume sind konfigurierbar.
### Nutzung [#nutzung]
Adobe Target nutzt die Daten, um (a) Besuchersegmente aufzubauen, (b) Aktivitäten (Tests) auszuwählen, (c) A/B-Tests durchzuführen, (d) dem Besucher eine Testvariante zu zeigen, und (e) Berichte für den Webseitenbetreiber zu generieren.
### Weitergabe [#weitergabe]
Adobe kann die Daten an Subprozessoren weitergeben (z. B. zu Analysezwecken oder zum Speichern). Eine Liste der Subprozessoren findet sich in Adobes DPA. Zudem erfolgt eine Weitergabe in die USA als Drittland; Adobe stützt sich auf die DPF und ggf. Standard Contractual Clauses (SCC).
### Löschung [#löschung]
Nach Ablauf der konfigurierten Speicherfrist löscht oder anonymisiert Adobe Target die Daten automatisch. Ein Webseitenbetreiber kann Daten auf Anfrage auch vorzeitig löschen lassen.
## E. Erhobene Daten beim Einsatz von Adobe Target [#e-erhobene-daten-beim-einsatz-von-adobe-target]
Adobe Target erfasst automatisch eine Vielzahl von Daten über Besucher. Der Umfang kann durch den Webseitenbetreiber konfiguriert werden (z. B. welche Daten via Datenschicht übertragen werden).
Diese Daten lassen sich in folgende standardisierte Datenarten-Klassen einordnen:
* **Webserver-Protokolldaten**: IP-Adresse, Datum/Uhrzeit/Zeitzone, URL, Referrer, Browser/OS/Gerät, technische Metadaten
* **Klickpfade**: Besuchte Seiten inklusive Referrer, angeklickte Links/Schaltflächen mit Datum/Uhrzeit
* **Endgeräte-Daten**: Gerätetyp, Betriebssystem, Bildschirmauflösung/-größe, Ausrichtung, Touch-Unterstützung
* **Browserinformationen**: Browsername, Browserversion, installierte Erweiterungen
* **Nutzerprofile**: Interessen, Präferenzen, Segmentzuordnungen, Nutzungshistorien, abgeleitete Kennzahlen
* **Conversion-Ereignisse**: Registrierung, Warenkorberstellung, Produktkauf, Terminbuchung, Kontaktanfrage, Download, Videoansicht, Aufruf bestimmter Seiten
* **Interaktionsdaten**: Scrollbewegungen, Mausbewegungen, Tastendrücke, Mauszeigerposition, Touch-Bewegungen, Klicks
* **Technische Telemetriedaten**: Fehlermeldungen, Ladezeiten, Datenvolumen
Diese Information beruht auf Anbieterangaben und öffentlich zugänglichen Quellen (Adobe dokumentiert seine Datenerfassung in technischen Dokumentationen und dem DPA).
## F. Nutzungszwecke beim Einsatz von Adobe Target [#f-nutzungszwecke-beim-einsatz-von-adobe-target]
Adobe Target wird in der Regel zu folgenden Zwecken eingesetzt:
* **Nutzerindividuelle Produktverbesserung**: A/B-Tests, Multivariates Testen, personalisierte Inhalte, personalisierte Angebote
* **Allgemeine Produktverbesserung**: Optimierung auf Basis häufig aufgerufener Inhalte oder hoher Konversionsraten, Nutzungsfreundlichkeit, Geschäftsplanung
* **Allgemeines Marketing**: Erfolgsmessung von Kampagnen, Reichweitenanalyse, Zielgruppendefinition
* **Nutzerprofil-Erstellung**: Ermittlung von Interessen, Kaufverhalten, Segmenten
* **Funktionsbereitstellung**: Erbringung der Produktfunktionalität, Fehlererkennung/-behebung
* **Sicherheit und Missbrauchsschutz**: Angriffserkennung, Betrugsprävention
## G. Rechtsgrundlagen für Adobe Target [#g-rechtsgrundlagen-für-adobe-target]
Adobe Target ist ein Tracking- und Personalisierungstool. Für die Datenverarbeitung sind folgende Rechtsgrundlagen relevant:
1. **Einwilligung (Art. 6 Abs. 1 lit. a DSGVO i.V.m. § 25 Abs. 1 TDDDG):** Für Cookies und ähnliche Speichertechnologien, die Adobe Target nutzt, um Besucher zu identifizieren und ihre Aktivitäten zu verfolgen, ist nach deutschem Recht eine ausdrückliche Einwilligung erforderlich. Diese muss vor dem Setzen des Cookies erfolgen und sich explizit auf Adobe Target beziehen oder zumindest auf „Optimierung und Personalisierung" oder „Marketing-Cookies".
2. **Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO):** Soweit Adobe Target nur zur Verbesserung der Website-Funktionalität eingesetzt wird (z. B. Error-Tracking zur Fehlerbehebung), können berechtigte Interessen des Webseitenbetreibers herangezogen werden. Dies setzt eine Interessenabwägung voraus.
Hinweis: Eine Einzelfallprüfung mit rechtlicher Beratung ist notwendig, da die Grenze zwischen Funktionsbereitstellung und Profiling fließend ist.
## H. Besonderheiten und Hinweise zu Adobe Target [#h-besonderheiten-und-hinweise-zu-adobe-target]
* **Cookie-Management**: Adobe Target setzt selbst Cookies (z. B. `mbox`) und nutzt First-Party-Cookies, um Besucher zu erkennen. Der Webseitenbetreiber muss diese Cookies in der Datenschutzerklärung aufzählen.
* **DPF und SCC**: Adobe stützt sich für Drittlandtransfers auf die Data Privacy Framework (DPF) sowie Standard Contractual Clauses (SCC). Der Webseitenbetreiber sollte auf die DPF-Zertifizierung hinweisen.
* **Subprozessoren**: Adobe arbeitet mit Subprozessoren zusammen. Eine aktuelle Liste sollte mit Adobe abgestimmt werden.
* **Datensicherheit**: Adobe ist ISO 27001 zertifiziert und implementiert technische und organisatorische Maßnahmen (TOM).
* **Opt-Out-Optionen**: Besucher können Adobe Target deaktivieren. Der Webseitenbetreiber sollte einen Opt-Out-Link in der Datenschutzerklärung anbieten.
## I. FAQ zu Adobe Target [#i-faq-zu-adobe-target]
Adobe Target ist ein Personalisierungs- und A/B-Testing-Tool von Adobe, das Webseitenbetreibern ermöglicht, Inhalte dynamisch an einzelne Besucher anzupassen und mehrere Varianten zu testen, um Konversionsraten zu optimieren.
Adobe Target erfasst Besucherkennungen, Geräteattribute, Klickpfade, Seiteninhalte, Conversion-Events, Zeitstempel und optional Daten aus der Website-Datenschicht. Auch IP-Adressen und Browser-User-Agents werden verarbeitet.
Für das Setzen von Cookies und Tracking ist eine Einwilligung nach § 25 Abs. 1 TDDDG erforderlich. Für reine Funktionsbereitstellung können berechtigte Interessen herangezogen werden. Eine rechtliche Bewertung im Einzelfall wird empfohlen.
Ja, in Deutschland ist eine explizite, informierte Einwilligung vor dem Setzen von Adobe Target Cookies erforderlich. Diese sollte durch ein Cookie-Consent-Banner erfolgen.
Anstelle eines Adobe Target-spezifischen Bausteins wird empfohlen, einen themenorientierten Absatz unter „Personalisierung und Optimierung" einzuführen. Nutzen Sie den matterius Privacy Policy Generator, um automatisiert eine DSGVO-konforme Datenschutzerklärung zu erstellen.
## J. Fazit und Empfehlungen zu Adobe Target [#j-fazit-und-empfehlungen-zu-adobe-target]
Adobe Target ist ein leistungsstarkes Personalisierungstool, das aber mit erheblichen Datenschutzverpflichtungen verbunden ist. Ein Webseitenbetreiber muss gewährleisten, dass Einwilligungen vorliegen, dass die Drittlandtransfers in die USA rechtlich begründet sind, und dass die Datenschutzerklärung transparent erklärt, welche Daten für welche Zwecke verarbeitet werden.
Toolspezifische Textbausteine, die bloß kopiert werden, widersprechen dem Transparenzgebot nach Art. 12 Abs. 1 DSGVO. Besser ist ein themenorientierter Ansatz, der konkret beschreibt, wie Adobe Target auf dieser Website eingesetzt wird und welche Konsequenzen das für die Besucher hat. Ein **Empfänger-Anhang** zur Datenschutzerklärung, der alle Auftragsverarbeiter aufzählt, schafft zusätzliche Klarheit.
Webseitenbetreiber sollten sich zudem absichern, dass mit Adobe ein vollständiges und aktuelles **Data Processing Addendum (DPA)** vorliegt und dass sie alle Subprozessoren kennen.
Dieser Beitrag dient der allgemeinen Information zu Adobe Target und ersetzt keine rechtliche Beratung im Einzelfall. Die Informationen beruhen auf Anbieterangaben und öffentlich zugänglichen Quellen (Stand: 2026-04-22). Webseitenbetreiber sollten ihre Datenschutzerklärung mit einem Datenschutzbeauftragten oder Rechtsanwalt abstimmen.
# Adyen Payments und Datenschutz – Was in die Datenschutzerklärung gehört (/docs/privacy-policy-website/adyen-datenschutzerklaerung)
# Adyen Payments und Datenschutz – Was Webseitenbetreiber wissen müssen [#adyen-payments-und-datenschutz-â-was-webseitenbetreiber-wissen-mãssen]
Setzt ein Webseitenbetreiber Adyen als Zahlungsanbieter ein, verarbeitet er Zahlungs- und Kundeninformationen (Kontodaten, Transaktionsdaten, Kartennummern, Rechnungsadress) zum Zweck der Zahlungsabwicklung, Betrugsprävention und Compliance auf Basis von Vertragsdurchführung (Art. 6 Abs. 1 lit. b DSGVO), rechtlicher Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO – AML, Geldwäschebekämpfung) und berechtigten Interessen (Art. 6 Abs. 1 lit. f DSGVO – Betrugsprävention, Sicherheit). Adyen ist ein in den Niederlanden ansässiges EU-Unternehmen und agiert sowohl als eigenständiger Datenverantwortlicher als auch als Auftragsverarbeiter. Diese Anleitung erklärt, welche Informationen in die Datenschutzerklärung gehören und welche Besonderheiten bei Adyen zu beachten sind.
## A. Zweck und Funktionsweise von Adyen [#a-zweck-und-funktionsweise-von-adyen]
Adyen ist ein globaler Zahlungsdienstleister und Acquirer, der es Online- und Offline-Shops ermöglicht, Zahlungen zu akzeptieren. Der Webseitenbetreiber integriert Adyen typischerweise über ein Zahlungs-Formular oder einen Checkout-Flow in seinen Shop oder E-Commerce-System. Adyen unterstützt verschiedene Zahlungsmethoden und Funktionalitäten:
* **Kreditkarten- und Debitkartenverarbeitung**: Visa, Mastercard, American Express, etc.
* **Alternative Zahlungsmethoden**: PayPal, Apple Pay, Google Pay, Sofort, Ideal, Giropay, etc.
* **Zahlungsgateway und -verarbeitung**: Sichere Verarbeitung und Weitergabe an Banken und Kartennetzwerke
* **Fraud Detection und Betrugsprävention**: Echtzeit-Analyse von Transaktionen auf verdächtige Muster
* **Compliance und AML**: Automatische Überprüfung auf Geldwäscherisiken, Sanktionslisten-Screening
* **Reporting und Analytik**: Detaillierte Transaktions- und Umsatzberichte für den Betreiber
Die Integration erfolgt üblicherweise über einen Adyen API-Call oder über ein gehostetes Zahlungs-Formular (Adyen Hosted Payment Page). Bei der Zahlung werden Kartendaten oder Kontodetails direkt an Adyen übermittelt (nicht zum Webseitenbetreiber) – das ist ein wichtiger Sicherheitsmechanismus.
## B. Pflichtangaben in der Datenschutzerklärung zu Adyen [#b-pflichtangaben-in-der-datenschutzerklãrung-zu-adyen]
Nach der DSGVO muss ein Webseitenbetreiber in seiner Datenschutzerklärung transparent offenlegen, welche Daten verarbeitet werden, zu welchen Zwecken und auf welcher Rechtsgrundlage. Bei Adyen sind folgende Angaben erforderlich:
* **Zwecke**: Zahlungsabwicklung, Betrugserkennung, Compliance (AML/KYC), Bankkontenverifizierung, Reporting
* **Rechtsgrundlagen**: Vertragsdurchführung (Art. 6 Abs. 1 lit. b – Zahlungsabwicklung), rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c – AML, KYC, GwG), berechtigte Interessen (Art. 6 Abs. 1 lit. f – Betrugsprävention, Sicherheit)
* **Empfänger/Kategorien**: Adyen N.V., Banken, Kartennetzwerke (Visa, Mastercard), externe Fraud-Detection-Services, ggf. Regulierungsbehörden
* **Drittlandtransfers**: Nicht erforderlich (Adyen ist EU-basiert), aber Daten können zu internationalen Partnern weitergeleitet werden (z.B. Kartennetzwerke, Correspondent Banks)
* **Speicherdauer**: Je nach Datenart und Rechtsgrundlage; typischerweise 6-10 Jahre für Compliance
* **Datenkategorien**: Siehe Abschnitt E
**Wichtiger Hinweis**: Zahlungsdaten sind hochsensibel und unterliegen besonderen Regulierungen (PCI DSS). Der Webseitenbetreiber sollte transparente und detaillierte Angaben machen, ohne dabei sensible Kartennummern preiszugeben. Der matterius-Generator erstellt solche Formulierungen mit hohem Datenschutz-Standard.
## C. Anbieter von Adyen: Adyen N.V. [#c-anbieter-von-adyen-adyen-nv]
**Juristischer Name**: Adyen N.V.\
**Anschrift**: Simon Carmiggeltstraat 6-50, 1011 DJ Amsterdam, Niederlande\
**Sitzland**: Niederlande (Europäische Union)\
**DPF-Status**: Nicht erforderlich (EU-Unternehmen, nicht US-basiert)\
**Datenschutzerklärung**: [https://www.adyen.com/policies-and-disclaimer/privacy-policy](https://www.adyen.com/policies-and-disclaimer/privacy-policy)\
**Datenbeauftragter (DPO)**: [dpo@adyen.com](mailto:dpo@adyen.com)\
**LGPD-Kontakt (Brasilien)**: [lgpd@adyen.com](mailto:lgpd@adyen.com)\
**AVV/DPA**: Data Processing Agreement ist verfügbar und sollte mit Adyen vereinbart werden. Adyen fungiert teilweise als Auftragsverarbeiter (für bestimmte Prozesse) und teilweise als eigenständiger Verantwortlicher (für Compliance).
## D. Datenverarbeitung durch Adyen – Ablauf [#d-datenverarbeitung-durch-adyen-â-ablauf]
### Erhebung [#erhebung]
Der Kunde tätigt eine Bestellung im E-Shop des Webseitenbetreibers. Im Checkout-Prozess wird ein Adyen-Zahlungsformular oder eine gehostete Zahlungsseite geladen. Der Kunde gibt seine Zahlungsmethode ein (z.B. Kreditkartendaten, PayPal-Anmeldung, Bankkonto). Diese Daten werden direkt an Adyen-Server übermittelt (nicht zum Webseitenbetreiber). Zusätzlich erfasst Adyen Metadaten: IP-Adresse, Geräteinformationen, Browser, Timestamp, Rechnungsadresse (falls eingegeben).
### Speicherung [#speicherung]
Adyen speichert Zahlungsdaten, Transaktionsdaten und Kundeninformationen auf Servern in den Niederlanden und ggf. in anderen europäischen Rechenzentren. Kartennummern werden nicht dauerhaft gespeichert – stattdessen wird ein "Token" generiert, der für zukünftige Zahlungen ohne erneute Karteneingabe verwendet kann (sofern das der Kunde akzeptiert hat). Transaktionsdaten und Kundendaten werden für 6-10 Jahre gespeichert (je nach Rechtsgrundlage und lokalen Vorschriften).
### Nutzung [#nutzung]
Adyen nutzt die Daten zur Autorisierung der Transaktion, zur Kommunikation mit Banken und Kartennetzwerken, zur Fraud-Detection (automatische Analyse auf verdächtige Muster), zur Compliance-Überprüfung (AML/KYC – Sanktionslisten, Geldwäscherisiken) und zur Erstellung von Transaktionsberichten für den Webseitenbetreiber. Adyen darf diese Daten auch zu Compliance- und Audit-Zwecken nutzen.
### Weitergabe [#weitergabe]
Adyen teilt Zahlungsdaten mit Banken, Kartennetzwerken (Visa, Mastercard), Correspondent Banks für internationale Zahlungen und ggf. mit externen Fraud-Detection- und Compliance-Services. Bei Bedarf werden Daten auch an Regulierungsbehörden und Strafverfolgungsbehörden weitergegeben (auf rechtliche Anordnung hin). Der Webseitenbetreiber kann optional auch Adyen-Zahlungsdaten an sein internes CRM oder Accounting-System exportieren – dies liegt aber in der Verantwortung des Webseitenbetreibers.
### Löschung [#lãschung]
Kartennummern werden nicht dauerhaft gespeichert (PCI DSS Anforderung). Transaktionsdaten und Kundendaten werden für einen konfigurierten Zeitraum (typischerweise 6-10 Jahre, abhängig von lokalen Steuer- und AML-Vorschriften) aufbewahrt. Nach Ablauf der Aufbewahrungsfrist werden sie automatisch gelöscht. Ein manueller Lösch-Request ist unter bestimmten Bedingungen möglich (z.B. wenn keine Compliance-Gründe gegen Löschung sprechen) – Adyen prüft dies einzeln.
## E. Erhobene Daten beim Einsatz von Adyen [#e-erhobene-daten-beim-einsatz-von-adyen]
Adyen erfasst verschiedene Kategorien von Daten, abhängig von der Zahlungsmethode und dem integrierten Prozess. Diese Daten lassen sich in folgende standardisierte Datenarten-Klassen einordnen:
* **Nutzungskonto-Daten**: Benutzername/-kennung (falls angemeldet), E-Mail-Adresse, Telefonnummer
* **Kontoauthentifizierung**: Passwort (bei PayPal, Bank-Konten, etc. – einwegverschlüsselt, nicht bei Kreditkarten)
* **Zahlungsmethoden-Daten**: Kartennummer (erste und letzte 4 Ziffern), Ablaufdatum, CVV (temporär verarbeitet), Kontoinhaber, Rechnungsadresse, Adresse des Kartenmahlers
* **Transaktionsdaten**: Betrag, Währung, Referenznummer, Timestamp, Geschäftscode
* **Webserver-Protokolldaten**: IP-Adresse, Datum/Uhrzeit, User-Agent, Browser/OS, Referrer
* **Endgeräte-Daten**: Gerätetyp, Betriebssystem, Bildschirmauflösung
* **Kontoauthentifizierung & Login-Daten**: Login-Verläufe (für wiederkehrende Zahlungen)
* **Technische Telemetriedaten**: Fehler, Ladezeiten, Timeout-Events
* **Grobe Standortdaten**: IP-basierter Standort (optional für Betrugsbekämpfung)
* **Conversion-Ereignisse**: Zahlungsabschluss, Zahlungsfehler, Zahlung nicht autorisiert
Optional können auch Biometriedaten erfasst werden, wenn der Kunde 3D Secure oder biometrische Autorisierung nutzt (z.B. Fingerprint, Face Recognition).
## F. Nutzungszwecke beim Einsatz von Adyen [#f-nutzungszwecke-beim-einsatz-von-adyen]
Adyen verarbeitet Daten zu mehreren klar definierten Zwecken. Diese Daten lassen sich in folgende Zweck-Klassen einordnen:
* **Vertragsdurchführung**: Autorisierung und Abwicklung von Zahlungen, Generierung von Transaktionsberichten
* **Funktionsbereitstellung**: Bereitstellung des Zahlungs-Gateways, Fehlerbehandlung, technischer Support
* **Sicherheit und Missbrauchsschutz**: Echtzeit-Fraud-Detection, Erkennung verdächtiger Muster, Schutz vor Chargeback-Betrug
* **Compliance**: Überprüfung auf Sanktionslisten (AML/KYC), Geldwäschebekämpfung (GwG), Einhaltung von Regulierungsanforderungen
* **Rechtsdurchsetzung**: Nachweis von Transaktionen, Chargeback-Management, Dispute Resolution
* **Allgemeines Marketing**: Generierung von Geschäfts- und Umsatzberichten für den Webseitenbetreiber (aggregiert, nicht personalisiert)
## G. Rechtsgrundlagen für Adyen [#g-rechtsgrundlagen-fãr-adyen]
Die Verarbeitung von Zahlungsdaten durch Adyen basiert auf mehreren kombinierten Rechtsgrundlagen:
1. **Vertragsdurchführung (Art. 6 Abs. 1 lit. b DSGVO)**: Die Zahlungsabwicklung ist Bestandteil des Kaufvertrags zwischen Kunde und Webseitenbetreiber. Die Übermittlung an Adyen ist notwendig für die Erfüllung dieses Vertrags.
2. **Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO)**: Adyen ist verpflichtet, Anti-Money-Laundering (AML), Know-Your-Customer (KYC) und Geldwäschebekämpfungsgesetze (GwG in Deutschland, AML-Richtlinien in der EU) einzuhalten. Diese Verarbeitung ist gesetzlich erzwungen.
3. **Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO)**: Fraud-Detection und Betrugsprävention sind berechtigte Interessen sowohl von Adyen als auch des Webseitenbetreibers. Der Schutz vor Chargeback und Fraud überwiegt üblicherweise die Interessen des Kunden.
**Die Kombinationen können kompliziert sein.** Eine transparente Darstellung in der Datenschutzerklärung ist essentiell. Der matterius-Generator berücksichtigt alle drei Rechtsgrundlagen und fasst sie in einer verständlichen Form zusammen.
## H. Besonderheiten und Hinweise zu Adyen [#h-besonderheiten-und-hinweise-zu-adyen]
* **Rolle: Eigenständiger Verantwortlicher UND teilweise Auftragsverarbeiter**: Adyen agiert primär als eigenständiger Datenverantwortlicher (für AML, Fraud-Detection, Compliance), kann aber für bestimmte Prozesse auch als Auftragsverarbeiter fungieren. Ein DPA/AVV sollte vereinbart werden, um diese Rollen zu klären.
* **Kartenschutz und PCI DSS**: Adyen ist PCI DSS Level 1 zertifiziert. Kartennummern werden nicht dauerhaft gespeichert; stattdessen wird ein Token verwendet. Das ist ein hoher Sicherheitsstandard.
* **AML und KYC**: Adyen führt automatische Überprüfungen gegen Sanktionslisten, PEP-Datenbanken (Politically Exposed Persons) und Geldwäscherisiko-Indikatoren durch. Diese Daten können für 6-10 Jahre gespeichert werden.
* **Interne Weitergabe**: Adyen-Subprozessoren und Partner (z.B. Correspondent Banks, Fraud-Detection-Services) erhalten Zugang zu Zahlungsdaten. Eine Liste sollte auf Anfrage einsehbar sein.
* **Token für wiederkehrende Zahlungen**: Wenn der Kunde zustimmt, kann Adyen ein Zahlungs-Token speichern, um zukünftige Zahlungen ohne erneute Karteneingabe zu verarbeiten. Dies ist hilfreich für Abonnements, muss aber explizit in den AGB und Datenschutzerklärung dokumentiert sein.
* **Chargebacks und Dispute-Handling**: Adyen speichert Transaktionsdaten für Chargebacks und Dispute-Handling länger als für reine Verarbeitungszwecke (bis zu 540 Tage).
* **Keine Drittlandtransfers (EU-Basis)**: Da Adyen in den Niederlanden angesiedelt ist, erfolgen keine Transfers in unsichere Drittländer. Allerdings können Daten zu internationalen Kartennetzwerken und Correspondent Banks übermittelt werden – dies muss dokumentiert sein.
## I. FAQ zu Adyen [#i-faq-zu-adyen]
Adyen ist ein globaler Zahlungsdienstleister und Payment Acquirer, der es Online-Shops ermöglicht, Zahlungen (Kreditkarten, PayPal, etc.) zu akzeptieren. Adyen verarbeitet die Zahlungen, prüft auf Betrug und Compliance und leitet die Daten an Banken und Kartennetzwerke weiter.
Adyen erfasst Zahlungsmethoden-Daten (Kartennummer, Ablaufdatum, CVV – nur temporär), Rechnungsadresse, IP-Adresse, Browser-Informationen, Transaktionsbetrag/-dauer und optional Geräte-Fingerprints für Fraud-Detection. Kartennummern werden nicht dauerhaft gespeichert (PCI DSS).
Mehrere kombiniert: Vertragsdurchführung (Art. 6 Abs. 1 lit. b – Zahlungsabwicklung), rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c – AML/KYC/GwG), berechtigte Interessen (Art. 6 Abs. 1 lit. f – Fraud-Detection, Sicherheit). Alle drei sind nebeneinander erforderlich und sollten in der Datenschutzerklärung erklärt sein.
Ja. Adyen ist PCI DSS Level 1 zertifiziert, die höchste Sicherheitsstufe. Kartennummern werden nicht im System des Webseitenbetreibers gespeichert – sie gehen direkt an Adyen. Token werden für wiederkehrende Zahlungen verwendet, nicht vollständige Kartennummern.
Kartennummern: nicht dauerhaft (nur temporär für Autorisierung). Transaktionsdaten: typischerweise 6-10 Jahre (abhängig von lokalen Steuer-, AML- und Compliance-Anforderungen). Chargebacks können 540 Tage lang gespeichert werden. Genaue Dauer vom Betreiber mit Adyen zu vereinbaren.
Ja. Adyen stellt ein Data Processing Agreement (DPA) zur Verfügung, das die Rolle von Adyen als Auftragsverarbeiter (für bestimmte Prozesse) definiert. Dieses sollte unterzeichnet sein. Adyen fungiert aber auch teilweise als eigenständiger Verantwortlicher (für AML/Compliance).
Ein guter Textbaustein erklärt dass Adyen ein Zahlungsdienstleister ist, nennt die Zwecke (Zahlungsabwicklung, Fraud-Detection, AML/Compliance), die Rechtsgrundlagen (Vertrag, Rechtliche Verpflichtung, berechtigte Interessen), die Speicherdauer und verweist auf Adyens Privacy Policy. Der matterius-Generator erstellt solche Formulierungen mit hohem Datenschutz-Standard und berücksichtigt die komplexen Rechtsgrundlagen.
## J. Fazit und Empfehlung zu Adyen [#j-fazit-und-empfehlung-zu-adyen]
Adyen ist ein etablierter und sicherer Zahlungsdienstleister mit hohen Compliance- und Security-Standards (PCI DSS Level 1). Die Datenverarbeitung ist komplex, da mehrere Rechtsgrundlagen kombiniert sind (Vertrag, Rechtliche Verpflichtung, berechtigte Interessen). Für DSGVO-Konformität sind folgende Punkte essentiell: (1) Transparente Darstellung aller drei Rechtsgrundlagen, (2) Offenlegung der AML/KYC-Verarbeitung und deren langen Speicherdauer, (3) unterzeichnetes DPA/AVV mit Adyen, (4) Information über Token-Verwendung für wiederkehrende Zahlungen (falls genutzt), (5) Sicherheit-Certifications erwähnen (PCI DSS).
**Problematisch**: Ein vereinfachter Textbaustein, der nur "Zahlungsabwicklung" nennt, ohne AML/KYC und Speicherdauer zu erwähnen. Besser: Ein themenorientierter Ansatz im Abschnitt "Zahlungen und Compliance", der Adyen und andere Payment-Provider zusammen behandelt und die komplexen Rechtsgrundlagen klar erklärt. Diese Information beruht auf Anbieterangaben und öffentlich zugänglichen Quellen (Stand: 2026-04-22). Im Einzelfall kann rechtliche Beratung erforderlich sein.
Dieser Beitrag dient der allgemeinen Information zu Adyen und ersetzt keine rechtliche Beratung im Einzelfall. Stand: 2026-04-22.
# Akamai CDN und Datenschutz – Was Webseitenbetreiber wissen müssen (/docs/privacy-policy-website/akamai-cdn-datenschutzerklaerung)
# Akamai CDN und Datenschutz – Was Webseitenbetreiber wissen müssen [#akamai-cdn-und-datenschutz--was-webseitenbetreiber-wissen-müssen]
Nutzt ein Webseitenbetreiber Akamai als Content Delivery Network (CDN), verarbeitet Akamai Daten zum Zweck der Speicherung und Auslieferung von Inhalten sowie zur Sicherheit und Leistungsoptimierung auf Basis von berechtigten Interessen. Akamai ist einer der weltweit größten CDN-Anbieter und speichert Kopien von Website-Inhalten auf Servern in aller Welt, um schnellere Ladezeiten zu erreichen. Diese Datenschutzerklärung richtet sich an Webseitenbetreiber und erläutert, welche Angaben zu Akamai als CDN rechtlich in die eigene Datenschutzerklärung gehören.
## A. Zweck und Funktionsweise von Akamai CDN [#a-zweck-und-funktionsweise-von-akamai-cdn]
Ein Content Delivery Network (CDN) ist ein verteiltes Netzwerk von Servern, die Website-Inhalte geografisch näher an den Benutzer positionieren, um Ladezeiten zu verkürzen und die Verfügbarkeit zu verbessern. Akamai betreibt ein solches CDN mit Tausenden von Edge-Servern weltweit.
Wenn ein Besucher eine Website aufruft, deren Inhalte über Akamai ausgespielt werden, wird die Anfrage nicht direkt zum Origin-Server des Webseitenbetreibers geroutet, sondern zu einem geografisch nahen Akamai-Server. Dieser Server speichert eine Kopie des angeforderten Inhalts und übermittelt ihn an den Besucher. Bei der Auslieferung erfasst Akamai automatisch Server-Protokolldaten wie IP-Adressen, URLs, Referrer und technische Metadaten.
Die Integration erfolgt typischerweise über eine DNS-Umleitung (CNAME) oder über einen Proxy-Service. Der Webseitenbetreiber ändert die DNS-Einstellung seiner Domain, damit Anfragen über Akamai-Server geleitet werden, oder nutzt Akamai als Proxy vor seinem Origin-Server.
## B. Pflichtangaben in der Datenschutzerklärung zu Akamai CDN [#b-pflichtangaben-in-der-datenschutzerklärung-zu-akamai-cdn]
Nach DSGVO Art. 13 Abs. 1 lit. c muss ein Webseitenbetreiber die **Zwecke** der Verarbeitung offenlegen. Art. 13 Abs. 1 lit. d verlangt die **Rechtsgrundlagen**, Art. 13 Abs. 1 lit. e die **Empfänger oder Kategorien von Empfängern**. Art. 13 Abs. 1 lit. f fordert, dass **Drittlandtransfers** (z. B. in die USA) offengelegt und begründet werden.
Hinweis: **CDN-Verarbeitungen sind nicht toolspezifisch.** Ein themenorientierter Ansatz ist hier besser: Unter „Hosting und Infrastruktur" oder „Website-Bereitstellung" sollte erläutert werden, dass die Website auf verteilten Servern gehostet wird, um Leistung und Sicherheit zu verbessern. Ein **Empfänger-Anhang** zur Datenschutzerklärung, der alle Hosting- und Infrastruktur-Partner aufzählt, schafft Klarheit.
## C. Anbieter von Akamai CDN [#c-anbieter-von-akamai-cdn]
**Juristischer Name (Deutschland/EU):** Akamai Technologies GmbH (für europäische Kunden)\
**Anschrift (Deutschland):** Parkring 20-22, 85748 Garching bei München, Deutschland\
**Juristischer Name (weltweit):** Akamai Technologies Inc.\
**Sitzland:** USA (Massachusetts)\
**Sitzland der EU-Tochter:** Deutschland\
**Rolle:** Auftragsverarbeiter (Processor) oder gemeinsamer Verantwortlicher, je nach Konfiguration
**DPF-Status:** Akamai Technologies Inc. (USA) ist Data Privacy Framework (DPF) zertifiziert. Dies bedeutet, dass Akamai sich verpflichtet hat, Daten von EU-Bürgern gemäß den DPF-Prinzipien zu verarbeiten. Weitere Informationen unter [https://www.akamai.com/legal/data-privacy-framework-policy-statement](https://www.akamai.com/legal/data-privacy-framework-policy-statement)
**Datenschutzerklärung:** [https://www.akamai.com/legal/privacy-statement](https://www.akamai.com/legal/privacy-statement)
**Data Processing Addendum (DPA/AVV):** Akamai stellt ein DPA bereit, das Webseitenbetreiber abschließen müssen. Das DPA regelt die Verarbeitung personenbezogener Daten als Auftragsverarbeiter, Subprozessoren, Drittlandtransfers und Sicherheitsmaßnahmen.
## D. Datenverarbeitung durch Akamai CDN – Ablauf [#d-datenverarbeitung-durch-akamai-cdn--ablauf]
### Erhebung [#erhebung]
Bei jeder Anfrage an die Website erfasst Akamai Server-Protokolldaten automatisch: IP-Adresse des Besuchers, Datum/Uhrzeit, angeforderte URL, HTTP-Methode, HTTP-Status-Code, Referrer, Browser-User-Agent, Gerätetyp, Betriebssystem und andere technische Metadaten.
### Speicherung [#speicherung]
Akamai speichert diese Protokolldaten auf seinen Edge-Servern und in Zentralsystemen. Die Speicherdauer variiert; typischerweise beträgt sie zwischen einigen Tagen und mehreren Monaten. Der genaue Zeitrahmen sollte im DPA geklärt werden.
### Nutzung [#nutzung]
Akamai nutzt die Daten für (a) Sicherheitszwecke (DDoS-Schutz, Angriffserkennung), (b) Leistungsoptimierung, (c) Fehleranalyse, (d) Capacityplanung und (e) Reporting an den Webseitenbetreiber.
### Weitergabe [#weitergabe]
Akamai kann die Daten an Subprozessoren weitergeben (z. B. für Analyse oder Sicherheitsservice). Eine Liste der Subprozessoren findet sich im DPA. Daten können auch innerhalb des Akamai-Konzerns verarbeitet werden.
### Löschung [#löschung]
Nach Ablauf der Speicherfrist löscht Akamai die Daten oder anonymisiert sie. Ein Webseitenbetreiber kann spezifische Datenlöschung anfordern, muss dies aber vertraglich klären.
## E. Erhobene Daten beim Einsatz von Akamai CDN [#e-erhobene-daten-beim-einsatz-von-akamai-cdn]
Akamai erfasst automatisch Standard-Web-Server-Daten bei der Auslieferung von Inhalten.
Diese Daten lassen sich in folgende standardisierte Datenarten-Klassen einordnen:
* **Webserver-Protokolldaten**: IP-Adresse, Datum/Uhrzeit/Zeitzone, URL, HTTP-Methode, HTTP-Status-Code, Referrer, Größe der übertragenen Daten, Browser/OS/Gerät, technische Metadaten
* **Klickpfade**: Besuchte Seiten, Sequenz der angeforderten Ressourcen, Verweildauer pro Seite (wenn im Page-Load-Zeit-Header enthalten)
* **Endgeräte-Daten**: Gerätetyp, Betriebssystem, Bildschirmauflösung (teilweise aus User-Agent abgeleitet)
* **Browserinformationen**: Browsername, Browserversion, installierte Plugins
* **Grobe Standortdaten**: IP-basierter Standort auf Land-/Regions-Ebene
* **Technische Telemetriedaten**: Fehlermeldungen, Ladezeiten, Datenvolumen, Request-Raten, HTTP-Header
Diese Information beruht auf Anbieterangaben und öffentlich zugänglichen Quellen (Akamai dokumentiert seine Datenerfassung in technischen Dokumentationen und dem DPA).
## F. Nutzungszwecke beim Einsatz von Akamai CDN [#f-nutzungszwecke-beim-einsatz-von-akamai-cdn]
Akamai wird in der Regel zu folgenden Zwecken eingesetzt:
* **Funktionsbereitstellung**: Auslieferung von Website-Inhalten mit optimierten Ladezeiten, Verfügbarkeit und globale Skalierbarkeit
* **Sicherheit und Missbrauchsschutz**: DDoS-Schutz, Angriffserkennung/-prävention, Bot-Abwehr, Spam-Filterung, Betrugsprävention
* **Allgemeine Produktverbesserung**: Optimierung basierend auf Nutzungsmustern, Fehlererkennung und Behebung
* **Compliance**: Sicherung und Nachweis von Sicherheitsmaßnahmen
## G. Rechtsgrundlagen für Akamai CDN [#g-rechtsgrundlagen-für-akamai-cdn]
Akamai CDN ist ein Infrastruktur- und Sicherheitstool. Für die Datenverarbeitung sind folgende Rechtsgrundlagen relevant:
1. **Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO):** Die Nutzung eines CDN zur Gewährleistung von Website-Verfügbarkeit, Sicherheit (DDoS-Schutz) und Leistung stellt in der Regel ein berechtigtes Interesse des Webseitenbetreibers dar. Eine Interessenabwägung ist erforderlich, zeigt aber typischerweise, dass die Interessen des Betreibers überwiegen.
2. **Erforderlichkeit zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO):** Wenn die Website-Funktionalität von Akamai abhängig ist (z. B. SSL-Termination, Caching), kann auch Art. 6 Abs. 1 lit. b herangezogen werden.
Hinweis: Eine Einzelfallprüfung ist notwendig. CDN-Nutzung erfordert in der Regel keine explizite Einwilligung, sondern wird über berechtigte Interessen begründet.
## H. Besonderheiten und Hinweise zu Akamai CDN [#h-besonderheiten-und-hinweise-zu-akamai-cdn]
* **DPF-Zertifizierung**: Akamai Inc. (USA) ist DPF-zertifiziert, was die Zulässigkeit von Drittlandtransfers in die USA vereinfacht. Der Webseitenbetreiber sollte auf die DPF-Zertifizierung hinweisen.
* **Standard Contractual Clauses (SCC)**: Zusätzlich zur DPF stützt sich Akamai auf SCC für Drittlandtransfers. Die DPA sollte dies dokumentieren.
* **Subprozessoren**: Akamai arbeitet mit Subprozessoren zusammen. Eine aktuelle Liste sollte im DPA oder durch Akamai bereitgestellt werden.
* **Protokolldaten-Aufbewahrung**: Die Aufbewahrungsdauer von Logdaten sollte vertraglich geklärt werden, um Compliance zu sichern.
* **Datensicherheit**: Akamai implementiert umfangreiche Sicherheitsmaßnahmen (ISO 27001, Penetrationstests, etc.) und dokumentiert diese in Sicherheitsberichten.
* **Opt-Out-Optionen**: Besucher haben kaum technische Möglichkeiten, CDN-Nutzung zu umgehen, außer durch allgemeine Browser-Einstellungen (Tracking-Prevention, etc.).
## I. FAQ zu Akamai CDN [#i-faq-zu-akamai-cdn]
Akamai CDN ist ein Content Delivery Network von Akamai Technologies, das Website-Inhalte auf Servern weltweit speichert und ausspielt, um schnellere Ladezeiten und bessere Verfügbarkeit zu erreichen. Es ist ein Infrastruktur-Service, kein Marketing- oder Analysetool.
Akamai erfasst Standard-Web-Server-Daten: IP-Adressen, angeforderte URLs, HTTP-Status-Codes, Referrer, Browser-Agenten, Ladezeiten und Fehler. Personenidentifizierende Informationen werden nicht direkt erfasst, aber IP-Adressen können zur Standortermittlung genutzt werden.
CDN-Nutzung wird typischerweise auf Basis berechtigter Interessen des Webseitenbetreibers begründet (Art. 6 Abs. 1 lit. f DSGVO) – nämlich Website-Sicherheit, Leistung und Verfügbarkeit. In den meisten Fällen ist keine explizite Einwilligung erforderlich.
Nein, in der Regel nicht. CDN-Nutzung ist typischerweise eine funktionale Anforderung der Website und wird über berechtigte Interessen begründet. Eine Einwilligung ist normalerweise nicht erforderlich.
Ja. Akamai Technologies Inc. (USA) ist DPF-zertifiziert, was bedeutet, dass Daten von EU-Bürgern gemäß den DPF-Prinzipien verarbeitet werden. Dies erhöht die Rechtssicherheit für Drittlandtransfers.
Anstelle eines Akamai-spezifischen Bausteins wird empfohlen, einen themenorientierten Absatz unter „Hosting und Infrastruktur" einzuführen, der erläutert, dass die Website auf CDN-Servern gehostet wird, um Leistung und Sicherheit zu verbessern. Nutzen Sie den matterius Privacy Policy Generator für eine automatisierte Datenschutzerklärung.
## J. Fazit und Empfehlungen zu Akamai CDN [#j-fazit-und-empfehlungen-zu-akamai-cdn]
Akamai CDN ist ein unverzichtbarer Infrastruktur-Service für moderne Websites. Datenschutzrechtlich ist es weniger kritisch als Tracking- oder Marketing-Tools, da keine Profilbildung oder Zweck-Neudefinition stattfindet. Die Datenverarbeitung wird typischerweise über berechtigte Interessen begründet, eine explizite Einwilligung ist nicht erforderlich.
Die DPF-Zertifizierung von Akamai Inc. (USA) vereinfacht die Begründung von Drittlandtransfers und reduziert das Datenschutzrisiko. Dennoch sollte ein vollständiges **Data Processing Addendum (DPA)** zwischen dem Webseitenbetreiber und Akamai vorliegen.
Ein themenorientierter Ansatz in der Datenschutzerklärung, der unter „Hosting und Infrastruktur" alle CDN- und Hosting-Partner aufzählt, schafft Transparenz. Ein **Empfänger-Anhang** zur Datenschutzerklärung erhöht die Klarheit zusätzlich.
Dieser Beitrag dient der allgemeinen Information zu Akamai CDN und ersetzt keine rechtliche Beratung im Einzelfall. Die Informationen beruhen auf Anbieterangaben und öffentlich zugänglichen Quellen (Stand: 2026-04-22). Webseitenbetreiber sollten ihre Datenschutzerklärung und ihre Verträge mit Akamai mit einem Datenschutzbeauftragten oder Rechtsanwalt abstimmen.
# AppsFlyer und Datenschutz – Was in die Datenschutzerklärung gehört (/docs/privacy-policy-website/appsflyer-datenschutzerklaerung)
# AppsFlyer und Datenschutz – Was Webseitenbetreiber wissen müssen [#appsflyer-und-datenschutz--was-webseitenbetreiber-wissen-müssen]
Setzt ein Webseitenbetreiber oder App-Betreiber AppsFlyer ein, verarbeitet er Nutzer- und Attributionsdaten zum Zweck des Mobile Marketing Attribution und der App-Analytics auf Basis von Einwilligung (bei Tracking) oder teils auf Basis berechtigter Interessen (bei serverseitiger Attribution) gemäß DSGVO. Diese Information beruht auf Angaben des Anbieters und öffentlich zugänglichen Quellen.
## A. Zweck und Funktionsweise von AppsFlyer [#a-zweck-und-funktionsweise-von-appsflyer]
AppsFlyer ist eine Mobile Marketing Attribution und App-Analytics-Plattform mit Sitz in Israel (Tel Aviv) und Büros in den USA, Europa und Asien. Das Unternehmen hilft App-Entwicklern, Werbetreibenden und Marketing-Agenturen zu verstehen, welche Werbekanal (z. B. Facebook, Google Ads, In-App-Werbenetzwerke) welchen App-Download, welche In-App-Aktion (z. B. Registrierung, Kauf) und welchen Umsatz generiert hat – also die sogenannte „Attribution".
**Primär:** AppsFlyer wird als Mobile Measurement Partner (MMP) eingesetzt, d. h., es wird primär als **SDK (Software Development Kit)** in mobile Apps integriert. Das SDK erfasst App-interne Ereignisse, Installationen und Nutzer-Interaktionen.
**Sekundär:** AppsFlyer bietet auch **Web-Attribution** an – d. h., es kann auch auf Websites integriert werden, um Web-zu-App- oder Web-zu-Web-Conversions zu tracken.
**Technisch bei Mobile Apps:** Das AppsFlyer SDK wird im Source Code der App eingebunden. Bei jedem App-Start und bei bestimmten Ereignissen (z. B. Registrierung, Kauf) sendet das SDK Daten an AppsFlyers Server. Diese Daten beinhalten Device-Identifikatoren (z. B. IDFA bei iOS, Google Advertising ID bei Android), Geräte- und App-Informationen sowie Event-Details.
**Technisch bei Web:** AppsFlyer stellt auch einen Web-Pixel bereit, der ähnlich wie Google Analytics oder andere Tracking-Pixel funktioniert und auf Websites eingebunden wird. Der Pixel erfasst Website-Besuche und Nutzer-Interaktionen.
**Attribution-Logik:** AppsFlyer nutzt Geräte-Identifikatoren, IP-Adressen, Zeitstempel und Cookie-Daten, um eine Werbeaktion (z. B. Klick auf eine Facebook-Ad) mit einer späteren App-Installation oder In-App-Aktion zu verbinden (Last-Click-Attribution oder Multi-Touch-Attribution).
## B. Pflichtangaben in der Datenschutzerklärung zu AppsFlyer [#b-pflichtangaben-in-der-datenschutzerklärung-zu-appsflyer]
Die DSGVO verlangt von App- und Webseitenbetreibern, folgende Punkte transparent zu erläutern:
* **Verarbeitungszwecke** (Art. 13 Abs. 1 lit. c): Warum werden Daten verarbeitet?
* **Rechtsgrundlagen** (Art. 13 Abs. 1 lit. c): Auf welcher rechtlichen Basis erfolgt die Verarbeitung?
* **Berechtigte Interessen** (Art. 13 Abs. 1 lit. d, falls relevant): Falls über berechtigte Interessen legitimiert
* **Empfänger oder Kategorien von Empfängern** (Art. 13 Abs. 1 lit. e): An wen werden Daten weitergegeben?
* **Drittlandtransfers** (Art. 13 Abs. 1 lit. f): Werden Daten in Länder außerhalb der EU/des EWR übermittelt?
* **Speicherdauer** (Art. 13 Abs. 2 lit. a): Wie lange werden Daten gespeichert?
* **Betroffenenrechte** (Art. 13 Abs. 2 lit. b und c): Auskunfts-, Lösch- und Widerspruchsrechte
**Häufiger Fehler:** Toolspezifische Textbausteine aus den Datenschutzerklärungen von Anbietern widersprechen dem Transparenzgebot. Ein **themenorientierter Ansatz** ist besser: Strukturieren Sie nach Verarbeitungszwecken (z. B. „Mobile Attribution", „App-Analytics"), nicht nach einzelnen Tools.
## C. Anbieter von AppsFlyer: AppsFlyer Ltd. [#c-anbieter-von-appsflyer-appsflyer-ltd]
| Aspekt | Information |
| --------------------------- | -------------------------------------------------------------------------------------------------------------------- |
| **Juristischer Name** | AppsFlyer Ltd. (Israel) |
| **Hauptsitz** | 1 Menachem Begin Road, Tel Aviv 6701203, Israel |
| **EU-Repräsentant** | AppsFlyer Germany GmbH, Schönhauser Allee 180, 10119 Berlin, Deutschland (für DSGVO Art. 27) |
| **Weitere EU-Büros** | Amsterdam (Niederlande), Paris (Frankreich), London (UK) |
| **Sitzland** | Israel (EU-Angemessenheitsbeschluss besteht) |
| **DPF-Status** | Vom Betreiber zu verifizieren (Israel ist anerkannt, aber nicht unter DPF) |
| **Privacy Policy** | [https://www.appsflyer.com/legal/privacy-policy/](https://www.appsflyer.com/legal/privacy-policy/) |
| **Services Privacy Policy** | [https://www.appsflyer.com/legal/services-privacy-policy/](https://www.appsflyer.com/legal/services-privacy-policy/) |
| **Rolle** | Eigenständiger Verantwortlicher gegenüber dem App/Website-Betreiber; in einigen Fällen partiell Auftragsverarbeiter |
**Hinweis:** Israel ist kein Drittstaat im Sinne der DSGVO; es besteht ein Angemessenheitsbeschluss der EU-Kommission. Datenübermittlungen nach Israel sind unter bestimmten Bedingungen DSGVO-konform.
## D. Datenverarbeitung durch AppsFlyer – Ablauf [#d-datenverarbeitung-durch-appsflyer--ablauf]
### Erhebung [#erhebung]
Das AppsFlyer SDK wird beim App-Start oder beim Auftreten bestimmter Ereignisse (Registrierung, Kauf, Seitenaufruf) ausgelöst. Es erfasst Geräte-Identifikatoren, IP-Adresse, Zeitstempel, App-Version, Betriebssystem, Browser (bei Web), und Event-spezifische Daten (z. B. Produktname, Kaufbetrag).
### Speicherung [#speicherung]
AppsFlyer speichert diese Daten auf seinen Servern, teilweise in Israel (mit Angemessenheitsbeschluss), teilweise in anderen Ländern. Speicherdauer: Typischerweise 3 bis 7 Jahre für rohe Ereignisdaten, je nach Kundenvertrag und lokaler Gesetzgebung.
### Nutzung [#nutzung]
AppsFlyer nutzt die Daten zur Attribution (Zuordnung von Werbequelle zu Installation/Aktion), zur Analyse von Nutzerverhalten, zur Betrugserkennung und zur Optimierung von Kampagnen-ROI.
### Weitergabe [#weitergabe]
Daten werden an Werbenetzwerke (Facebook, Google, Apple Search Ads), CRM-Systeme, BI-Tools und andere integrierte Partner-Plattformen weitergegeben. Auch an den Werbetreibenden (z. B. App-Publisher), der die Kampagne bucht.
### Löschung [#löschung]
Nach Ablauf der Speicherdauer oder auf Antrag des Betroffenen werden Daten gelöscht (pseudonymisiert oder komplett). Ein Löschantrag sollte über AppsFlyers Kontaktformular eingereicht werden.
## E. Erhobene Daten beim Einsatz von AppsFlyer [#e-erhobene-daten-beim-einsatz-von-appsflyer]
AppsFlyer erfasst ein breites Spektrum an Nutzer- und Attributionsdaten:
**Bei Mobile Apps (SDK):**
* Geräte-Identifikatoren (IDFA bei iOS, Google Advertising ID bei Android, Android ID)
* IP-Adresse
* Gerätetyp, Betriebssystem, Betriebssystem-Version
* App-Version und App-Name
* Installationsdatum und -zeit
* In-App-Ereignisse (z. B. Registrierung, Kauf, Ansicht von Inhalten)
* Event-Parameter (z. B. Produktname, Preis, Kategorie, Umsatz)
* Werbequelle und Kampagnen-Parameter
* Zeitzone und Sprache
**Bei Web (Web-Pixel):**
* IP-Adresse
* Cookie-IDs
* Referrer und besuchte URLs
* Browser- und Geräteinformation
* Conversion-Ereignisse
Diese Daten lassen sich in folgende standardisierte Datenarten-Klassen einordnen:
* **Webserver-Protokolldaten**: IP-Adresse, Datum/Uhrzeit/Zeitzone, Referrer, Browser/OS/Gerät, technische Metadaten
* **Endgeräte-Daten**: Gerätetyp, Betriebssystem, Bildschirmauflösung/-größe, Ausrichtung
* **Browserinformationen**: Browsername, Browserversion
* **Geräte-Identifikatoren**: IDFA, Google Advertising ID, Android ID
* **Conversion-Ereignisse**: App-Installation, In-App-Aktion, Registrierung, Kauf
* **Nutzungsprofile**: Werbequelle, Kampagnen-Zuordnung, Nutzungshistorien
## F. Nutzungszwecke beim Einsatz von AppsFlyer [#f-nutzungszwecke-beim-einsatz-von-appsflyer]
AppsFlyer verarbeitet Daten mit folgenden Zwecken:
* **Attribution und Messung**: Zuordnung von Werbeaktionen zu App-Installationen und In-App-Konversionen
* **Allgemeines Marketing**: Messung von Kampagnen-Erfolg, ROI-Optimierung, Benchmarking
* **Nutzerprofil-Erstellung**: Segmentierung nach Nutzer-Eigenschaften, Kohorten-Bildung
* **Sicherheit und Missbrauchsschutz**: Betrugserkennung (z. B. Fake-Installationen), Bot-Erkennung
* **Allgemeine Produktverbesserung**: Optimierung der Messung und Plattform auf Basis aggregierter Daten
* **Nutzerindividuelles Marketing**: Remarketing-Listen, Audience-Export zu Werbenetzwerken
## G. Rechtsgrundlagen für AppsFlyer [#g-rechtsgrundlagen-für-appsflyer]
**Kategorie 1 – Web-Tracking via AppsFlyer-Pixel:** AppsFlyer ist ein Tracking-Tool ähnlich wie Google Analytics. Es erfordert Einwilligung.
**Rechtsgrundlage (Web-Tracking):** Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 25 Abs. 1 TDDDG. Der Webseitenbetreiber muss vor dem Laden des AppsFlyer-Pixels die Einwilligung des Besuchers einholen.
**Kategorie 2 – Mobile SDK und serverseitige Attribution:** Hier kann es differenzierter sein. AppsFlyer selbst wird hauptsächlich über Einwilligung legitimiert (Apple und Google fordern diese für Geräte-Identifikatoren ein). Allerdings können Teile der Datenverarbeitung (z. B. serverseitige Attribution nach Löschung von Geräte-Identifikatoren) auch auf berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO) gestützt werden.
**Einzelfall-Prüfung erforderlich:** Die genaue Rechtsgrundlage hängt davon ab, welche Daten in welchem Kontext verarbeitet werden. Eine pauschale Aussage ist nicht möglich.
**Einwilligungsmechanismus (Web):** Ein Cookie-Banner oder CMP muss vor AppsFlyer-Laden um Zustimmung fragen. Die Einwilligung muss spezifisch und dokumentiert sein.
## H. Besonderheiten und Hinweise zu AppsFlyer [#h-besonderheiten-und-hinweise-zu-appsflyer]
* **Primär Mobile, Sekundär Web:** AppsFlyer ist ursprünglich und primär ein Mobile-Measurement-Tool (SDK). Die Web-Attribution ist eine Zusatzfunktion. Webseitenbetreiber sollten sich bewusst sein, dass AppsFlyer nicht die primäre Zielgruppe ist.
* **Israel als Sitzland:** AppsFlyer sitzt in Israel. Es besteht ein Angemessenheitsbeschluss der EU-Kommission. Datentransfers nach Israel sind rechtskonform, allerdings sollten aktuelle Entwicklungen beobachtet werden.
* **EU-Repräsentant:** AppsFlyer hat einen EU-Repräsentant in Berlin gemäß Art. 27 DSGVO benannt.
* **Weitere Rechtsgrundlagen für Mobile Apps:** Bei mobilen Apps können Geräte-Identifikatoren (IDFA, Google Advertising ID) unter iOS und Android nur mit Zustimmung verarbeitet werden. Diese Zustimmung erfolgt über das Betriebssystem, nicht über die App-Datenschutzerklärung. Webseitenbetreiber sollten dies kommunizieren.
* **Opt-Out/Privacy-Einstellungen:** Benutzer können die Werbeverfolgung auf ihrem Gerät deaktivieren (iOS: "Tracking abgelehnt", Android: "Personalisierte Werbung deaktivieren"). AppsFlyer sollte diese Präferenzen respektieren.
* **Kontakt:** Der Datenschutzbeauftragte von AppsFlyer ist unter [privacy@appsflyer.com](mailto:privacy@appsflyer.com) erreichbar.
## I. FAQ zu AppsFlyer [#i-faq-zu-appsflyer]
AppsFlyer ist ein Mobile Marketing Attribution und App-Analytics-Plattform. Sie misst, welche Werbequelle welche App-Installation oder In-App-Aktion (z. B. Kauf) generiert hat. AppsFlyer funktioniert primär via SDK in Apps, sekundär auch via Web-Pixel auf Websites.
AppsFlyer erfasst Geräte-Identifikatoren (IDFA, Google Advertising ID), IP-Adressen, Geräte-Info, App-Version, In-App-Ereignisse mit Event-Parametern (z. B. Preis, Kategorie), Werbequelle und Zeitstempel. Bei Web: Cookie-IDs, URL, Referrer.
Bei Web-Tracking: Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO. Bei Mobile: Primär Einwilligung, teilweise auch berechtigte Interessen (serverseitige Attribution). Im Einzelfall zu prüfen.
Ja, für Web-Tracking auf jeden Fall. Ein Cookie-Banner mit Opt-in für AppsFlyer sollte vorhanden sein. Bei mobilen Apps: Die Geräte-ID-Berechtigung wird durch das OS abgefragt.
AppsFlyer hat Datenschutzmechanismen und einen EU-Repräsentanten. Es ist jedoch vom Betreiber zu verifizieren, dass alle Datenflows DSGVO-konform ausgestaltet sind (Einwilligung, Drittlandtransfer, Speicherdauer).
Verwenden Sie keinen toolspezifischen Textbaustein. Strukturieren Sie nach Verarbeitungszwecken, z. B. „Mobile Marketing Attribution und App-Analytics". Nennen Sie AppsFlyer als Empfänger und erläutern Sie transparent, welche Daten erfasst und zu welchen Zwecken verarbeitet werden. Nutzen Sie unseren Datenschutzerklärung-Generator für eine maßgeschneiderte Erklärung.
## J. Fazit und Empfehlung zu AppsFlyer [#j-fazit-und-empfehlung-zu-appsflyer]
**Zusammenfassung:** AppsFlyer ist ein Tracking- und Attributions-Tool, das primär in mobilen Apps und sekundär auf Websites eingesetzt wird. Es erfordert bei Web-Einsatz eine ausdrückliche Einwilligung.
**Warum Textbausteine problematisch sind:** Die Datenschutzerklärung sollte nicht einfach die Privacy Policy von AppsFlyer kopieren. Dies widerspricht Art. 12 Abs. 1 DSGVO. Nutzer sollen verstehen, welche Daten erfasst werden und wozu – nicht durch technische Fachjargon verwirrt werden.
**Empfohlener Ansatz:** Eine themenorientierte Datenschutzerklärung, die nach Verarbeitungszwecken (z. B. „Mobile Marketing Attribution") strukturiert ist, ist klarer und rechtssicherer. Nennen Sie AppsFlyer als einen der Empfänger in einer Emfänger-Liste.
Dieser Beitrag dient der allgemeinen Information zu AppsFlyer und ersetzt keine rechtliche Beratung im Einzelfall. Stand: 2026-04-22.
# AWS Cloud Services und Datenschutz – Was Webseitenbetreiber wissen müssen (/docs/privacy-policy-website/aws-cloud-services-datenschutzerklaerung)
# AWS Cloud Services und Datenschutz – Was Webseitenbetreiber wissen müssen [#aws-cloud-services-und-datenschutz--was-webseitenbetreiber-wissen-müssen]
Nutzt ein Webseitenbetreiber Amazon Web Services (AWS) zur Speicherung und Verarbeitung von Daten, agiert AWS als Auftragsverarbeiter und verarbeitet Daten zum Zweck der Erbringung von Cloud-Infrastruktur-Services auf Basis von Vertragserfüllung und berechtigten Interessen. AWS ist einer der weltweit größten Cloud-Infrastruktur-Anbieter und bietet Hosting, Speicherung, Datenbanken und viele weitere Services an. Diese Datenschutzerklärung richtet sich an Webseitenbetreiber und erläutert, welche Angaben zu AWS rechtlich in die eigene Datenschutzerklärung gehören.
## A. Zweck und Funktionsweise von AWS Cloud Services [#a-zweck-und-funktionsweise-von-aws-cloud-services]
Amazon Web Services (AWS) ist eine umfassende Cloud-Computing-Plattform, die Webseitenbetreibern ermöglicht, ihre Anwendungen, Datenbanken und Speicher in der Cloud zu hosten, statt auf lokalen Servern. AWS bietet Services wie:
* **Compute**: EC2 (Virtual Machines), Lambda (Serverless Computing)
* **Storage**: S3 (Objektspeicher), EBS (Block Storage)
* **Datenbanken**: RDS (relational), DynamoDB (NoSQL)
* **Netzwerk**: CloudFront (CDN), Route 53 (DNS)
* **Sicherheit**: KMS (Verschlüsselung), IAM (Zugriffskontrolle)
Wenn ein Webseitenbetreiber AWS nutzt, speichert er seine Website-Daten, Anwendungen und Benutzerdaten in AWS-Rechenzentren. AWS verarbeitet diese Daten gemäß den Anweisungen des Webseitenbetreibers und tritt als Auftragsverarbeiter auf.
Die Integration erfolgt durch Verträge zwischen dem Webseitenbetreiber und AWS. Der Webseitenbetreiber konfiguriert, welche Services er nutzen möchte, und AWS stellt die Infrastruktur und Sicherheitsmaßnahmen bereit.
## B. Pflichtangaben in der Datenschutzerklärung zu AWS Cloud Services [#b-pflichtangaben-in-der-datenschutzerklärung-zu-aws-cloud-services]
Nach DSGVO Art. 13 Abs. 1 lit. c muss ein Webseitenbetreiber die **Zwecke** der Verarbeitung offenlegen. Art. 13 Abs. 1 lit. d verlangt die **Rechtsgrundlagen**, Art. 13 Abs. 1 lit. e die **Empfänger oder Kategorien von Empfängern**. Art. 13 Abs. 1 lit. f fordert, dass **Drittlandtransfers** (z. B. in die USA) offengelegt und begründet werden.
Hinweis: AWS ist ein universeller Cloud-Anbieter, der viele Dienste umfasst. Ein themenorientierter Ansatz ist hier erforderlich: Unter „Hosting und Cloud-Infrastruktur" oder „Speicherung personenbezogener Daten" sollte erläutert werden, dass AWS genutzt wird und welche Daten dort verarbeitet werden. Ein **Empfänger-Anhang** zur Datenschutzerklärung schafft Klarheit.
## C. Anbieter von AWS Cloud Services [#c-anbieter-von-aws-cloud-services]
**Juristischer Name (EU):** Amazon Web Services EMEA SARL\
**Anschrift:** 38 Avenue John F. Kennedy, L-1855 Luxemburg\
**Sitzland:** Luxemburg (Europäischer Wirtschaftsraum)\
**Juristischer Name (weltweit):** Amazon Web Services Inc.\
**Sitzland (weltweit):** USA (Seattle, Washington)\
**Rolle:** Auftragsverarbeiter (Data Processor)
**DPA-Status:** Amazon Web Services EMEA SARL ist nicht DPF-zertifiziert. Allerdings stellt AWS ein umfassendes **AWS Data Processing Addendum (AWS DPA)** bereit, das auf Standard Contractual Clauses (SCC) für Drittlandtransfers basiert. Das DPA dokumentiert AWS als Auftragsverarbeiter und regelt die Verarbeitung personenbezogener Daten gemäß DSGVO.
**Datenschutzerklärung:** [https://aws.amazon.com/de/privacy/](https://aws.amazon.com/de/privacy/)
**GDPR Center:** [https://aws.amazon.com/compliance/eu-data-protection/](https://aws.amazon.com/compliance/eu-data-protection/)
**Data Processing Addendum (DPA/AVV):** AWS stellt ein standardisiertes DPA bereit, das Webseitenbetreiber abschließen müssen. Das DPA regelt die Verarbeitung personenbezogener Daten als Auftragsverarbeiter, Subprozessoren, Drittlandtransfers, Datensicherheit und Betroffenenrechte.
## D. Datenverarbeitung durch AWS Cloud Services – Ablauf [#d-datenverarbeitung-durch-aws-cloud-services--ablauf]
### Erhebung [#erhebung]
Der Webseitenbetreiber lädt Daten (Website-Inhalte, Kundendaten, Logdaten, etc.) auf AWS-Systeme hoch oder speichert diese dort. Diese Daten umfassen alles, was der Webseitenbetreiber selbst zur Verarbeitung an AWS übermittelt.
### Speicherung [#speicherung]
AWS speichert die Daten in seinen Rechenzentren (Regions und Availability Zones). Der Webseitenbetreiber kann konfigurieren, in welcher Region die Daten gespeichert werden. Typische Optionen sind EU-Regionen (z. B. Frankfurt, Irland) oder USA-Regionen. Die Speicherdauer ist unbegrenzt, solange der Webseitenbetreiber den Service nutzt.
### Nutzung [#nutzung]
AWS verarbeitet die Daten gemäß der Anweisungen des Webseitenbetreibers – z. B. zum Ausführen von Anwendungen, Datenbankabfragen, Backups oder Analysen. AWS hat keinen eigenständigen Zweck für die Verarbeitung (abgesehen von Betrieb und Sicherheit).
### Weitergabe [#weitergabe]
AWS kann die Daten an Subprozessoren weitergeben (z. B. für Backups, Logging, Sicherheit). Eine List der Subprozessoren findet sich in AWS-Dokumentation. Daten können auch innerhalb des AWS-Konzerns verarbeitet werden.
### Löschung [#löschung]
Der Webseitenbetreiber ist verantwortlich für die Löschung der Daten. AWS löscht die Daten nach Anweisung oder nach Beendigung des Service. Eine Aufbewahrung ist möglich, wenn der Webseitenbetreiber dies konfiguriert.
## E. Erhobene Daten beim Einsatz von AWS Cloud Services [#e-erhobene-daten-beim-einsatz-von-aws-cloud-services]
AWS verarbeitet die Daten, die der Webseitenbetreiber selbst hochlädt oder übermittelt. Abhängig vom genutzten Service können diese sehr unterschiedlich sein:
Diese Daten lassen sich in folgende standardisierte Datenarten-Klassen einordnen:
* **Webserver-Protokolldaten**: IP-Adressen, Anfrage-Metadaten, Fehler-Logs, Zugriffsprotokolle
* **Anwendungsdaten**: Website-Inhalte, Quellcode, Konfigurationsdaten, API-Schlüssel (sollten verschlüsselt sein)
* **Benutzerdaten**: Kundendaten, Authentifizierungsdaten, Kontaktinformationen, je nachdem was der Betreiber speichert
* **Transaktionsdaten**: Zahlungsdaten, Bestelldaten, Buchungsdaten (sollten verschlüsselt sein)
* **Technische Metadaten**: Dateigrößen, Änderungsdatum, Zugriffskontrolle, Verschlüsselungsstatus
* **Backup- und Wiederherstellungsdaten**: Redundante Kopien für Ausfallsicherheit
Die genaue Zusammensetzung hängt davon ab, welche Services der Webseitenbetreiber nutzt und welche Daten er hochlädt. AWS verarbeitet primär Daten auf Anweisung des Betreibers, nicht eigenständig.
Diese Information beruht auf Anbieterangaben und öffentlich zugänglichen Quellen (AWS dokumentiert seine Datenverarbeitung in umfangreichen Compliance-Dokumentationen).
## F. Nutzungszwecke beim Einsatz von AWS Cloud Services [#f-nutzungszwecke-beim-einsatz-von-aws-cloud-services]
AWS wird in der Regel zu folgenden Zwecken eingesetzt:
* **Funktionsbereitstellung**: Hosting der Website, Ausführung von Anwendungen, Speicherung von Daten
* **Verfügbarkeit und Ausfallsicherheit**: Redundanz, Backups, Disaster Recovery
* **Sicherheit und Missbrauchsschutz**: Sicherheitsüberwachung, Angriffserkennung, Verschlüsselung
* **Leistungsoptimierung**: Load Balancing, Caching, Performance Monitoring
* **Compliance**: Compliance-Reporting, Audit-Logs, Datenschutz-Dokumentation
## G. Rechtsgrundlagen für AWS Cloud Services [#g-rechtsgrundlagen-für-aws-cloud-services]
AWS Cloud Services sind ein Infrastruktur-Service. Für die Datenverarbeitung sind folgende Rechtsgrundlagen relevant:
1. **Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO):** Die Nutzung von AWS ist typischerweise erforderlich, um die Website oder digitale Services zu betreiben. Die Verarbeitung ist somit zur Erfüllung des Vertrags mit Besuchern/Kunden notwendig.
2. **Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO):** Soweit AWS für Sicherheit, Verfügbarkeit und Leistungsoptimierung eingesetzt wird, können berechtigte Interessen des Webseitenbetreibers herangezogen werden.
Hinweis: Eine Einzelfallprüfung ist notwendig. AWS-Nutzung erfordert in der Regel keine explizite Einwilligung, sondern wird über Vertragserfüllung oder berechtigte Interessen begründet.
## H. Besonderheiten und Hinweise zu AWS Cloud Services [#h-besonderheiten-und-hinweise-zu-aws-cloud-services]
* **DPF-Status und SCC:** AWS EMEA SARL ist nicht DPF-zertifiziert. AWS stützt sich auf Standard Contractual Clauses (SCC) für Drittlandtransfers. Das AWS DPA dokumentiert dies. Der Webseitenbetreiber sollte sichern, dass ein aktuelles DPA vorliegt.
* **Drittlandtransfers**: AWS-Daten können in USA-Regionen verarbeitet werden, wenn der Webseitenbetreiber dies konfiguriert. Der Betreiber sollte bei sensiblen Daten EU-Regionen wählen (z. B. Frankfurt).
* **Subprozessoren**: AWS nutzt Subprozessoren (z. B. für Backup, Logging, Sicherheit). Eine Liste ist in AWS-Dokumentation verfügbar.
* **Datensicherheit**: AWS implementiert umfangreiche Sicherheitsmaßnahmen (ISO 27001, SOC 2, Encryption, etc.) und dokumentiert diese in Compliance-Reports.
* **Kundenkontrolle**: Der Webseitenbetreiber behält vollständige Kontrolle über die Daten und kann diese zu jeder Zeit abrufen, modifizieren oder löschen.
* **Schrems-II-Compliance**: AWS bietet Tools und Dokumentation zur Compliance mit dem Schrems-II-Urteil (z. B. Encryption, contractual safeguards, supplementary measures).
## I. FAQ zu AWS Cloud Services [#i-faq-zu-aws-cloud-services]
AWS (Amazon Web Services) ist eine Cloud-Computing-Plattform von Amazon, die Webseitenbetreibern ermöglicht, ihre Anwendungen, Datenbanken und Speicher in der Cloud zu hosten, statt auf lokalen Servern. AWS bietet zahlreiche Services wie Compute (EC2), Storage (S3), Datenbanken (RDS) und vieles mehr.
AWS verarbeitet die Daten, die der Webseitenbetreiber selbst hochlädt oder übermittelt. Das können Website-Inhalte, Kundendaten, Transaktionsdaten, Logs, Konfigurationen und vieles mehr sein. AWS verarbeitet diese Daten gemäß den Anweisungen des Betreibers und hat keinen eigenständigen Zweck (außer Betrieb und Sicherheit).
AWS-Nutzung wird typischerweise auf Basis von Vertragserfüllung begründet (Art. 6 Abs. 1 lit. b DSGVO) – d. h., die Cloud-Infrastruktur ist erforderlich, um die Website zu betreiben. Für Sicherheit und Optimierung können auch berechtigte Interessen herangezogen werden. Eine explizite Einwilligung ist normalerweise nicht erforderlich.
Ja. AWS ist ein Auftragsverarbeiter, daher ist ein Data Processing Addendum (DPA) erforderlich. AWS stellt ein standardisiertes DPA bereit, das im AWS-Kundencenter verfügbar ist.
Nein. AWS EMEA SARL (EU-Gesellschaft) ist nicht DPF-zertifiziert. AWS stützt sich auf Standard Contractual Clauses (SCC) für Drittlandtransfers. Das AWS DPA dokumentiert die SCC. Der Webseitenbetreiber sollte beim Einsatz sensibler Daten EU-Regionen wählen oder eine zusätzliche Datenschutz-Folgenabschätzung durchführen.
Anstelle eines AWS-spezifischen Bausteins wird empfohlen, einen themenorientierten Absatz unter „Hosting und Cloud-Infrastruktur" einzuführen, der erläutert, dass die Website auf AWS-Infrastruktur gehostet wird. Nutzen Sie den matterius Privacy Policy Generator für eine automatisierte Datenschutzerklärung.
## J. Fazit und Empfehlungen zu AWS Cloud Services [#j-fazit-und-empfehlungen-zu-aws-cloud-services]
AWS Cloud Services sind essenzielle Infrastruktur-Tools für Websites und digitale Anwendungen. Datenschutzrechtlich ist AWS als Auftragsverarbeiter zu behandeln, da AWS die Daten gemäß den Anweisungen des Webseitenbetreibers verarbeitet und keinen eigenständigen Zweck hat.
Ein vollständiges **Data Processing Addendum (DPA)** zwischen dem Webseitenbetreiber und AWS EMEA SARL ist erforderlich. Das DPA regelt die Verarbeitung personenbezogener Daten, Subprozessoren, Drittlandtransfers und Sicherheitsmaßnahmen.
Ein themenorientierter Ansatz in der Datenschutzerklärung, der unter „Hosting und Cloud-Infrastruktur" erklärt, dass AWS für das Hosting genutzt wird, ist ausreichend. Ein **Empfänger-Anhang** zur Datenschutzerklärung erhöht die Klarheit zusätzlich.
Webseitenbetreiber sollten bei der Konfiguration von AWS darauf achten, dass EU-Regionen für sensible Daten gewählt werden und dass verschlüsselte Verbindungen und Zugriffskontrolle implementiert sind.
Dieser Beitrag dient der allgemeinen Information zu AWS Cloud Services und ersetzt keine rechtliche Beratung im Einzelfall. Die Informationen beruhen auf Anbieterangaben und öffentlich zugänglichen Quellen (Stand: 2026-04-22). Webseitenbetreiber sollten ihre Datenschutzerklärung und ihre Verträge mit AWS mit einem Datenschutzbeauftragten oder Rechtsanwalt abstimmen.
# Braze und Datenschutz – Was in die Datenschutzerklärung gehört (/docs/privacy-policy-website/braze-datenschutzerklaerung)
# Braze und Datenschutz – Was Webseitenbetreiber wissen müssen [#braze-und-datenschutz--was-webseitenbetreiber-wissen-müssen]
Setzt ein Webseitenbetreiber Braze für Customer Engagement und Email-Marketing ein, verarbeitet er Nutzer-Daten (Name, E-Mail, Verhaltensdaten, Segmente) zum Zweck des Marketings, Push-Notifications und In-App-Messaging auf Basis von Einwilligung und berechtigten Interessen. Braze Inc. (USA), ein führendes Customer Engagement-Unternehmen, fungiert dabei als **Auftragsverarbeiter** und unterliegt dem **Data Privacy Framework (DPF)** für Datentransfers in die USA.
Diese Anleitung richtet sich an Webseitenbetreiber, die Braze für Email-Kampagnen, Push-Notifications, In-App-Messages oder Customer Segmentation nutzen und daher eine DSGVO-konforme Datenschutzerklärung benötigen.
## A. Zweck und Funktionsweise von Braze [#a-zweck-und-funktionsweise-von-braze]
Braze ist eine **Customer Engagement Platform** (auch »Customer Data Platform« oder CDP genannt), die es Unternehmen ermöglicht:
* **Email-Marketing:** Automatisierte Email-Kampagnen an segmentierte Kundenlisten
* **Push-Notifications:** Mobile und Web-Push-Benachrichtigungen
* **In-App-Messaging:** Kontextuelle Nachrichten innerhalb einer App oder Website
* **SMS/Messaging:** Direktkommunikation über Telefon, WhatsApp oder andere Kanäle
* **Customer Segmentation:** Automatische Einteilung von Nutzern in Zielgruppen basierend auf Verhalten, Demografie und Präferenzen
* **Journey Automation:** Automatisierte Workflows basierend auf Benutzerverhalten (»Wenn Benutzer X kauft, sende Email Y«)
Die Integrationsfunktion erfolgt durch:
1. **SDK/API:** Der Websitenbetreiber implementiert das Braze SDK auf seiner Website oder App
2. **Event Tracking:** Die SDK erfasst Nutzerverhalten (Seitenbesuche, Klicks, Käufe)
3. **Datenaustausch:** Diese Daten werden an Braze-Server übermittelt
4. **Kampagnen:** Der Websitenbetreiber erstellt Kampagnen in der Braze-Plattform und stellt diese gezielt an Zielgruppen
5. **Analytics:** Braze liefert Reports über Kampagnen-Performance, Öffnungsraten, Klicks
## B. Pflichtangaben in der Datenschutzerklärung zu Braze [#b-pflichtangaben-in-der-datenschutzerklärung-zu-braze]
Die DSGVO verlangt für jeden Auftragsverarbeiter: **Zwecke** (Art. 13 Abs. 1 lit. c), **Rechtsgrundlagen** (Art. 13 Abs. 1 lit. a), **Einwilligung** (falls erforderlich, Art. 7 DSGVO), **Empfängerkategorien** (Art. 13 Abs. 1 lit. e), **Drittlandtransfers** (Art. 13 Abs. 1 lit. f) und **Speicherdauer** (Art. 13 Abs. 2 lit. a).
**Sichtweise auf Braze-Integration:** Viele Webseitenbetreiber schreiben zu Braze nur »Braze verarbeitet Marketingdaten« – dies ist viel zu kurz. Stattdessen sollte transparent werden:
* Welche Nutzerdaten werden erfasst (Klicks, Seitenbesuche, Käufe)?
* Zu welchem Zweck (Email-Marketing, Push-Notifications)?
* Aufgrund welcher Rechtsgrundlage (Einwilligung, berechtigte Interessen)?
* Wo werden die Daten verarbeitet (USA mit DPF)?
* Wie lange werden Sie aufbewahrt?
**Besser:** Ein themenorientierter Abschnitt »Marketing und Kundenengagement« mit Beschreibung aller Engagement-Kanäle (Email, Push, In-App-Messaging).
## C. Anbieter von Braze: Braze Inc. (USA) [#c-anbieter-von-braze-braze-inc-usa]
**Juristischer Name:** Braze, Inc.
**Sitzland:** USA (New York oder als Tochter: Braze EU Limited, falls EU-Gesellschaft vorhanden)
**Datenschutzerklärung:** [https://www.braze.com/company/legal/privacy](https://www.braze.com/company/legal/privacy)
**DPA-Link:** [https://www.braze.com/company/legal/dpa](https://www.braze.com/company/legal/dpa)
**DPF-Status:** **Ja, DPF-zertifiziert.** Braze Inc. ist nach Angaben des Unternehmens zertifiziert unter dem EU-U.S. Data Privacy Framework (DPF), dem UK Extension zum DPF und dem Swiss-U.S. DPF ([https://www.braze.com/company/legal/data-privacy-framework-notice](https://www.braze.com/company/legal/data-privacy-framework-notice)). Das DPF sichert angemessenes Datenschutzniveau für Transfers von der EU in die USA zu.
Sie können die Zertifizierung prüfen unter: [https://www.dataprivacyframework.gov/s/participant-search](https://www.dataprivacyframework.gov/s/participant-search)
**Datenschutzvereinbarung (DPA/AVV):** Braze bietet eine **Data Processing Addendum (DPA)** an. Diese ist verfügbar unter [https://www.braze.com/company/legal/dpa](https://www.braze.com/company/legal/dpa). Die DPA regelt:
* Braze-Rolle als Auftragsverarbeiter (Art. 28 DSGVO)
* Sicherheitsstandards und Verschlüsselung
* Unterstützung bei Betroffenenrechten
* Subprozessoren-Verwaltung
* Drittlandtransfers via DPF
Die DPA **muss unterzeichnet** sein, um Braze DSGVO-konform zu nutzen.
## D. Datenverarbeitung durch Braze – Ablauf [#d-datenverarbeitung-durch-braze--ablauf]
### Erhebung [#erhebung]
Braze erhebt Daten über mehrere Quellen:
* **Braze SDK:** JavaScript-Snippet auf der Website erfasst Klicks, Seitenbesuche, Scroll-Tiefe, Zeit on Page
* **Event-Tracking:** Konversionsereignisse wie Produktkauf, Anmeldung, Download
* **Formular-Daten:** Name, E-Mail, Telefon, Geburtsdatum, Präferenzen (falls in Formularen eingegeben)
* **Dritte Quellen:** Daten können auch aus CRM, Analytics oder anderen Systemen importiert werden
* **Mobile Apps:** Falls eine native App genutzt wird, erfasst Braze App-Nutzung, Installation, Abstürze
### Speicherung [#speicherung]
* Braze speichert Daten auf Servern in der USA (mit EU-Datencenter-Optionen verfügbar)
* Speicherdauer: So lange wie die Kundenbeziehung besteht, plus Archivierung für Analytics
* Nach Löschung durch den Websitenbetreiber: Bis zu 30 Tage in Backups
* Benutzerprofile können beliebig lange gespeichert werden (zur Segmentierung und Zielgruppenverwaltung)
* Anonymisierte Daten (Aggregierte Analytics) werden länger aufbewahrt
### Nutzung [#nutzung]
* Segmentierung: Automatische Einteilung von Nutzern in Zielgruppen basierend auf Verhalten und Merkmalen
* Kampagnen-Targeting: Auswahl der passenden Nutzer für Email-, Push- oder In-App-Kampagnen
* Personalisierung: Anpassung von Nachrichteninhalten an Nutzerverhalten
* Journey-Automation: Automatisches Triggering von Nachrichten basierend auf definierten Bedingungen
* Analytics: Braze erstellt interne Reports über Kampagnen-Performance
* Produktverbesserung: Braze nutzt anonymisierte Daten zur Verbesserung der Plattform
### Weitergabe [#weitergabe]
* **Subprozessoren:** AWS für Hosting, Twilio für SMS/Messaging, Segment für Data Management
* **Geschäftspartner:** Email-Zustelldienstleister, Zahlung und Compliance-Partner
* **Drittländer:** Übermittlung an Braze Inc. (USA) zum Speichern und Verarbeiten
* **Analytik-Partner:** Daten können an externe Analytics-Plattformen übermittelt werden
* **Auskunftsersuchen:** Bei behördlichen Anfragen (mit Ausnahmen für US-Sicherheitsbehörden)
### Löschung [#löschung]
* Der Websitenbetreiber kann Benutzerprofile jederzeit aus Braze löschen
* Nach Löschung: Bis zu 30 Tage Aufbewahrung in Backups für Disaster Recovery
* Nach 30 Tagen: Permanente Löschung, außer aggregierte, anonymisierte Daten werden länger aufbewahrt
* Betroffene können Löschung ihrer Daten anfordern (Recht auf Vergessenwerden, Art. 17 DSGVO)
## E. Erhobene Daten beim Einsatz von Braze [#e-erhobene-daten-beim-einsatz-von-braze]
Bei der Nutzung von Braze verarbeitet der Websitenbetreiber folgende Datenarten:
* Name und E-Mail-Adresse
* Telefonnummer (optional)
* Besuchte Seiten und Klickpfade
* Produktanschauungen und Warenkorb-Inhalte
* Kaufhistorie (Betrag, Produkte, Datum)
* Seitenbesuche und Besuchsdauer
* IP-Adresse und Geolokation
* Geräteinformationen (Betriebssystem, Browser, App-Version)
* Nutzer-Segmente und Zielgruppen-Zuordnung
* Marketing-Präferenzen (Opt-in/Opt-out für Email, SMS, Push)
* Geburtsdatum (optional)
* Verhaltenssignale (Scroll-Tiefe, Mausbewegungen, Verweildauer)
* Nutzer-Inhalte (falls über Braze-Interface eingegeben)
Diese Daten lassen sich in folgende standardisierte Datenarten-Klassen einordnen:
* **Webserver-Protokolldaten:** IP-Adresse, Datum/Uhrzeit, Browser/OS, User-Agent
* **Klickpfade:** Besuchte Seiten, angeklickte Links, Referrer
* **Endgeräte-Daten:** Gerätetyp, Betriebssystem, Bildschirmauflösung, Browser
* **Browserinformationen:** Browsername, -version, installierte Erweiterungen
* **Grobe Standortdaten:** IP-basierter Standort auf Stadt-/Gemeindeebene
* **Nutzungskonto-Daten:** Name, E-Mail-Adresse, Telefon, Geburtsdatum
* **Nutzerprofile:** Segmente, Zielgruppen, Marketing-Präferenzen, Konversionsereignisse
* **Conversion-Ereignisse:** Produktkauf, Anmeldung, Download, Seitenaufruf
* **Interaktionsdaten:** Scroll-Bewegungen, Verweildauer, Klick-Sequenzen, Öffnungsraten (bei Email)
## F. Nutzungszwecke beim Einsatz von Braze [#f-nutzungszwecke-beim-einsatz-von-braze]
Bei der Nutzung von Braze werden Daten zu folgenden Zwecken verarbeitet:
**Primäre Zwecke:**
* **Funktionsbereitstellung:** Bereitstellung der Braze-Plattform, Kampagnen-Management, Segmentierung
* **Kommunikation:** Email-Marketing, Push-Notifications, In-App-Messaging, SMS
* **Marketing und Kundenengagement:** Gezielte Kampagnen basierend auf Nutzersegmenten
* **Personalisierung:** Anpassung von Inhalten an Nutzerverhalten
* **Vertragsdurchführung:** Falls Nutzer sich zu Marketing angemeldet hat (Abonnement)
* **Produktverbesserung:** Analyse von Kampagnen-Performance, A/B-Teste, Optimierungen
* **Allgemeine Produktverbesserung:** Verbesserung der Braze-Plattform selbst
**Sekundäre Zwecke (falls aktiviert):**
* **Analytik:** Braze-interne Analytics zur Verbesserung des Dienstes
* **Betrugsprävention:** Identifikation von Bot-Aktivitäten, Missbrauch
* **Compliance:** Einhaltung von CAN-SPAM (USA), GDPR, ePrivacy-Richtlinie
## G. Rechtsgrundlagen für Braze [#g-rechtsgrundlagen-für-braze]
**Schritt 1: Kategorisierung von Braze**
Braze ist ein **Auftragsverarbeiter** (Art. 28 DSGVO). Der Websitenbetreiber ist Verantwortlicher. Die Verantwortung liegt beim Websitenbetreiber dafür, dass:
* Eine Rechtsgrundlage für die Verarbeitung besteht
* Kundeneintretungen erforderlich sind (insbes. für Marketing)
* Eine DPA mit Braze besteht
**Schritt 2: Anwendbare Rechtsgrundlagen**
1. **Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) – Primär für Marketing:**
* Für Email-Marketing, Push-Notifications und SMS gilt in Deutschland und der EU das **Opt-in-Prinzip** (ePrivacy-Richtlinie 2002/58/EG, für elektronische Direktwerbung)
* Der Nutzer **muss explizit zustimmen**, bevor er Marketing-E-Mails erhält
* Ausnahme: »Bestandskundenwerbung« für ähnliche Produkte (etwas lockerer in manchen Ländern)
* Die Einwilligung **muss dokumentiert** sein (Zeit, Inhalt, Art der Zustimmung)
2. **Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO) – Für Analyse und Produktverbesserung:**
* Der Websitenbetreiber hat ein berechtigtes Interesse, Nutzerverhalten zu analysieren (für Verbesserung)
* Dies gilt für nicht-invasive Tracking (z.B. Analysierung welche Seiten beliebt sind)
* **Abwägung:** Die Interessen des Websitenbetreibers müssen die Interessen des Nutzers überwiegen
* Für Marketing selbst reicht berechtigte Interesse **nicht** aus (Einwilligung erforderlich)
3. **Vertragsdurchführung (Art. 6 Abs. 1 lit. b DSGVO) – Für transaktionale Kommunikation:**
* Falls der Nutzer etwas kauft, können Sie ihm eine Bestätigung per Email schicken (notwendig für Vertragserfüllung)
* Falls der Nutzer ein Abonnement abgeschlossen hat, können Sie transaktionale Nachrichten schicken
**Besonderheit – § 25 TDDDG und ePrivacy-Richtlinie:**
Für elektronische Direktwerbung (Email, SMS, Push zu Marketing-Zwecken) ist **Opt-in-Einwilligung** erforderlich (§ 25 Abs. 1 TDDDG für natürliche Personen). Dies ist höherwertig als die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO.
## H. Besonderheiten und Hinweise zu Braze [#h-besonderheiten-und-hinweise-zu-braze]
**1. Einwilligung für Marketing ist zwingend**
Braze wird primär für Marketing genutzt. Das bedeutet: **Sie benötigen ausdrückliche Einwilligung (Opt-in)** des Nutzers, bevor Sie ihm Marketing-E-Mails, Push-Notifications oder SMS schicken. Das Setzen von Braze SDK ist bereits eine Datenverarbeitung, aber die Nutzung für *aktive* Marketing erfordert Einwilligung.
**Empfehlung:**
* Zeigen Sie beim Besuch der Website einen Cookie-Banner oder eine Consent-Bar an
* »Ich akzeptiere Marketing-Emails von \[Websitename]« – Dies sollte ein separates Kontrollkästchen sein (nicht vorgeprüft)
* Speichern Sie diese Einwilligung dokumentiert (Datum, Formulierung, IP-Adresse)
* Nutzen Sie Braze nur dann, wenn Nutzer zustimmen
**2. DPA ist zwingend erforderlich**
Sie **müssen** eine Data Processing Agreement (DPA) mit Braze haben. Verfügbar unter: [https://www.braze.com/company/legal/dpa](https://www.braze.com/company/legal/dpa). Die DPA muss unterzeichnet sein, bevor Sie Braze nutzen.
**3. Braze ist DPF-zertifiziert**
Braze nutzt das **Data Privacy Framework (DPF)** für Drittlandtransfers. Das bedeutet:
* Daten werden in die USA übermittelt
* Braze hat sich selbst zertifiziert, dass es die DPF-Anforderungen erfüllt
* Sie können die Zertifizierung prüfen unter: [https://www.dataprivacyframework.gov/s/participant-search](https://www.dataprivacyframework.gov/s/participant-search)
* Im Fall der Invalidierung des DPF hat Braze **Standard Contractual Clauses (SCC)** als Fallback
Sie sollten in Ihrer Datenschutzerklärung offenlegen: »Marketingdaten werden in die USA zu Braze übermittelt. Braze ist Data Privacy Framework zertifiziert.«
**4. Subprozessoren und Email-Zustellung**
Braze selbst sendet Emails nicht – es beauftragt Email-Zustelldienstleister (z.B. SendGrid, AWS SES). Diese Subprozessoren sind in den Braze-Subprozessoren-Richtlinien dokumentiert. Sie sollten diese Richtlinien prüfen und in Ihrer Datenschutzerklärung erwähnen.
**5. Opt-out und Betroffenenrechte**
* Betroffene können sich jederzeit von Marketing abmelden (Unsubscribe)
* Betroffene können Auskunft über ihre Daten verlangen (Art. 15 DSGVO)
* Betroffene können Löschung verlangen (Art. 17 DSGVO)
* Sie sollten ein Verfahren haben, diese Anfragen entgegenzunehmen und an Braze weiterzuleiten
**6. Speicherdauer und Datenminimierung**
Legen Sie fest, wie lange Nutzer in Braze gespeichert werden. Empfehlung:
* Aktive Kunden: Für Dauer der Kundenbeziehung
* Inaktive Kunden: Z.B. 2 Jahre nach letztem Kauf oder Kontakt
* Gekündigte Kampagnen-Abos: 6 Monate (zum Nachweis des Opt-out)
## I. FAQ zu Braze [#i-faq-zu-braze]
Braze ist eine Customer Engagement Platform für Email-Marketing, Push-Notifications, In-App-Messaging und SMS. Ein Websitenbetreiber implementiert das Braze SDK auf seiner Website, es erfasst Nutzerverhalten, und der Websitenbetreiber erstellt Kampagnen, die gezielt an segmentierte Nutzergruppen versendet werden.
Braze erfasst Name, E-Mail, Telefon, Seiten-Besuche, Klicks, Kaufhistorie, IP-Adresse, Geräteinformationen, Nutzer-Segmente und Marketing-Präferenzen.
Primär **Einwilligung (Opt-in)** für aktive Marketingkommunikation (Art. 6 Abs. 1 lit. a DSGVO, § 25 TDDDG). Sekundär berechtigte Interessen für Analytik und Produktverbesserung.
Ja. Bevor Sie Marketingkampagnen über Braze versenden, benötigen Sie **ausdrückliche Zustimmung (Opt-in)** von der Person. Das Setzen von Braze SDK zur Verhaltenserfassung benötigt ebenfalls Cookie-Einwilligung (§ 25 TDDDG).
Ja, zwingend erforderlich. Verfügbar unter: [https://www.braze.com/company/legal/dpa](https://www.braze.com/company/legal/dpa). Muss unterzeichnet sein.
Statt »Braze verarbeitet Marketingdaten« empfehlen wir einen **themenorientierten Abschnitt:**
»**Marketing und Kundenengagement:** Wir nutzen die Braze-Plattform, um gezielt Marketingkampagnen per Email, Push-Notification und SMS an Nutzer zu versenden, die sich dafür entschieden haben. Braze (Braze, Inc., USA) erhebt Ihre Name, E-Mail-Adresse, Klickverhalten und Kaufhistorie zum Zweck des Marketings auf Basis Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Daten werden in die USA übermittelt; Braze ist Data Privacy Framework zertifiziert. Sie können sich jederzeit von Marketingkommunikation abmelden (Unsubscribe-Link am Ende jeder Email).«
Verwenden Sie dazu unser **kostenloses Generator-Tool** (s.u.).
## J. Fazit und Empfehlung zu Braze [#j-fazit-und-empfehlung-zu-braze]
Braze ist ein leistungsstarkes Marketing-Tool, das jedoch datenschutzrechtlich komplex ist: **Einwilligung für Marketingkommunikation ist zwingend erforderlich**, Drittlandtransfers in die USA, Subprozessoren, und mehrere Rechtsgrundlagen je nach Nutzungsfall.
**Toolspezifische Textbausteine** (»Braze verarbeitet Marketingdaten«) sind viel zu kurz und verstecken die wichtigen Informationen (Drittlandtransfer, Einwilligung erforderlich).
**Empfehlung:** Nutzen Sie einen **themenorientierten Aufbau:**
* Sektion »Marketing und Kundenengagement« mit Beschreibung aller Kanäle (Email, Push, SMS)
* Klare Information: »Wir schicken Ihnen nur Marketing-Emails, wenn Sie zustimmen«
* Sektion »Ihre Rechte« mit Info zu Opt-out, Auskunft, Löschung
* Sektion »Drittlandtransfers« mit Verweis auf DPF
* Anhang mit Subprozessoren-Liste
Stellen Sie sicher, dass:
* Ein Opt-in-Consent-Mechanismus vorhanden ist (Cookie-Banner oder Checkbox)
* Die DPA mit Braze unterzeichnet ist
* Nutzer einfach abmelden können (Unsubscribe)
* Ein interner Prozess für Betroffenenrechtsanfragen besteht
Dieser Beitrag dient der allgemeinen Information zu Braze und ersetzt keine rechtliche Beratung im Einzelfall. Information beruht auf Braze-Anbieterangaben und öffentlich zugänglichen Quellen (Stand: 2026-04-22).
# Brightcove Video Cloud und Datenschutz – Was in die Datenschutzerklärung gehört (/docs/privacy-policy-website/brightcove-datenschutzerklaerung)
# Brightcove Video Cloud und Datenschutz – Was Webseitenbetreiber wissen müssen [#brightcove-video-cloud-und-datenschutz--was-webseitenbetreiber-wissen-müssen]
Setzt ein Webseitenbetreiber Brightcove ein, verarbeitet er Video-Nutzungsdaten (Wiedergabeereignisse, Zuschauer-Metadaten, Engagement-Metriken) zum Zweck der Video-Bereitstellung und -Analytik auf Basis von berechtigten Interessen (Art. 6 Abs. 1 lit. f DSGVO) oder Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) für Tracking-Komponenten. Brightcove ist ein US-amerikanisches Unternehmen und fungiert als Auftragsverarbeiter; Daten können auf US-Servern gespeichert werden, was Standard Contractual Clauses (SCC) erfordert. Diese Anleitung erklärt, welche Informationen in die Datenschutzerklärung gehören und welche Besonderheiten bei Brightcove zu beachten sind.
## A. Zweck und Funktionsweise von Brightcove [#a-zweck-und-funktionsweise-von-brightcove]
Brightcove Video Cloud ist eine cloudbasierte Video-Hosting- und -Management-Plattform. Der Webseitenbetreiber lädt Videos in Brightcove hoch, speichert Metadaten und stellt die Videos dann auf seiner Website bereit – typischerweise über einen Brightcove-Player-iFrame oder einen eingebetteten Video-Player. Brightcove unterstützt verschiedene Funktionalitäten:
* **Video-Hosting und -Verwaltung**: Speicherung von Videos in der Cloud, Konvertierung in verschiedene Formate, Bereitstellung über ein CDN
* **Brightcove Smart Player**: Ein anpassbarer Video-Player, der auf Websites eingebettet wird
* **Video Analytics**: Erfassung von Wiedergabeereignissen, Zuschauer-Engagement, Abbruchpunkte
* **Monetarisierung**: Optionale Einbindung von Werbung und Abonnement-Verwaltung
* **Live Streaming**: Übertragung von Live-Events über die Plattform
Die Integration erfolgt über einen iFrame oder einen JavaScript-Player-Code, der in den HTML-Quellcode eingebettet wird. Bei jedem Videoaufruf kommuniziert der Player mit Brightcove-Servern und erfasst Nutzungsdaten. **Wichtig**: Daten können auf US-Servern (Boston, MA) sowie in anderen regionalen Rechenzentren gespeichert werden.
## B. Pflichtangaben in der Datenschutzerklärung zu Brightcove [#b-pflichtangaben-in-der-datenschutzerklärung-zu-brightcove]
Nach der DSGVO muss ein Webseitenbetreiber in seiner Datenschutzerklärung transparent offenlegen, welche Daten verarbeitet werden, zu welchen Zwecken und auf welcher Rechtsgrundlage. Bei Brightcove sind folgende Angaben erforderlich:
* **Zwecke**: Bereitstellung und Wiedergabe von Videos, Erfassung von Zuschauer-Engagement, Video-Analytik, Fehlerdiagnose, ggf. Videowerbung und Monetarisierung
* **Rechtsgrundlage**: Berechtigte Interessen (Art. 6 Abs. 1 lit. f – für Video-Bereitstellung und Analytik) oder Einwilligung (Art. 6 Abs. 1 lit. a) für Tracking/Advertising-Komponenten
* **Empfänger/Kategorien**: Brightcove Inc. (USA), Subprozessoren, potenziell Drittanbieter-Werbenetzwerke (je nach Konfiguration)
* **Drittlandtransfers**: Standard Contractual Clauses (SCC) sind erforderlich, da Brightcove US-basiert ist; DPF-Status: vom Betreiber zu verifizieren
* **Speicherdauer**: Abhängig von Konfiguration; vom Betreiber zu verifizieren
* **Datenkategorien**: Siehe Abschnitt E
**Wichtiger Hinweis**: Brightcove-spezifische Textbausteine können zu Verwirrung führen, da die Technologie komplex ist (Player, CDN, Analytics, Ads). Ein themenorientierter Ansatz (z.B. Abschnitt „Embedded Media & Videos") ist besser. Der matterius-Generator erstellt solche flexiblen Formulierungen automatisch.
## C. Anbieter von Brightcove: Brightcove Inc. [#c-anbieter-von-brightcove-brightcove-inc]
**Juristischer Name**: Brightcove Inc.\
**Anschrift**: 290 Congress Street, 4th Floor, Boston, MA 02210, USA\
**Sitzland**: USA (Massachusetts)\
**DPF-Status**: vom Betreiber zu verifizieren (nicht in offiziellem DPF-Verzeichnis bestätigt, aber SCC vorhanden)\
**Datenschutzerklärung**: [https://www.brightcove.com/en/legal/privacy/](https://www.brightcove.com/en/legal/privacy/)\
**AVV/DPA**: Data Processing Amendment (DPA) kann über den Kundenaccount oder per E-Mail an [gdpr@brightcove.com](mailto:gdpr@brightcove.com) angefordert werden. Das DPA enthält Standard Contractual Clauses für Drittlandtransfers.\
**Kontakt für Datenschutzfragen**: [gdpr@brightcove.com](mailto:gdpr@brightcove.com)
## D. Datenverarbeitung durch Brightcove – Ablauf [#d-datenverarbeitung-durch-brightcove--ablauf]
### Erhebung [#erhebung]
Der Webseitenbetreiber lädt Videos in Brightcove hoch und integriert den Brightcove-Player über einen iFrame oder JavaScript-Code in die Website. Wenn ein Besucher das Video aufruft oder abspielt, kommuniziert der Player mit Brightcove-Servern. Es werden sofort Basisdaten (IP-Adresse, Browser, Device) erfasst. Optional können auch Analytics-Tracklets aktiviert werden, die detaillierte Engagement-Daten liefern.
### Speicherung [#speicherung]
Die Video-Dateien selbst werden auf Brightcove-CDN-Servern (möglicherweise in USA und anderen Regionen) gespeichert. Metadaten, Analytics-Daten und Zuschauer-Profile werden in Brightcove-Datenbanken (typischerweise USA) gespeichert. Die genaue Speicherdauer und Region ist vom Webseitenbetreiber zu konfigurieren und mit Brightcove abzuklären. Standard ist: Aufbewahrung solange das Video aktiv ist, plus ein konfigurierbarer Zeitraum (oft 30-90 Tage) nach Löschung.
### Nutzung [#nutzung]
Brightcove nutzt die erfassten Daten zur Bereitstellung des Video-Players, zum Monitoring von Performance (Fehler, Ladezeiten), zur Generierung von Analytics-Berichten und optional zur Ausrichtung von Videowerbung. Der Webseitenbetreiber kann über sein Dashboard auf die Analytics zugreifen und kann auch Zuschauer-Profile segmentieren.
### Weitergabe [#weitergabe]
Brightcove teilt Daten mit Subprozessoren (z.B. CDN-Provider, Analytics-Services, Werbenetzwerke). Alle Subprozessoren haben mit Brightcove Data Processing Agreements und SCCs vereinbart. Optional kann der Webseitenbetreiber auch Daten an Drittanbieter-Services exportieren (z.B. Google Analytics, Facebook Pixel).
### Löschung [#löschung]
Nach Ablauf der konfigurierten Aufbewahrungsfrist werden Analytics-Daten automatisch gelöscht. Video-Dateien können manuell vom Webseitenbetreiber gelöscht werden. Zuschauer-Profile und personalisierte Daten werden ebenfalls nach der konfigurierten Frist gelöscht. Ein manueller Lösch-Request ist über Datenschutzformulare möglich.
## E. Erhobene Daten beim Einsatz von Brightcove [#e-erhobene-daten-beim-einsatz-von-brightcove]
Brightcove erfasst verschiedene Kategorien von Daten, abhängig von der Konfiguration des Players und der aktivierten Features. Diese Daten lassen sich in folgende standardisierte Datenarten-Klassen einordnen:
* **Webserver-Protokolldaten**: IP-Adresse, Datum/Uhrzeit/Zeitzone, User-Agent, Browser/OS/Gerät
* **Klickpfade**: Besuchte Seite mit Video, Referrer-URL, Navigation nach Videowiedergabe
* **Endgeräte-Daten**: Gerätetyp, Betriebssystem, Bildschirmauflösung, Verbindungstyp (WiFi/Mobile)
* **Browserinformationen**: Browsername, Browserversion, Plugins
* **Grobe Standortdaten**: IP-basierter grober Standort (Stadt/Land)
* **Interaktionsdaten**: Play/Pause/Seek-Events, Verweilzeit, Vollständigkeit der Videowiedergabe, Abbruchpunkte, Lautstärkeregelung
* **Technische Telemetriedaten**: Fehler beim Laden, Puffering-Ereignisse, Bitrate-Anpassungen, Ladezeiten
Optional können auch Zuschauer-Identifikatoren (Cookies, User-IDs) erfasst werden, wenn der Webseitenbetreiber Zuschauer-Tracking aktiviert.
## F. Nutzungszwecke beim Einsatz von Brightcove [#f-nutzungszwecke-beim-einsatz-von-brightcove]
Brightcove verarbeitet Daten zu mehreren Zwecken. Diese Daten lassen sich in folgende Zweck-Klassen einordnen:
* **Funktionsbereitstellung**: Bereitstellung und Wiedergabe von Videos, Fehlerdiagnose, Performance-Monitoring, CDN-Optimierung
* **Allgemeine Produktverbesserung**: Verbesserung der Player-Funktionalität, Optimierung von Streaming-Qualität, Nutzungsanalysen
* **Allgemeines Marketing**: Video-Performance-Berichte, Trend-Analysen, Benchmarking
* **Sicherheit und Missbrauchsschutz**: DRM (Digital Rights Management), Schutz vor unautorisierten Zugriffen
* **Kommunikation**: Optional: Benachrichtigungen über Video-Verfügbarkeit oder Abschriften
* **Konvertierungen und Monetarisierung**: Tracking von Zuschauer-Engagement für Werbeziele (falls Videowerbung konfiguriert)
## G. Rechtsgrundlagen für Brightcove [#g-rechtsgrundlagen-für-brightcove]
Die Rechtsgrundlage hängt vom Einsatzszenario ab:
1. **Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO)**: Für die reine Video-Bereitstellung und grundlegende Analytik (Performance-Monitoring, Fehlerdiagnose) ist ein berechtigtes Interesse gegeben – der Webseitenbetreiber hat ein legitimes Interesse, seine Inhalte bereitzustellen und deren Performance zu optimieren.
2. **Einwilligung (Art. 6 Abs. 1 lit. a DSGVO)**: Für erweiterte Tracking-Features (z.B. Zuschauer-Profiling, Video-Werbe-Tracking, Conversion-Tracking) ist eine ausdrückliche Einwilligung erforderlich, insbesondere wenn Cookies oder Tracking-Pixel im Spiel sind.
3. **Vertragsdurchführung (Art. 6 Abs. 1 lit. b DSGVO)**: Selten, z.B. wenn das Video Teil eines kostenpflichtigen Abonnement-Services ist.
**Im Einzelfall zu prüfen**, welche Rechtsgrundlagen kombiniert werden müssen. Ein sicherer Ansatz: Einwilligung für alle Tracking-Features einholen.
## H. Besonderheiten und Hinweise zu Brightcove [#h-besonderheiten-und-hinweise-zu-brightcove]
* **Drittlandtransfer zu den USA**: Daten können auf US-Servern (Boston, MA) gespeichert werden. Dies ist über Standard Contractual Clauses (SCC) rechtlich gedeckt. DPF-Zertifizierung ist vom Betreiber zu verifizieren.
* **Data Processing Agreement (DPA)**: Das DPA/AVV kann per E-Mail an [gdpr@brightcove.com](mailto:gdpr@brightcove.com) angefordert werden und sollte unterzeichnet sein, bevor persönliche Daten verarbeitet werden.
* **CDN und regionale Speicherung**: Brightcove verwendet ein globales CDN, das bedeutet, dass Videos auf Servern in verschiedenen Ländern zwischengespeichert werden. Dies ist eine technische Notwendigkeit und ist transparent in den Datenschutzerklärungen dokumentiert.
* **Video-Werbung und Tracking**: Wenn der Webseitenbetreiber Videowerbung aktiviert hat, können Drittanbieter-Werbenetzwerke (z.B. Google AdSense, Crunchyroll, etc.) zusätzliche Daten erfassen. Dies muss in der Datenschutzerklärung separat offengelegt werden.
* **Zuschauer-Identifizierung**: Wenn der Webseitenbetreiber Zuschauer-IDs oder Zuschauer-Profile nutzen möchte, müssen diese über ein Nutzer-Account-System oder Cookies realisiert werden – eine zusätzliche Einwilligung kann erforderlich sein.
## I. FAQ zu Brightcove [#i-faq-zu-brightcove]
Brightcove ist eine cloudbasierte Video-Hosting- und -Management-Plattform, die es Webseitenbetreibern ermöglicht, Videos zu speichern, zu verwenden, zu Analytics und optional zu monetarisieren. Videos werden über einen eingebetteten Player bereitgestellt.
Brightcove erfasst IP-Adresse, Browser-Informationen, Geräte-Metadaten, Video-Wiedergabeereignisse (Play, Pause, Seek), Verweilzeit, Abbruchpunkte und optional Zuschauer-Identifikatoren (Cookies, User-IDs). Standortdaten können IP-basiert grob ermittelt werden.
Für die reine Video-Bereitstellung und Performance-Monitoring: berechtigte Interessen (Art. 6 Abs. 1 lit. f). Für erweiterte Tracking- und Advertising-Features: Einwilligung (Art. 6 Abs. 1 lit. a). Im Einzelfall zu prüfen und transparent in der Datenschutzerklärung darzulegen.
Ja, möglicherweise. Brightcove ist ein US-amerikanisches Unternehmen (Boston) und kann Daten auf US-Servern speichern. Dies ist unter Standard Contractual Clauses (SCC) rechtlich zulässig. Der Webseitenbetreiber sollte dies in der Datenschutzerklärung unter "Drittlandtransfers" offenlegen.
Ja. Das Data Processing Agreement mit Standard Contractual Clauses kann per E-Mail an [gdpr@brightcove.com](mailto:gdpr@brightcove.com) angefordert werden und sollte unterzeichnet sein.
Ein guter Textbaustein beschreibt Brightcove unter einem übergeordneten Abschnitt „Embedded Media & Videos", nennt die Zwecke, die erfassten Daten, die Rechtsgrundlagen und hinweist auf Drittlandtransfers (USA, SCC). Der matterius-Generator erstellt solche Formulierungen dynamisch.
## J. Fazit und Empfehlung zu Brightcove [#j-fazit-und-empfehlung-zu-brightcove]
Brightcove ist eine leistungsstarke Video-Plattform mit etablierter DSGVO-Dokumentation und verfügbarem DPA/AVV. Die Hauptschwierigkeit ist die Drittlandtransfer zu den USA und die komplexe Konfigurierbarkeit (Player, Analytics, Ads). Für DSGVO-Konformität sind folgende Punkte essentiell: (1) Klarheit über aktivierte Features (Analytics, Ads) und deren Rechtsgrundlagen, (2) transparente Offenlegung von Drittlandtransfers (USA, SCC), (3) unterzeichnetes DPA/AVV, (4) Nutzer-Einwilligung für Tracking-Features.
**Problematisch**: Ein reiner Copy-Paste von Brightcove-Dokumentation. Besser: Ein themenorientierter Ansatz, der alle Video-Plattformen (Brightcove, Vimeo, YouTube, Wistia) unter einem Dach behandelt und klar zwischen reiner Video-Bereitstellung und Tracking/Advertising unterscheidet. Diese Information beruht auf Anbieterangaben und öffentlich zugänglichen Quellen (Stand: 2026-04-22). Im Einzelfall kann rechtliche Beratung erforderlich sein.
Dieser Beitrag dient der allgemeinen Information zu Brightcove und ersetzt keine rechtliche Beratung im Einzelfall. Stand: 2026-04-22.
# Cookiebot und Datenschutz – Was in die Datenschutzerklärung gehört (/docs/privacy-policy-website/cookiebot-datenschutzerklaerung)
# Cookiebot und Datenschutz – Was in die Datenschutzerklärung gehört [#cookiebot-und-datenschutz--was-in-die-datenschutzerklärung-gehört]
Wer Cookiebot auf seiner Website einsetzt, muss die Nutzung in der Datenschutzerklärung offenlegen. Das Consent Management System verarbeitet personenbezogene Daten – etwa IP-Adressen und Browserinformationen von Website-Besuchern – und erfordert daher fundierte Datenschutzangaben nach der DSGVO. Dieser Beitrag zeigt auf, welche Informationen rechtlich notwendig sind, wie die Datenverarbeitung abläuft und welche Besonderheiten Betreiber beachten sollten.
## A. Zweck und Funktionsweise von Cookiebot [#a-zweck-und-funktionsweise-von-cookiebot]
Cookiebot ist eine Consent Management Platform (CMP) des dänischen Unternehmens Usercentrics A/S (ehemals Cybot). Die Plattform dient Websites dazu, rechtskonforme Einwilligungsbanner zu generieren und alle auf einer Website vorhandenen Cookies sowie Tracking-Tools automatisch zu erfassen.
Das System funktioniert über einen JavaScript-Code, den Webseitenbetreiber in ihre Website einbinden. Dieser Code führt automatisch einen Cookie-Scan durch: Das System crawlt die Website und identifiziert alle gesetzten Cookies und Tracker (auch von Drittanbietern) und kategorisiert sie automatisch. Cookiebot zeigt dann einen anpassbaren Consent-Banner an, über den Website-Besucher ihre Einwilligung zu Cookies und Trackern erteilen oder verweigern können.
Ein zentraler Punkt: Cookiebot selbst ist ein Datenschutztool, setzt aber auch eigene Cookies (auf cookiebot.com). Die Zustimmungsentscheidungen der Nutzer werden geloggt und zentral gespeichert. Der Webseitenbetreiber kann die erteilten und verweigerten Zustimmungen im Cookiebot-Dashboard abrufen und so den Nachweis einer Einwilligung führen – was Cookiebot als Auftragsverarbeiter für das Consent-Speichern darstellt.
## B. Pflichtangaben in der Datenschutzerklärung [#b-pflichtangaben-in-der-datenschutzerklärung]
Wer Cookiebot einsetzt, muss dies in der Datenschutzerklärung nach Art. 13 Abs. 1 DSGVO offenlegen. Die DSGVO verlangt folgende Mindestangaben:
* Den Namen und die Kontaktdaten des Verantwortlichen (Art. 13 Abs. 1 lit. a)
* Den Namen und die Kontaktdaten eines Datenschutzbeauftragten, falls vorhanden (Art. 13 Abs. 1 lit. b)
* Die **Zwecke** der Verarbeitung (Art. 13 Abs. 1 lit. c)
* Die **Rechtsgrundlagen** (Art. 13 Abs. 1 lit. d)
* Die **Empfänger** der Daten (Art. 13 Abs. 1 lit. e)
* Die Speicherdauer oder Kriterien für die Festlegung derselben (Art. 13 Abs. 1 lit. f)
* Die Rechte der betroffenen Person (Art. 13 Abs. 2)
Für Cookiebot relevant sind insbesondere:
* Informationen darüber, dass die Zustimmungsdaten an Usercentrics A/S weitergegeben werden (Auftragsverarbeiter)
* Die spezifischen Zwecke: Einwilligungsverwaltung, Dokumentation von Zustimmungen, Missbrauchsschutz
* Rechtsgrundlage: regelmäßig Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Compliance und Rechtsdurchsetzung)
* Speicherdauer der Consent-Logs und Einzelheiten zur Anonymisierung
## C. Anbieter: Usercentrics A/S [#c-anbieter-usercentrics-as]
Die Datenverarbeitung durch Cookiebot erfolgt durch **Usercentrics A/S**, ein dänisches Unternehmen mit Sitz in der Europäischen Union. Dies ist ein bedeutender rechtlicher Vorteil, da kein Datenschutzschutzniveau-Problem (DPF/Adequacy Decision) vorliegt wie bei Übermittlungen in die USA.
**Unternehmensangaben:**
* Name: Usercentrics A/S
* Sitz: Havnegade 39, 1058 Kopenhagen K, Dänemark
* Unternehmens-Registrierungsnummer: 34624607
* E-Mail: [mail@cookiebot.com](mailto:mail@cookiebot.com)
* Phone: +45 50 333 777
Der Sitz im Europäischen Wirtschaftsraum (EWR) bedeutet, dass die Verarbeitung grundsätzlich unter DSGVO-Schutz stattfindet. Allerdings: Usercentrics/Cookiebot nutzt Akamai, ein Content Delivery Network (CDN) mit Servern in den USA. Dies führt zu Drittlandtransfer-Problemen (siehe Abschnitt H).
Weitere Informationen zur Datenschutzpraxis von Usercentrics/Cookiebot finden sich in der Privacy Policy auf cookiebot.com.
## D. Datenverarbeitung – Ablauf [#d-datenverarbeitung--ablauf]
Die Verarbeitung von Daten durch Cookiebot folgt einem strukturierten Ablauf:
Beim Laden der Website wird das Cookiebot-JavaScript-Skript geladen. Das System crawlt die Seite, erkennt alle Cookies und Tracker, und zeigt den Consent-Banner an. Dabei werden vom Nutzer automatisch erfasst: IP-Adresse, Browsertyp, Betriebssystem, Gerätetyp und Zeitstempel.
Der Nutzer wählt im Banner, welche Cookie-Kategorien er zulässt oder ablehnt. Diese Entscheidung wird als Einwilligungsdatensatz geloggt und in einem zentralen Consent-Log gespeichert. Das Log enthält die anonymisierte IP-Adresse (letzte drei Ziffern auf „0" gesetzt), die Uhrzeit, den Browser-UA, und den Consent-Status.
Der Webseitenbetreiber kann das Consent-Log abrufen, um nachzuweisen, dass er eine gültige Einwilligung vorliegen hat – z.B. für Google Analytics, Facebook Pixel oder andere Tracker, die nur mit Zustimmung betrieben werden dürfen.
Usercentrics selbst gibt die Daten an Subprozessoren weiter, insbesondere an Akamai (USA) für das CDN. Allerdings bietet Usercentrics optional einen EU-CDN-Anbieter (BunnyWay, Slowenien) an.
Gespeicherte Einwilligungsdaten werden regelmäßig gelöscht – vom Betreiber zu verifizieren sind die exakten Retention-Policies in den Nutzungsbedingungen oder beim Support.
## E. Erhobene Daten [#e-erhobene-daten]
Cookiebot verarbeitet eine Vielzahl von Datenkategorien. Im Einzelnen:
**Webserver-Protokolldaten**
Die IP-Adresse des Website-Besuchers wird in anonymisierter Form erfasst (die letzten drei Ziffern werden auf „0" gesetzt). Daneben werden Datum und Uhrzeit der Zustimmung, sowie Logdaten des Webservers erfasst.
**Endgeräte- und Browserinformationen**
Der Browser-User-Agent (Browsertyp, Version, Betriebssystem), Gerätetyp und Bildschirmauflösung werden erfasst, um das Consent-Banner responsiv und korrekt anzuzeigen.
**Cookie- und Tracker-Daten**
Cookiebot scannt automatisch alle Third-Party-Cookies und Tracking-Pixel auf der Website und dokumentiert deren Parameter.
**Grobes Standortdatum**
Aus der anonymisierten IP-Adresse wird der ungefähre geografische Standort abgeleitet (auf Land/Region-Ebene).
**Nutzer-Inhalte: Einwilligungsdaten**
Der Kern sind die Zustimmungsentscheidungen selbst: Welche Cookie-Kategorien hat der Nutzer akzeptiert oder abgelehnt? Diese Daten werden als **Consent-Status** mit einem verschlüsselten, anonymen Schlüssel gespeichert.
**Nutzungskonto-Daten (für Betreiber)**
Falls der Webseitenbetreiber das Cookiebot-Dashboard nutzt, verarbeitet Usercentrics auch Daten zum Betreiber-Account: Login-Daten, Zugriffslogging, Konfigurationsänderungen.
## F. Nutzungszwecke [#f-nutzungszwecke]
Die Datenverarbeitung durch Cookiebot erfolgt mit folgenden Zwecken:
**Funktionsbereitstellung und Consent-Management**
Der primäre Zweck ist, Website-Besuchern ein Consent-Banner bereitzustellen, auf dem sie ihre Zustimmung zu Cookies erteilen oder verweigern können. Ohne diese Verarbeitung kann das Banner nicht funktionieren.
**Dokumentation und Compliance**
Cookiebot speichert alle erteilten und verweigerten Zustimmungen zentral, um dem Betreiber einen Nachweis zu erbringen, dass er bei der Aktivierung von Tracking-Tools (wie Google Analytics) eine gültige Einwilligung erhalten hat. Dies ist Anforderung der DSGVO (Art. 7 Abs. 1) und des deutschen TDDDG (§ 25 TDDDG).
**Sicherheit und Missbrauchsschutz**
Cookiebot kann Bot-Aktivitäten erkennen und blockieren, um zu verhindern, dass Bots falsche Zustimmungen registrieren. Auch wird versucht, DoS-Attacken auf das Banner selbst zu verhindern.
**Rechtsdurchsetzung**
Sollte es zu Rechtsstreitigkeiten kommen, können die Consent-Logs als Nachweis dienen, dass eine Einwilligung vorlag.
**Systemverwaltung und Verbesserung**
Usercentrics nutzt Nutzungsdaten (in aggregierter Form) auch, um das System zu optimieren, Fehler zu beheben und neue Features zu entwickeln.
## G. Rechtsgrundlagen [#g-rechtsgrundlagen]
Die Rechtsgrundlagen für die Datenverarbeitung durch Cookiebot sind differenziert zu betrachten:
**Einwilligungserfassung und Consent-Logging**
Für die bloße Erfassung und Speicherung der Zustimmungsentscheidungen ist regelmäßig **Art. 6 Abs. 1 lit. f DSGVO** (berechtigtes Interesse) die Rechtsgrundlage. Der Webseitenbetreiber hat ein berechtigtes Interesse daran, den Nachweis einer gültigen Einwilligung zu führen, um selbst DSGVO-konform zu agieren. Dies ist sogar im Sinne der betroffenen Person, da sie damit ihre Datenschutzrechte wahren kann.
Eine alternative Sicht würde **Art. 6 Abs. 1 lit. c DSGVO** (rechtliche Verpflichtung) heranziehen: Der Betreiber ist verpflichtet, Einwilligungen zu dokumentieren (Art. 7 DSGVO).
**Verarbeitung für technische Zwecke (IP, Browser-Daten)**
Die Erfassung von IP-Adresse, Browser-Informationen und Zeitstempel ist notwendig für die Funktionsfähigkeit des Banners und die eindeutige Zuordnung von Zustimmungen. Auch hier ist **Art. 6 Abs. 1 lit. f DSGVO** die Rechtsgrundlage.
**Besonderheit: Cookie des Consent-Banners selbst**
Das Cookiebot-Cookie selbst (das die Zustimmungsentscheidung speichert) wird oft als **notwendig** für das Consent-Management eingestuft und unterliegt somit nicht der Einwilligungspflicht nach Art. 7 TDDDG / § 25 TDDDG. Dies ist eine Grauzone und sollte vom Betreiber dokumentiert und ggf. mit Datenschutz-Beratern geklärt werden.
## H. Besonderheiten und Hinweise [#h-besonderheiten-und-hinweise]
**AVV/DPA ist zwingend erforderlich**
Da Cookiebot personenbezogene Daten im Auftrag des Webseitenbetreibers verarbeitet, ist ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO rechtlich erforderlich. Betreiber sollten prüfen, ob Usercentrics einen DPA (Data Processing Agreement) anbietet und diesen unterzeichnet haben. Fehlende AVV-Verträge führen zu Haftungsrisiken für den Betreiber.
**Cookie-Scan und automatische Cookie-Erkennung**
Cookiebot scannt die Website kontinuierlich und erkennt Cookies automatisch. Dies ist ein erheblicher Verarbeitungsschritt. Der Betreiber verarbeitet durch die Nutzung von Cookiebot also zusätzliche Daten (die gescannten Cookies), was in der Datenschutzerklärung erwähnt werden sollte.
**Cookiebot-Cookie selbst ist notwendig**
Das Cookiebot-Cookie, das die Zustimmungsentscheidung des Nutzers speichert (typischerweise als „CookieConsent" oder „OptanonConsent"), ist notwendig für die Funktion des Consent-Managements und unterliegt daher nicht der Einwilligungspflicht nach TDDDG § 25 Abs. 1. Es kann auch ohne explizite Zustimmung gespeichert werden.
**Drittlandtransfer und Akamai**
Usercentrics nutzt das CDN Akamai (USA) als Subprozessor, was zu Datenübermittlungen in die USA führt. Dies ist datenschutzrechtlich umstritten und birgt Risiken im Hinblick auf Schrems II und das Fehlen eines angemessenen Datenschutzniveaus. Betreiber sollten klären, ob die EU-CDN-Alternative von Usercentrics genutzt werden kann (BunnyWay, Slowenien).
**Anonymisierung der IP-Adresse ist unvollständig**
Cookiebot anonymisiert die IP-Adresse, indem es die letzten drei Ziffern auf „0" setzt. Dies entspricht der Anonymisierungspraxis anderer Tools, wird aber von Datenschützern kritisch betrachtet: Unter Umständen ist dies nur eine Pseudonymisierung, keine vollständige Anonymisierung.
**Missbrauch und Manipulation**
Besonders kritisch ist: Zustimmungen können nicht vollständig manipulationssicher sein. Ein Nutzer könnte technisch die Zustimmung (über Browserkonsole) manipulieren. Cookiebot versucht, dies durch Bot-Detection zu verhindern, aber das Risiko bleibt.
## I. Häufige Fragen zu Cookiebot und Datenschutz [#i-häufige-fragen-zu-cookiebot-und-datenschutz]
Cookiebot ist eine Consent Management Platform (CMP) des dänischen Unternehmens Usercentrics A/S. Es zeigt einen anpassbaren Cookie-Banner auf der Website an, scannt automatisch alle Cookies und Tracker auf der Seite, und speichert die Zustimmungsentscheidungen von Website-Besuchern. Dies ermöglicht es dem Webseitenbetreiber, den Nachweis zu erbringen, dass er eine gültige Einwilligung zu Cookies erhalten hat.
Cookiebot verarbeitet personenbezogene Daten (IP-Adressen, Browserinformationen, Zustimmungsdaten) und muss daher nach Art. 13/14 DSGVO in der Datenschutzerklärung transparent offengelegt werden. Website-Besucher müssen wissen, dass ihre Daten für die Consent-Verwaltung erfasst und gespeichert werden.
Die primäre Rechtsgrundlage ist **Art. 6 Abs. 1 lit. f DSGVO** (berechtigtes Interesse): Der Webseitenbetreiber hat ein berechtigtes Interesse daran, Zustimmungen zu dokumentieren und damit selbst rechtskonform zu agieren. Alternativ kann **Art. 6 Abs. 1 lit. c DSGVO** (rechtliche Verpflichtung) relevant sein, da die DSGVO die Dokumentation von Einwilligungen verlangt.
Dies ist umstritten und der Betreiber sollte diese Frage individuell prüfen. Kritische Punkte sind: (1) Drittlandtransfers über Akamai (USA) und fehlendes Datenschutzniveau, (2) unvollständige Anonymisierung der IP-Adresse, (3) fehlende oder unzureichende AVV-Verträge in manchen Fällen. Einige deutsche Behörden und Gerichte haben Kritik geäußert. Eine pauschale Zulässigkeit oder Unzulässigkeit gibt es nicht – es kommt auf die konkrete Konfiguration an.
Ja, ein Textbaustein ist sinnvoll, aber nicht als Copy-Paste. Besser ist ein **individualisierter, verfahrensorientierter Ansatz**, der die spezifische Nutzung von Cookiebot auf der eigenen Website abbildet. Generische Textbausteine führen oft dazu, dass wichtige Details übersehen werden oder irrelevante Punkte aufgezählt werden. Der Text sollte auf die eigenen Kategorien, Zwecke und Subprozessoren zugeschnitten sein.
## J. Fazit [#j-fazit]
Cookiebot ist eine weit verbreitete CMP, die Datenschutzpflichten für Webseitenbetreiber schafft und erfüllt zugleich. Die Einbindung erfordert transparente Datenschutzangaben nach DSGVO – nicht nur einer generischen Aufzählung, sondern einer verfahrensorientierten Erklärung, die die Zwecke, Datentypen, Rechtsgrundlagen und Besonderheiten (Drittlandtransfer, Anonymisierung, AVV-Status) konkret darstellt.
Ein pauschaler Textbaustein für Cookiebot ist weniger sinnvoll als eine individuelle Dokumentation, die das eigene System abbildet: Welche Cookie-Kategorien werden betrieben? Welche Subprozessoren sind eingebunden? Wurde ein DPA mit Usercentrics geschlossen? Wird die EU-CDN-Alternative genutzt?
Die kritischen Punkte (Drittlandtransfer über Akamai, Anonymisierung, fehlende AVV) sollten dokumentiert und in Abstimmung mit Datenschutz-Beratern geklärt werden. Betreiber sollten regelmäßig überprüfen, ob Usercentrics Verbesserungen vorgenommen hat und ob die eigene Konfiguration noch datenschutzkonform ist.
**Disclaimer.** Dieser Beitrag stellt keine Rechtsberatung dar. Er beschreibt Stand und Anforderungen nach aktuellem Wissen (April 2026). Datenschutzrecht unterliegt ständiger Änderung durch Urteile, Behördeninterprationen und technische Entwicklungen. Betreiber sollten ihre Datenschutzmaßnahmen und Dokumentation regelmäßig mit qualifizierten Datenschutz-Beratern überprüfen.
# EQS IR Services und Datenschutz – Was in die Datenschutzerklärung gehört (/docs/privacy-policy-website/eqs-ir-services-datenschutzerklaerung)
# EQS IR Services und Datenschutz – Was Webseitenbetreiber wissen müssen [#eqs-ir-services-und-datenschutz--was-webseitenbetreiber-wissen-müssen]
Setzt ein Webseitenbetreiber (insbesondere ein börsennotiertes Unternehmen) IR-Services von EQS ein, integriert er typischerweise News-Widgets, IR-Website-Module oder Investor Relations-Tools auf seiner Unternehmenswebsite und verarbeitet damit Zugriffsdaten und ggf. Nutzerkonto-Daten von Website-Besuchern zum Zweck der Bereitstellung von Investor Relations-Inhalten und Compliance-Dokumentation. Diese Information beruht auf Anbieterangaben und öffentlich zugänglichen Quellen.
## A. Zweck und Funktionsweise von EQS IR Services [#a-zweck-und-funktionsweise-von-eqs-ir-services]
**EQS Group AG** ist ein führender Anbieter von Software und Services für börsennotierte Unternehmen, insbesondere für:
* Investor Relations (IR)
* Corporate Compliance & Governance
* Data Privacy Management
* Whistleblowing-Systeme (Integrity Line)
Die EQS **IR Services** umfassen mehrere Integrationsfunktionen für Corporate Websites:
1. **EQS News Widget / News Feed**: Automatische Anzeige von Pressemitteilungen und Regulatory News auf der IR-Website
2. **IR Website & Reports**: Vollständig integrierte IR-Website-Module mit Embedded News, Stock Charts, Investor-Profile, Kontaktformulare
3. **EQS Stock Chart**: Automatische Einbindung von Aktienkurs-Daten und Unternehmens-News im Chart
4. **Kontaktformulare und Anfrage-Verwaltung**: Formulare für Investor-Anfragen
Bei der Integration dieser Module werden Website-Zugriffsdaten und ggf. Nutzerdaten erhoben und verarbeitet.
## B. Pflichtangaben in der Datenschutzerklärung zu EQS IR Services [#b-pflichtangaben-in-der-datenschutzerklärung-zu-eqs-ir-services]
Nach DSGVO muss der Betreiber folgende Informationen zu EQS IR Services offenlegen:
* **Zweck** (Art. 13 Abs. 1 lit. c): Bereitstellung von Investor Relations-Inhalten, Compliance-Dokumentation, Nutzer-Anfrage-Verwaltung
* **Rechtsgrundlage** (Art. 13 Abs. 1 lit. a/f): Berechtigte Interessen des Unternehmens an Investor Relations + ggf. Einwilligung für Tracking-Elemente
* **Empfänger** (Art. 13 Abs. 1 lit. e): EQS Group AG als Auftragsverarbeiter oder gemeinsamer Verantwortlicher (abhängig von Konfiguration)
* **Drittlandtransfer** (Art. 13 Abs. 1 lit. f): Vom Betreiber zu verifizieren; nach Angaben des Anbieters teilweise US-Infrastructure (AWS)
* **Speicherdauer** (Art. 13 Abs. 2 lit. a): Abhängig von Nutzung und Einwilligung
**Hinweis:** Toolspezifische Textbausteine sind problematisch. Besser: Themenorientierter Aufbau (z.B. "Investor Relations und Website-Analyse") mit Aufzählung der Datenempfänger.
## C. Anbieter von EQS IR Services: EQS Group AG [#c-anbieter-von-eqs-ir-services-eqs-group-ag]
* **Juristischer Name:** EQS Group AG
* **Sitz:** Karlstraße 47, 80333 München, Deutschland
* **Sitzland:** Deutschland (Europäischer Wirtschaftsraum)
* **Privacy Policy:** [https://www.eqs.com/en-us/about-eqs/data-protection/](https://www.eqs.com/en-us/about-eqs/data-protection/) / [https://www.eqs.de/datenschutz.html](https://www.eqs.de/datenschutz.html)
* **DPF-Status:** Nicht erforderlich (Sitz im EWR)
* **AVV/DPA:** Verfügbar; Betreiber sollte AVV-Status mit EQS erfragen
* **Kontakt Datenschutz:** [datenschutz@eqs.com](mailto:datenschutz@eqs.com)
## D. Datenverarbeitung durch EQS IR Services – Ablauf [#d-datenverarbeitung-durch-eqs-ir-services--ablauf]
### Erhebung [#erhebung]
Beim Besuch einer IR-Website mit integrierten EQS-Modulen werden erfasst: IP-Adresse, Datum/Uhrzeit, Browser-Agent, Geräteinformationen, URL-Referrer, Klicks auf News-Items, angeklickte Links. Falls Nutzer Kontaktformulare ausfüllen: Name, E-Mail-Adresse, Nachricht, ggf. Telefon.
### Speicherung [#speicherung]
EQS speichert die erfassten Daten in seinen Systemen; nach Angaben des Anbieters: teilweise in EU-Rechenzentren (Deutschland, Irland), teilweise auf AWS (USA). Exakte Speicherorte vom Betreiber zu verifizieren. Speicherdauer: Vom Betreiber zu klären.
### Nutzung [#nutzung]
EQS nutzt die Daten zu: Bereitstellung der IR-Funktionalität, Analyse von Investor-Engagement, Verbesserung der News-Distribution, Sicherheit der Plattform.
### Weitergabe [#weitergabe]
Subprozessoren: Cloud-Infrastruktur (AWS, ggf. Google Cloud), HubSpot (für Website-Tracking und CRM). Drittlandtransfer zu USA: Vom Betreiber zu verifizieren; SCC/Standard Contractual Clauses notwendig.
### Löschung [#löschung]
Zugriffsdaten werden nach Ablauf der Aufbewahrungsfrist gelöscht. Kontakta-Anfragen: Aufbewahrung abhängig von Compliance- und Geschäftsanforderungen (vom Betreiber zu definieren).
## E. Erhobene Daten beim Einsatz von EQS IR Services [#e-erhobene-daten-beim-einsatz-von-eqs-ir-services]
EQS erfasst bei der Integration von IR-Services verschiedene Kategorien von Nutzerdaten:
* **Webserver-Protokolldaten**: IP-Adresse, Datum/Uhrzeit/Zeitzone, Request-URL, Referrer, HTTP-Status-Codes
* **Klickpfade**: Besuchte Seiten, angeklickte News-Items, angeklickte Links, News-Downloads, Zeitstempel
* **Browserinformationen**: Browsername, Browserversion, User-Agent-String
* **Endgeräte-Daten**: Gerätetyp (Desktop/Tablet/Mobil), Betriebssystem, Displayauflösung, Spracheinstellung
* **Grobe Standortdaten**: IP-basierter Standort auf Stadt-/Gemeindeebene
* **Nutzerprofile**: Falls Nutzer-Konto erstellt: Benutzername, E-Mail-Adresse, Login-Verläufe, Favorit-News, Abonnements
* **Conversion-Ereignisse**: News-Download, Registrierung zur IR-Alert, Kontaktanfrage, Event-Anmeldung
* **Interaktionsdaten**: Klicks auf News-Teilen-Buttons (LinkedIn, Twitter), Verweildauer auf Seiten, Scroll-Tiefe
## F. Nutzungszwecke beim Einsatz von EQS IR Services [#f-nutzungszwecke-beim-einsatz-von-eqs-ir-services]
Die Daten werden für folgende Zwecke verarbeitet:
* **Funktionsbereitstellung**: Anzeige von News, Aktienkurs-Integration, Bereitstellung von IR-Funktionalität
* **Nutzerindividuelle Produktverbesserung**: Personalisierte News-Empfehlungen, Inhalts-Optimierung basierend auf Nutzer-Verhalten
* **Allgemeine Produktverbesserung**: Analyse häufig besuchter Inhalte, Optimierung der IR-Website-Struktur
* **Allgemeines Marketing**: Reichweitenanalyse der News-Distributionen, Erfolgsanalyse von Pressemitteilungen
* **Compliance**: Dokumentation von News-Veröffentlichung und -Verbreitung für Börsen-Compliance
* **Kommunikation**: Beantwortung von Investor-Anfragen über Kontaktformulare
## G. Rechtsgrundlagen für EQS IR Services [#g-rechtsgrundlagen-für-eqs-ir-services]
**Schritt 1 – Kategorisierung:** EQS IR Services sind **Funktions- und Geschäftsoptimierungs-Tools** für börsennotierte Unternehmen.
**Schritt 2 – Rechtsgrundlagen:**
* **Für Funktionsbereitstellung (News, IR-Website)**: Berechtigte Interessen gemäß Art. 6 Abs. 1 lit. f DSGVO. Das Unternehmen hat berechtigtes Interesse, Investor Relations-Inhalte zu verbreiten.
* **Für Website-Tracking und Nutzerprofile**:
* Bei cookieloser Anonymisierung: Berechtigte Interessen Art. 6 Abs. 1 lit. f
* Bei Cookie-Einsatz: Einwilligung Art. 6 Abs. 1 lit. a i.V.m. § 25 Abs. 1 TDDDG
* **Für Kontaktformulare**: Berechtigte Interessen Art. 6 Abs. 1 lit. f (Beantwortung von Anfragen)
**Einzelfallprüfung erforderlich:** Je nach Umfang der EQS-Integration und ob Tracking-Cookies eingesetzt werden.
## H. Besonderheiten und Hinweise zu EQS IR Services [#h-besonderheiten-und-hinweise-zu-eqs-ir-services]
* **Auftragsverarbeitungsverhältnis erforderlich:** Der Betreiber sollte klären, ob EQS als Auftragsverarbeiter (Art. 28 DSGVO) oder gemeinsamer Verantwortlicher (Art. 26 DSGVO) fungiert. Ein DPA ist wahrscheinlich erforderlich.
* **Subprozessoren und Drittlandtransfers:** Nach Angaben des Anbieters: HubSpot und AWS (USA). Datenschutzfolgeabschätzung (DPIA) empfohlen; SCC notwendig.
* **Tracking und Cookies:** Die News-Widget-Integration kann Cookies setzen. Der Betreiber muss klären, ob Tracking-Cookies ohne Einwilligung möglich sind oder ob Nutzer-Einwilligung erforderlich ist.
* **Kontaktformulare:** E-Mail-Adressen und Names von Investoren werden erfasst. Speicherdauer und Weitergabezweck müssen klar dokumentiert sein.
* **Rechenschaftspflicht:** Betreiber sollte dokumentieren, welche EQS-Module integriert sind und welche Daten verarbeitet werden.
## I. FAQ zu EQS IR Services [#i-faq-zu-eqs-ir-services]
EQS IR Services sind Module und Tools für Investor Relations, die börsennotierte Unternehmen auf ihrer Website integrieren – etwa News-Widgets, IR-Website-Komponenten, Aktienkurs-Integration und Investor-Kontaktformulare. EQS ist der Marktführer für digitale IR im deutschsprachigen Raum (DAX40-Unternehmen).
EQS erfasst: IP-Adresse, Datum/Uhrzeit, Browser-Informationen, Klicks auf News, Download-Verhalten, News-Abonnements, Kontaktinformationen (falls Investor-Anfrage), ggf. Login-Daten für IR-Profile.
Das hängt von der Konfiguration ab und sollte mit EQS geklärt werden. Typischerweise: Auftragsverarbeiter (Art. 28 DSGVO), weshalb ein DPA erforderlich ist. In manchen Fällen auch gemeinsamer Verantwortlicher (Art. 26 DSGVO).
Für die reine **Funktionsbereitstellung** (News-Anzeige): Nein, berechtigte Interessen reichen. Für **Tracking und Cookies**: Ja, wenn Tracking-Cookies eingesetzt werden (§ 25 Abs. 1 TDDDG). Für **Kontaktformulare**: Nein, berechtigte Interessen ausreichend.
Empfehlung: Kapitel "Investor Relations und Website-Analyse" mit Angaben zu Zweck (IR-Bereitstellung), Rechtsgrundlage (berechtigte Interessen / Einwilligung bei Cookies), Empfänger (EQS Group AG, ggf. Subprozessoren), Drittlandtransfer (USA-Infrastruktur), Speicherdauer. Nutzen Sie unseren Privacy Policy Generator für konsistente Formulierungen.
## J. Fazit und Empfehlung zu EQS IR Services [#j-fazit-und-empfehlung-zu-eqs-ir-services]
**Zusammenfassung:** EQS IR Services sind spezialisierte Tools für Investor Relations. Der Betreiber sollte eine Datenschutzfolgeabschätzung (DPIA) durchführen, besonders wenn Tracking-Cookies oder Subprozessoren in den USA involviert sind.
**Häufiger Fehler:** Betreiber übernehmen EQS-Standardtexte für die Datenschutzerklärung, ohne die spezifische Konfiguration ihrer Integration zu dokumentieren. Das ist nicht DSGVO-konform nach Art. 12 Abs. 1 DSGVO. Besser: **Dokumentieren Sie genau**, welche EQS-Module Sie nutzen, welche Daten fließen, und welche Rechtsgrundlage gilt.
Dieser Beitrag dient der allgemeinen Information zu EQS IR Services und ersetzt keine rechtliche Beratung im Einzelfall. Stand: 2026-04-22. Die Information beruht auf Anbieterangaben und öffentlich zugänglichen Quellen.
# etracker Analytics und Datenschutz – Was in die Datenschutzerklärung gehört (/docs/privacy-policy-website/etracker-datenschutzerklaerung)
# etracker Analytics und Datenschutz – Was Webseitenbetreiber wissen müssen [#etracker-analytics-und-datenschutz--was-webseitenbetreiber-wissen-müssen]
Setzt ein Webseitenbetreiber etracker Analytics ein, kann er je nach Konfiguration Website-Besuchsdaten einwilligungsfrei oder auf Basis einer Einwilligung verarbeiten. etracker ist ein deutsches Analyse-Tool mit besonderem Fokus auf DSGVO-Konformität: Datenspeicherung ausschließlich in Deutschland, IP-Anonymisierung möglich, optional cookielose Tracking-Variante. Nach Angaben des Anbieters wurden die DSGVO- und TDDDG-Compliance durch unabhängige Audit nachgewiesen und mit dem ePrivacy-Siegel zertifiziert. Diese Information beruht auf Anbieterangaben und öffentlich zugänglichen Quellen.
## A. Zweck und Funktionsweise von etracker Analytics [#a-zweck-und-funktionsweise-von-etracker-analytics]
etracker Analytics ist ein **Web-Analyse-Tool** (Website-Tracking-Lösung) – eine cloudbasierte Plattform zur Erfassung und Analyse von Website-Besucherdaten. Der Betreiber nutzt es, um das Nutzer-Verhalten auf seiner Website zu verstehen, Conversion-Raten zu messen und die Website-Performance zu optimieren.
**Integrationsfunktion:** Der Betreiber bindet einen JavaScript-Tracking-Code in seine Website ein. Dieser Code erfasst beim Besuch:
* Besuchte Seiten
* Verweildauer
* Klicks auf Links und Schaltflächen
* Conversion-Ereignisse (z.B. Warenkorb, Kauf, Anfrage)
* Geräteinformationen, Browser
**Besonderheit: etracker bietet verschiedene Konfigurationsvarianten:**
1. **Cookielose Variante (Counting Pixel)**: Anonymisierte Tracking ohne Cookies, einwilligungsfrei gemäß DSGVO + TDDDG
2. **Standard-Variante mit Cookies**: Mit Cookies zur Website-Messung; Einwilligung empfohlen
3. **Opt-Out-Möglichkeit**: Nutzer können Tracking ablehnen ([https://www.etracker.com/de/datenschutz/](https://www.etracker.com/de/datenschutz/))
## B. Pflichtangaben in der Datenschutzerklärung zu etracker [#b-pflichtangaben-in-der-datenschutzerklärung-zu-etracker]
Nach DSGVO muss der Betreiber folgende Informationen zu etracker offenlegen:
* **Zweck** (Art. 13 Abs. 1 lit. c): Website-Analyse, Besuchermessung, Conversion-Tracking, Optimierung
* **Rechtsgrundlage** (Art. 13 Abs. 1 lit. a/f):
* Bei Counting-Pixel (cookielose Variante): Berechtigte Interessen Art. 6 Abs. 1 lit. f
* Bei Standard-Cookies: Einwilligung Art. 6 Abs. 1 lit. a i.V.m. § 25 Abs. 1 TDDDG
* **Empfänger** (Art. 13 Abs. 1 lit. e): etracker GmbH als Auftragsverarbeiter
* **Drittlandtransfer** (Art. 13 Abs. 1 lit. f): Nein; Datenspeicherung ausschließlich in Deutschland
* **Speicherdauer** (Art. 13 Abs. 2 lit. a): Standardmäßig 13 Monate; konfigurierbar
* **Opt-Out** (wichtig): [https://www.etracker.com/de/datenschutz/](https://www.etracker.com/de/datenschutz/)
**Hinweis:** Toolspezifische Textbausteine sind problematisch. Besser: Themenorientierter Aufbau (Kapitel "Website-Analyse und Tracking") mit Erklärung der Konfiguration (cookielose vs. Cookie-Variante).
## C. Anbieter von etracker: etracker GmbH [#c-anbieter-von-etracker-etracker-gmbh]
* **Juristischer Name:** etracker GmbH
* **Sitz:** Erste Brunnenstraße 1, 20459 Hamburg, Deutschland
* **Sitzland:** Deutschland (Europäischer Wirtschaftsraum)
* **Privacy Policy:** [https://www.etracker.com/datenschutz/](https://www.etracker.com/datenschutz/) und [https://www.etracker.com/datenschutzerklaerung/](https://www.etracker.com/datenschutzerklaerung/)
* **DPF-Status:** Nicht erforderlich (Sitz im EWR)
* **AVV/DPA:** Verfügbar; automatisch im Account enthalten
* **Zertifizierungen:** ePrivacy-Siegel (unabhängige Datenschutz-Zertifizierung), DSGVO + TDDDG-Compliance nachgewiesen
* **Datenspeicherung:** Ausschließlich in Deutschland (eigene Server in Hamburg)
* **Opt-Out-Link:** [https://www.etracker.com/privacy/](https://www.etracker.com/privacy/)
## D. Datenverarbeitung durch etracker Analytics – Ablauf [#d-datenverarbeitung-durch-etracker-analytics--ablauf]
### Erhebung (Counting-Pixel-Variante: einwilligungsfrei) [#erhebung-counting-pixel-variante-einwilligungsfrei]
Beim Besuch wird das etracker Tracking-Pixel aufgerufen (1x1 Transparent-Bild). Erfasst werden: IP-Adresse (sofort anonymisiert/gekürzt), Seite (URL), Referrer, Gerätetyp, Browsertyp, Verweildauer auf Seite. **Keine Cookies notwendig.**
### Speicherung [#speicherung]
Die anonymisierten Daten werden in etracker-Servern in Hamburg (Deutschland) gespeichert. **Kein Drittlandtransfer zu USA.** Speicherdauer: Standardmäßig 13 Monate; anpassbar. IP-Adressen werden unmittelbar nach Erfassung gekürzt/anonymisiert.
### Nutzung [#nutzung]
etracker nutzt die Daten zu: Berechnung von Besucherzahlen, Seitenzugriffe, Verweildauern, Bounce-Rate, Conversion-Raten, geographische Verteilung (auf Stadt-Ebene), Traffic-Quellen-Analyse, Geräte-Mix-Analyse.
### Weitergabe [#weitergabe]
Subprozessoren: etracker nutzt typischerweise Cloud-Infrastruktur in Deutschland; exakte Liste im DPA aufgeführt. Drittlandtransfer: **Nicht vorhanden.**
### Löschung [#löschung]
Nach Ablauf der Speicherfrist (Standard: 13 Monate) werden Daten automatisch gelöscht. Nutzer können jederzeit Opt-Out nutzen: [https://www.etracker.com/privacy/](https://www.etracker.com/privacy/)
## E. Erhobene Daten beim Einsatz von etracker Analytics [#e-erhobene-daten-beim-einsatz-von-etracker-analytics]
etracker erfasst je nach Konfiguration verschiedene Arten von Besucherdaten:
* **Webserver-Protokolldaten**: IP-Adresse (sofort anonymisiert), Datum/Uhrzeit/Zeitzone, Request-URL, HTTP-Referrer, Abfrage-String (Query Parameters)
* **Klickpfade**: Besuchte Seiten, Reihenfolge der Seiten, Verweilzeiten pro Seite, angeklickte externe Links
* **Endgeräte-Daten**: Gerätetyp (Desktop/Tablet/Mobil), Betriebssystem, Betriebssystem-Version, Browsername, Browserversion
* **Browserinformationen**: User-Agent-String, JavaScript-Aktivierung, Cookies-Aktivierung, Plug-in-Informationen (Flash, Java etc.)
* **Grobe Standortdaten**: IP-basierter Ort auf Stadt-/Gemeindeebene (NICHT exakte Geo-Lokalisierung)
* **Conversion-Ereignisse**: Warenkorberstellung, Kauf abgeschlossen, Kontaktanfrage, Registrierung, Download, Videoansicht, benutzerdefinierte Events
* **Interaktionsdaten**: Klicks auf Buttons/Links, Formular-Eingaben (NUR wenn explizit tracked), Scroll-Tiefe (optional), Mausbewegungen (optional)
* **Technische Telemetriedaten**: JavaScript-Fehler, Seiten-Ladezeiten, Ressourcen-Ladezeiten
**Hinweis:** etracker erfasst KEINE Eingaben in Passwort-Felder oder sensible Formulare automatisch – dies kann vom Betreiber konfiguriert werden.
## F. Nutzungszwecke beim Einsatz von etracker Analytics [#f-nutzungszwecke-beim-einsatz-von-etracker-analytics]
Die Daten werden für folgende Zwecke verarbeitet:
* **Funktionsbereitstellung**: Erbringung des Web-Analytics-Service (Reporting, Dashboards)
* **Allgemeine Produktverbesserung**: Optimierung häufig besuchter Inhalte, Identifikation von Seiten-Performance-Problemen
* **Allgemeines Marketing**: Reichweitenanalyse, Traffic-Quellen-Attribution, Kampagnen-Performance-Messung
* **Nutzerindividuelle Produktverbesserung**: Personalisierung basierend auf Nutzer-Segmenten, A/B-Testing
* **Sicherheit und Missbrauchsschutz**: Erkennung verdächtiger Traffic-Muster, Bot-Detektion, DDoS-Mitigation
* **Geschäftsplanung und -steuerung**: Datengrundlage für Geschäftsentscheidungen (z.B. Fokus-Märkte, Seiten-Umsortierung)
## G. Rechtsgrundlagen für etracker Analytics [#g-rechtsgrundlagen-für-etracker-analytics]
**Schritt 1 – Kategorisierung:** etracker Analytics ist ein **Web-Analyse-Tool** – eine Funktionalität zur Optimierung der Website.
**Schritt 2 – Rechtsgrundlagen (je nach Konfiguration):**
**Variante 1: Counting-Pixel (cookielose Anonymisierung)**
* Rechtsgrundlage: Berechtigte Interessen gemäß Art. 6 Abs. 1 lit. f DSGVO
* Einwilligung: **Nicht erforderlich** (DSGVO-konform, TDDDG-konform)
* Bedingung: IP muss sofort anonymisiert werden (etracker macht dies)
* Opt-Out-Angebot sollte in Datenschutzerklärung aufgeführt sein
**Variante 2: Standard-Tracking mit Cookies**
* Rechtsgrundlage: Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO i.V.m. § 25 Abs. 1 TDDDG
* Einwilligung: **Ja, erforderlich** vor Cookie-Setzung
* Tool: Usercentrics CMP oder ähnliche Cookie-Banner
* Oder: Berechtigte Interessen (umstritten, nicht alle Datenschutzbehörden akzeptieren dies für Analytics-Cookies)
**Empfehlung des Betreibers:**
* Cookielose Variante nutzen → Keine Einwilligung nötig
* Oder: Einwilligung via CMP Banner einholen → dann Standard-Cookies möglich
## H. Besonderheiten und Hinweise zu etracker [#h-besonderheiten-und-hinweise-zu-etracker]
* **IP-Anonymisierung Standard:** etracker anonymisiert IP-Adressen sofort nach Erfassung (im Server-Cache). Dies ist ein großer Compliance-Vorteil.
* **Server in Deutschland:** Datenspeicherung in Hamburg (Deutschland) – kein Drittlandtransfer zu USA. Das ist ein großer Vorteil im Vergleich zu Google Analytics.
* **DSGVO-Konformität ohne Einwilligung möglich:** Mit der Counting-Pixel-Variante kann der Betreiber etracker einwilligungsfrei nutzen, sofern er berechtigte Interessen dokumentiert.
* **Auftragsverarbeitungsverhältnis erforderlich:** Der Betreiber sollte einen DPA mit etracker abschließen (ist automatisch im Account enthalten).
* **Opt-Out-Angebot:** Der Betreiber SOLLTE in seiner Datenschutzerklärung einen Link zum etracker Opt-Out anbieten: [https://www.etracker.com/privacy/](https://www.etracker.com/privacy/)
* **Speicherfrist konfigurierbar:** Standardmäßig 13 Monate; kann vom Betreiber angepasst werden.
* **ePrivacy-Siegel:** etracker hat das ePrivacy-Siegel von einer unabhängigen Stelle erhalten.
* **Dokumentation erforderlich:** Betreiber sollte dokumentieren, ob er die Counting-Pixel-Variante (einwilligungsfrei) oder Standard-Variante mit Cookies nutzt.
## I. FAQ zu etracker Analytics [#i-faq-zu-etracker-analytics]
etracker Analytics ist ein deutsches Web-Analytics-Tool zur Erfassung und Analyse von Website-Besucherdaten. Es ist spezialisiert auf DSGVO-Konformität: Datenspeicherung in Deutschland, IP-Anonymisierung, cookielose Tracking-Option.
etracker erfasst: Besuchte Seiten (URLs), Verweildauer, Browser-Typ, Gerätetyp, grobe Standortdaten (Stadt-Ebene), Klicks auf Links, Conversion-Ereignisse (Kauf, Anfrage), Ladezeiten. **IP-Adressen werden sofort anonymisiert.**
Ja, nach Angaben des Anbieters – unter folgenden Bedingungen: (1) Counting-Pixel-Variante nutzen (einwilligungsfrei) ODER Standard-Cookies mit CMP-Banner, (2) DPA mit etracker, (3) Opt-Out-Link in Datenschutzerklärung.
**Nein, wenn Sie die Counting-Pixel-Variante nutzen** (einwilligungsfrei, berechtigte Interessen). **Ja, wenn Sie Standard-Cookies einsetzen** (dann Einwilligung via CMP-Banner erforderlich).
Hauptunterschiede: (1) Daten bleiben in Deutschland, nicht in USA. (2) etracker ist IP-Anonymisierung Standard. (3) Einwilligungsfreie Variante möglich. (4) Deutscher Support, Datenschutz als Fokus. (5) Kein Drittlandtransfer = keine Datenschutzfolgeabschätzung erforderlich.
Nutzen Sie die **Counting-Pixel-Variante**: Der etracker-Code erfasst Daten über ein Transparent-Pixel ohne Cookies. IP wird sofort anonymisiert. Rechtsgrundlage: Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO). Hinweis: Opt-Out-Link sollte in Datenschutzerklärung stehen: [https://www.etracker.com/privacy/](https://www.etracker.com/privacy/)
Empfehlung: Kapitel "Website-Analyse und Tracking" mit klarer Konfigurationsbeschreibung:
* Für Counting-Pixel: "Wir nutzen etracker im einwilligungsfreien Modus (Counting-Pixel, IP-anonymisiert). Rechtsgrundlage: berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO). Sie können Tracking ablehnen: [https://www.etracker.com/privacy/\\](https://www.etracker.com/privacy/\\)"
* Für Standard-Cookies: Erklärung dass Cookies-Einwilligung nötig ist (über CMP-Banner).
Nutzen Sie unseren Privacy Policy Generator für konsistente Formulierungen.
## J. Fazit und Empfehlung zu etracker Analytics [#j-fazit-und-empfehlung-zu-etracker-analytics]
**Zusammenfassung:** etracker Analytics ist eine deutschlandfreundliche, datenschutzorientierte Web-Analytics-Lösung. Der große Vorteil: Datenspeicherung in Deutschland (kein Drittlandtransfer zu USA) und eine einwilligungsfreie Tracking-Option via Counting-Pixel.
**Häufiger Fehler:** Betreiber nutzen etracker wie Google Analytics und vergessen, dass die cookielose Variante einwilligungsfrei eingesetzt werden kann. Viele setzen unnötigerweise ein CMP-Banner ein, obwohl die Counting-Pixel-Variante berechtigte Interessen erlaubt.
**Best Practice:**
1. Counting-Pixel-Variante nutzen (einwilligungsfrei) → Keine CMP nötig (sofern keine anderen Cookies auf der Website)
2. Oder: CMP-Banner + Standard-Cookies (wenn Sie auch andere Cookies einsetzen)
3. **Opt-Out-Link in Datenschutzerklärung:** [https://www.etracker.com/privacy/](https://www.etracker.com/privacy/)
4. DPA mit etracker abschließen und pflegen (ist im Account automatisch enthalten)
5. Transparente Dokumentation: Welche Variante nutzen Sie?
Dieser Beitrag dient der allgemeinen Information zu etracker Analytics und ersetzt keine rechtliche Beratung im Einzelfall. Stand: 2026-04-22. Die Information beruht auf Anbieterangaben und öffentlich zugänglichen Quellen.
# Friendly Captcha und Datenschutz – Was in die Datenschutzerklärung gehört (/docs/privacy-policy-website/friendly-captcha-datenschutzerklaerung)
# Friendly Captcha und Datenschutz – Was Webseitenbetreiber wissen müssen [#friendly-captcha-und-datenschutz--was-webseitenbetreiber-wissen-müssen]
Setzt ein Webseitenbetreiber Friendly Captcha ein, verarbeitet er Nutzer- und technische Daten zum Zweck der Bot-Abwehr und Spam-Prävention auf Basis von berechtigten Interessen gemäß Art. 6 Abs. 1 lit. f DSGVO – ohne dass eine Einwilligung erforderlich ist. Dies ist ein entscheidender Unterschied zu anderen CAPTCHA-Lösungen wie Google reCAPTCHA. Diese Information beruht auf Angaben des Anbieters und öffentlich zugänglichen Quellen.
## A. Zweck und Funktionsweise von Friendly Captcha [#a-zweck-und-funktionsweise-von-friendly-captcha]
Friendly Captcha ist eine datenschutzfreundliche CAPTCHA-Alternative der deutschen Friendly Captcha GmbH mit Sitz in Wörthsee (Bayern). Sie dient der Prävention von Spam, Bot-Angriffen und automatisierten Missbrauch auf Websites und Formularen.
**Im Gegensatz zu Google reCAPTCHA (die Nutzerverhalten trackt)** nutzt Friendly Captcha einen **kryptografischen Proof-of-Work-Ansatz**:
* Der Browser des Besuchers löst im Hintergrund eine mathematische Aufgabe (Proof-of-Work). Diese ist für echte Nutzer unsichtbar und in Bruchteilen einer Sekunde gelöst. Für Bot-Traffic ist sie jedoch sehr zeitaufwändig (Sekunden bis Minuten), weshalb Bot-Angriffe unpraktikabel werden.
* **Kein Tracking, keine Verhaltenserkennung**: Im Gegensatz zu Google reCAPTCHA werden keine Daten über das Nutzerverhalten (Mausbewegungen, Klicks, Scroll-Verhalten) erfasst.
* **Keine Cookies**: Friendly Captcha funktioniert ohne HTTP-Cookies oder Third-Party-Tracking.
* **Minimal-Daten**: Friendly Captcha erfasst nur technische Daten (IP-Adresse, anonymisiert), um Missbrauch zu erkennen.
**Technische Integration:** Der Webseitenbetreiber bindet einen JavaScript-Code-Schnipsel in sein Formular oder seine Website ein. Wenn ein Nutzer das Formular absenden möchte, startet der Browser die Proof-of-Work-Berechnung. Nach erfolgreicher Lösung wird das Formular freigegeben.
## B. Pflichtangaben in der Datenschutzerklärung zu Friendly Captcha [#b-pflichtangaben-in-der-datenschutzerklärung-zu-friendly-captcha]
Die DSGVO verlangt von Webseitenbetreibern, folgende Punkte transparent zu erläutern:
* **Verarbeitungszwecke** (Art. 13 Abs. 1 lit. c): Warum werden Daten verarbeitet?
* **Rechtsgrundlagen** (Art. 13 Abs. 1 lit. c): Auf welcher rechtlichen Basis erfolgt die Verarbeitung?
* **Berechtigte Interessen** (Art. 13 Abs. 1 lit. d): Falls über berechtigte Interessen legitimiert, diese darstellen
* **Empfänger oder Kategorien von Empfängern** (Art. 13 Abs. 1 lit. e): An wen werden Daten weitergegeben?
* **Speicherdauer** (Art. 13 Abs. 2 lit. a): Wie lange werden Daten gespeichert?
**Besonderheit bei Friendly Captcha:** Weil Friendly Captcha auf berechtigten Interessen basiert (nicht auf Einwilligung), ist kein Cookie-Banner erforderlich. Dies ist ein großer Vorteil gegenüber Google reCAPTCHA, das eine Einwilligung verlangt.
## C. Anbieter von Friendly Captcha: Friendly Captcha GmbH [#c-anbieter-von-friendly-captcha-friendly-captcha-gmbh]
| Aspekt | Information |
| --------------------- | ---------------------------------------------------------------------------------------------------------------- |
| **Juristischer Name** | Friendly Captcha GmbH |
| **Anschrift** | Am Anger 3–5, 82237 Wörthsee, Deutschland |
| **Sitzland** | Deutschland (EU) |
| **Registergericht** | Amtsgericht München, HRB 260542 |
| **DPF-Status** | Nicht erforderlich (EU-Gesellschaft) |
| **Privacy Policy** | [https://friendlycaptcha.com/legal/privacy-information/](https://friendlycaptcha.com/legal/privacy-information/) |
| **Rolle** | Auftragsverarbeiter gemäß Art. 28 DSGVO |
**Besonderheit:** Friendly Captcha ist ein deutsches Unternehmen – die Datenverarbeitung erfolgt in der EU, es gibt keine Drittland-Transfers in die USA.
## D. Datenverarbeitung durch Friendly Captcha – Ablauf [#d-datenverarbeitung-durch-friendly-captcha--ablauf]
### Erhebung [#erhebung]
Das Friendly Captcha-Widget wird auf der Website eingebunden. Wenn ein Nutzer ein Formular absenden möchte, erfasst Friendly Captcha die IP-Adresse des Nutzers und startet die Proof-of-Work-Berechnung im Browser. Keine Verhaltensdaten (Mausbewegungen, Klicks, Scroll) werden erfasst.
### Speicherung [#speicherung]
Die IP-Adresse wird anonymisiert und kurzfristig gespeichert (typischerweise wenige Minuten bis Stunden), um Missbrauch zu erkennen (z. B. mehrfache Submissions von derselben IP). Langfristige Speicherung findet nicht statt.
### Nutzung [#nutzung]
Friendly Captcha nutzt die anonymisierte IP-Adresse, um verdächtige Muster zu erkennen (z. B. massenhafte Submissions von einer IP-Adresse) und Bots zu blockieren. Die Proof-of-Work-Lösung selbst wird validiert, um zu prüfen, ob sie korrekt ist.
### Weitergabe [#weitergabe]
Friendly Captcha gibt Daten nicht an Dritte weiter. Friendly Captcha handelt als Auftragsverarbeiter für den Webseitenbetreiber.
### Löschung [#löschung]
Anonymisierte IP-Adressen werden nach kurzer Zeit (Stunden) automatisch gelöscht. Es gibt kein Retention-Fenster für personenbezogene Daten.
## E. Erhobene Daten beim Einsatz von Friendly Captcha [#e-erhobene-daten-beim-einsatz-von-friendly-captcha]
Im Gegensatz zu anderen CAPTCHA-Lösungen erfasst Friendly Captcha sehr wenige Daten:
* **IP-Adresse (anonymisiert)**: Zur Erkennung verdächtiger Muster und Missbrauchsprävention. Die IP wird nicht in Verbindung mit dem Nutzer oder anderen Daten gespeichert.
* **Zeitstempel**: Der Zeitpunkt der Proof-of-Work-Berechnung, zur Analyse von Angriffsmustern.
* **Technischer Erfolgs-/Fehlerstatus**: Ob die Proof-of-Work-Berechnung erfolgreich war oder nicht.
**Kein Tracking von:**
* Mausbewegungen
* Klicks
* Scroll-Verhalten
* Browserhistorie
* Geräteinformationen (über reCAPTCHA hinaus)
* Verhaltensprofilen
* Cross-Site-Tracking
Diese minimalen Daten lassen sich in folgende standardisierte Datenarten-Klasse einordnen:
* **Webserver-Protokolldaten (anonymisiert)**: IP-Adresse (anonymisiert oder gehashed), Datum/Uhrzeit, technische Metadaten zur Bot-Erkennung
* **Sicherheitsereignisse**: Erfolg/Fehlschlag der Captcha-Lösung, verdächtige Muster
## F. Nutzungszwecke beim Einsatz von Friendly Captcha [#f-nutzungszwecke-beim-einsatz-von-friendly-captcha]
Friendly Captcha verarbeitet Daten mit folgenden Zwecken:
* **Funktionsbereitstellung**: Bereitstellung des CAPTCHA-Widgets zur Verifizierung von menschlichen Nutzern
* **Sicherheit und Missbrauchsschutz**: Bot-Erkennung und -Blockierung, Spam-Prävention, Schutz von Formularen vor automatisierten Angriffen
* **Missbrauchsprävention**: Erkennung verdächtiger Muster (z. B. massenhafte Submissions von einer IP-Adresse)
Diese Zwecke sind eng definiert und beziehen sich ausschließlich auf Sicherheit – nicht auf Marketing oder Profiling.
## G. Rechtsgrundlagen für Friendly Captcha [#g-rechtsgrundlagen-für-friendly-captcha]
**Kategorie:** Friendly Captcha ist ein Sicherheits- und Missbrauchsschutz-Tool.
**Rechtsgrundlage:** Berechtigte Interessen gemäß Art. 6 Abs. 1 lit. f DSGVO.
Der Webseitenbetreiber hat ein berechtigtes Interesse daran, seine Formulare und Website vor Bot-Angriffen, Spam und Missbrauch zu schützen. Dieses Interesse ist legitim und proportional. Die Beeinträchtigung der Nutzer ist minimal (eine kurze Proof-of-Work-Berechnung, unsichtbar), und es wird kein Tracking durchgeführt.
**Keine Einwilligung erforderlich:** Weil Friendly Captcha auf berechtigten Interessen basiert, **nicht** auf Tracking-Cookies, ist eine Einwilligung des Nutzers nicht erforderlich. Dies ist ein entscheidender Vorteil gegenüber Google reCAPTCHA.
**Verhältnismäßigkeit:** Die Verarbeitung ist proportional, weil:
1. Nur minimale Daten erhoben werden (anonymisierte IP)
2. Kein Tracking oder Profiling stattfindet
3. Daten sofort gelöscht werden
4. Der Nutzen (Sicherheit) die Beeinträchtigung überwiegt
## H. Besonderheiten und Hinweise zu Friendly Captcha [#h-besonderheiten-und-hinweise-zu-friendly-captcha]
* **Datenschutzfreundlich:** Friendly Captcha ist bewusst als datenschutzfreundliche Alternative zu Google reCAPTCHA konzipiert. Es gibt kein verhaltensbasiertes Tracking.
* **Keine Einwilligung erforderlich:** Weil Friendly Captcha auf berechtigten Interessen basiert, ist kein Cookie-Banner notwendig. Dies ist ein großer praktischer Vorteil.
* **Europäischer Anbieter:** Friendly Captcha GmbH sitzt in Deutschland (Wörthsee, Bayern). Daten werden in EU-Servern verarbeitet.
* **GDPR-konform:** Friendly Captcha ist explizit GDPR-konform ausgestaltet und stellt sich als Alternative zu US-amerikanischen Anbietern dar.
* **Auftragsverarbeiter:** Friendly Captcha handelt als Auftragsverarbeiter (Art. 28 DSGVO) – es gibt eine Auftragsverarbeitungs-Beziehung zwischen dem Webseitenbetreiber und Friendly Captcha.
* **AVV/DPA:** Ein Data Processing Agreement sollte vorliegen. Dies kann in den Nutzungsbedingungen oder separat abgeschlossen werden.
* **Proof-of-Work-Belastung:** Das Proof-of-Work-Verfahren belastet den Browser des Nutzers (CPU/Akku) minimal, ist aber nicht völlig unsichtbar. Manche Nutzer könnten Verzögerungen spüren (wenige Sekunden).
* **Keine Alternative zu starker Authentifizierung:** Friendly Captcha ist ein Bot-Schutz, nicht eine Authentifizierungsmethode (z. B. nicht für Login-Seiten mit hochsensiblen Daten empfohlen).
## I. FAQ zu Friendly Captcha [#i-faq-zu-friendly-captcha]
Friendly Captcha ist eine datenschutzfreundliche CAPTCHA-Lösung, die Bots durch mathematische Proof-of-Work erkennt – nicht durch Verhaltenstracking wie Google reCAPTCHA. Sie ist vollständig GDPR-konform und basiert auf berechtigten Interessen, nicht auf Einwilligung.
Friendly Captcha erfasst nur anonymisierte IP-Adressen und Zeitstempel zur Bot-Erkennung. Es werden keine Verhaltensdaten (Mausbewegungen, Klicks, Scroll), keine Browser-Historie und keine Profiling-Daten erfasst.
Berechtigte Interessen gemäß Art. 6 Abs. 1 lit. f DSGVO – Schutz vor Bot-Angriffen und Spam. Keine Einwilligung erforderlich, weil kein Tracking stattfindet.
Nein, nicht erforderlich. Friendly Captcha basiert auf berechtigten Interessen des Webseitenbetreibers (Sicherheit). Ein Cookie-Banner ist nicht nötig.
Datenschutzmäßig: Ja. Friendly Captcha trackt nicht, erfasst keine Verhaltensdaten und erfordert keine Einwilligung. Funktionsmäßig: Ähnlich. Beide blockieren Bots, aber mit unterschiedlichen Methoden. Die Wahl hängt von den Anforderungen ab.
Einfach unter einem Punkt „Sicherheit und Missbrauchsschutz" erläutern: „Wir nutzen Friendly Captcha zur Prävention von Bot-Angriffen auf Formularen. Friendly Captcha erhebt anonymisierte Daten (IP-Adresse, Zeitstempel) und ist GDPR-konform." Kein Cookie-Banner nötig. Nutzen Sie unseren Datenschutzerklärung-Generator für eine maßgeschneiderte Erklärung.
## J. Fazit und Empfehlung zu Friendly Captcha [#j-fazit-und-empfehlung-zu-friendly-captcha]
**Zusammenfassung:** Friendly Captcha ist eine datenschutzfreundliche, GDPR-konforme CAPTCHA-Lösung von einem deutschen Anbieter. Sie basiert auf berechtigten Interessen und erfordert keine Einwilligung.
**Vorteil gegenüber Google reCAPTCHA:** Friendly Captcha trackt kein Nutzerverhalten, erhebt keine Profiling-Daten und erfordert keinen Cookie-Banner. Dies macht die Implementierung einfacher und datenschutzkonformer.
**Sicherheit vs. Datenschutz:** Friendly Captcha zeigt, dass effektive Bot-Prävention auch ohne invasives Tracking möglich ist. Der Proof-of-Work-Ansatz ist elegant und datenschutzfreundlich.
**Empfohlener Ansatz:** Friendly Captcha sollte in der Datenschutzerklärung unter einem kurzen Punkt „Sicherheit und Missbrauchsschutz" erwähnt werden. Aufgrund der minimalen Datenverarbeitung und des fehlenden Trackings ist die Darstellung sehr knapp möglich.
Dieser Beitrag dient der allgemeinen Information zu Friendly Captcha und ersetzt keine rechtliche Beratung im Einzelfall. Stand: 2026-04-22.
# Google Ads und Datenschutz – Was in die Datenschutzerklärung gehört (/docs/privacy-policy-website/google-ads-datenschutzerklaerung)
# Google Ads und Datenschutz – Was Webseitenbetreiber wissen müssen [#google-ads-und-datenschutz-â-was-webseitenbetreiber-wissen-mãssen]
Setzt ein Webseitenbetreiber Google Ads mit Conversion Tracking ein, verarbeitet er Conversion-Ereignisse, Klickdaten und Geräteinformationen zum Zweck der Erfolgsmessung von Werbekampagnen auf Basis von Einwilligung (Art. 6 Abs. 1 lit. a DSGVO i.V.m. § 25 Abs. 1 TDDDG). Google Ads ist ein werbebasiertes Tracking- und Targeting-System von Google, das es Webseitenbetreibern ermöglicht, Werbekampagnen zu messen und Nutzer zu retargeting.
## A. Zweck und Funktionsweise von Google Ads, Conversion Tracking und Floodlight [#a-zweck-und-funktionsweise-von-google-ads-conversion-tracking-und-floodlight]
Google Ads ist das Werbenetzwerk von Google Ireland Limited. Damit können Webseitenbetreiber und E-Commerce-Unternehmen bezahlte Anzeigen auf Google Search, Google Display-Netzwerk und anderen Google-Partnern schalten. **Conversion Tracking** ist ein integrales Feature: Es misst, ob Nutzer nach dem Klick auf eine Google-Anzeige auf der Website des Werbetreibenden eine bestimmte Aktion durchführen (z. B. Kauf, Registrierung, Download, Anfrageformular).
**Floodlight-Tags** sind eine spezielle Ausprägung des Conversion Trackings, ursprünglich aus der früheren DoubleClick-Plattform, die Google übernommen hat. Floodlight ermöglicht es, Conversions über Multiple Tracking-Punkte (z. B. verschiedene Websites oder Apps) zu messen und bietet granularere Tracking-Optionen als das Standard-Google-Conversion-Tag.
**Integrationsfunktion:** Auf der Website wird entweder ein JavaScript-Code (Google Conversion Tag oder Google Tag Manager mit Conversion-Tags) oder ein Floodlight-Pixel eingebunden. Der Code lädt sich beim Seitenaufruf, setzt Cookies (insbesondere \_gcl\_aw für den GCLID – Google Click ID) und sendet Conversion-Daten an Google-Server. Auch beim Besuch bestimmter Seiten (z. B. Danke-Seite nach Registrierung) können Conversions ausgelöst werden.
## B. Pflichtangaben in der Datenschutzerklärung zu Google Ads [#b-pflichtangaben-in-der-datenschutzerklãrung-zu-google-ads]
Die DSGVO verlangt für Google Ads Conversion Tracking und Floodlight folgende Pflichtangaben: **Zwecke** der Verarbeitung (Art. 13 Abs. 1 lit. c DSGVO), **Rechtsgrundlagen** (Art. 13 Abs. 1 lit. b DSGVO), insbesondere da Tracking-Cookies Einwilligung erfordern, **Empfänger und Kategorien von Empfängern** (Art. 13 Abs. 1 lit. e DSGVO), **Speicherdauer** der Daten (Art. 13 Abs. 2 lit. a DSGVO), sowie Information zu **Drittlandtransfers** zu Google LLC in den USA (Art. 13 Abs. 1 lit. f DSGVO, mit DPF oder SCC).
Diese Informationen sollten nicht als Einzelbaustein für Google Ads aufgeführt werden. Stattdessen empfohlen ist ein **themenorientierter Ansatz**: Unter der Überschrift „Marketing und Werbekampagnen-Messung" werden alle Werbe- und Tracking-Dienste zusammengefasst (Google Ads, Facebook Pixel, LinkedIn Ads, etc.) mit gemeinsamen Rechtsgrundlagen und Zwecken. Die Anbieter-Details folgen in einer strukturierten Empfängerliste im Anhang. Dies entspricht der matterius-Methodik und ist wartbar.
## C. Anbieter von Google Ads: Google Ireland Limited [#c-anbieter-von-google-ads-google-ireland-limited]
**Anbieter:** Google Ireland Limited (für deutsche Webseitenbetreiber)
**Vollständige Anschrift:** Gordon House, Barrow Street, Dublin 4, Irland
**Sitzland:** Europäischer Wirtschaftsraum (EWR), Irland
**Vertragspartner:** Webseitenbetreiber schließen Google-Ads-Konten typischerweise mit Google Ireland Limited ab, die als Verantwortlicher für EU-Kunden agiert. Die US-Muttergesellschaft Google LLC (Mountain View, Kalifornien, USA) betreibt die tatsächlichen Server und Subprozessoren.
**Data Privacy Framework (DPF):** Google LLC ist seit September 2023 zertifiziert unter dem EU-US Data Privacy Framework ([https://www.dataprivacyframework.gov/participant/5780](https://www.dataprivacyframework.gov/participant/5780)). Damit gilt das US-Datenschutzniveau als angemessen.
**Datenschutzerklärung des Anbieters:** [https://policies.google.com/privacy](https://policies.google.com/privacy) (allgemeine Google-Datenschutzerklärung)
**Auftragsverarbeitungsvertrag (AVV/DPA):** Google Ireland Limited bietet einen standardisierten Auftragsverarbeitungsvertrag an, der über das Google Ads-Konto-Dashboard abgerufen werden kann. Webseitenbetreiber sollten diesen aktivieren. Details: [https://support.google.com/google-ads/answer/3221666](https://support.google.com/google-ads/answer/3221666)
## D. Datenverarbeitung durch Google Ads – Ablauf [#d-datenverarbeitung-durch-google-ads-â-ablauf]
### Erhebung [#erhebung]
Beim Besuch einer Website mit eingebundenem Google Ads Conversion-Tag oder Floodlight-Pixel wird das JavaScript geladen. Das System erfasst automatisch: Klick-ID (GCLID – Google Click ID) aus dem URL-Parameter (gespeichert in dem Cookie \_gcl\_aw), Daten zum Nutzer-Gerät (Betriebssystem, Browser, Bildschirmauflösung), IP-Adresse, Timestamp und Event-Daten (z. B. ob ein Kauf oder eine Registrierung stattfand). Bei Conversion-Ereignissen werden zusätzlich Custom Parameter übermittelt, falls vom Webseitenbetreiber konfiguriert.
### Speicherung [#speicherung]
Die erfassten Daten werden sofort an Google-Server (Google LLC in den USA) übermittelt. Google speichert Conversion-Daten und Nutzerprofile, die mit GCLID verknüpft sind. Die Speicherdauer variiert je nach Konfiguration, liegt aber typischerweise bei mehreren Monaten bis Jahren für aggregierte Auswertungen. Wenn Nutzer-Identifizierer wie E-Mail-Adressen übermittelt werden (Enhanced Conversions), speichert Google diese in gehashter Form.
### Nutzung [#nutzung]
Der Webseitenbetreiber nutzt die Conversion-Daten zur Erfolgsmessung: Wie viele Conversions pro Kampagne, welcher Anzeigen-Kanal führte zur Conversion, Return on Ad Spend (ROAS). Google LLC nutzt aggregierte Conversion-Daten zur Optimierung der Google Ads-Algorithmen und zum Training von Targeting- und Bidding-Modellen. Bei aktiviertem Remarketing können Google Nutzer-Profile verwendet werden, um dieselben Nutzer später mit Anzeigen zu erreichen.
### Weitergabe [#weitergabe]
Google Ads arbeitet mit verschiedenen Subprozessoren (Google Cloud Services, DoubleClick, Google Marketing Platform). Wenn Remarketing aktiviert ist, werden Nutzer-IDs an Google Display Network und Google-Partner übermittelt. Darüber hinaus können Webseitenbetreiber Conversion-Daten mit Google Analytics 4 verknüpfen, was zu Datenaustausch zwischen den Systemen führt.
### Löschung [#lãschung]
Google behält Conversion-Daten üblicherweise langfristig für aggregierte Berichte. Eine einzelne Löschung durch den Webseitenbetreiber ist nicht möglich. Webseitenbetreiber können das Conversion-Tracking deaktivieren, was neue Datenerfassung stoppt, aber bereits gespeicherte Daten nicht löscht. Nutzer können ihre Daten über Google Ads Settings ([https://adssettings.google.com](https://adssettings.google.com)) begrenzen.
## E. Erhobene Daten beim Einsatz von Google Ads Conversion Tracking [#e-erhobene-daten-beim-einsatz-von-google-ads-conversion-tracking]
Google Ads erfasst bei der Aktivierung von Conversion Tracking und Floodlight Klick-Informationen, Geräte- und Browserinformationen sowie Conversion-Events. Die gesammelten Daten umfassen insbesondere: GCLID (Google Click ID) aus dem URL-Parameter, Timestamp des Conversions, Conversion-Wert (z. B. Kaufbetrag), Custom-Parameter (je nach Tracking-Konfiguration) und bei Enhanced Conversions die gehashte E-Mail-Adresse oder Telefonnummer.
Diese Daten lassen sich in folgende standardisierte Datenarten-Klassen einordnen:
* **Webserver-Protokolldaten**: IP-Adresse, Browser-Version, Betriebssystem, Gerätetyp, Referrer, Timestamp
* **Klickpfade**: Die URL mit GCLID-Parameter (enthält Tracking-Informationen zum Klick), Zielseite nach dem Klick
* **Endgeräte-Daten**: Gerätetyp, Betriebssystem, Bildschirmauflösung
* **Browserinformationen**: Browsername, Browserversion, Sprache
* **Grobe Standortdaten**: Anhand der IP-Adresse ermittelter grober Standort
* **Conversion-Ereignisse**: Kauf, Registrierung, Download, Anfrageformular, Seitenaufruf, benutzerdefinierte Ereignisse, Conversion-Wert
* **Nutzerprofile**: Bei Remarketing-Aktivierung: Historische Klick- und Interaktionsdaten, Interessens-Profile, Segment-Zuordnung
## F. Nutzungszwecke beim Einsatz von Google Ads [#f-nutzungszwecke-beim-einsatz-von-google-ads]
Die primären Zwecke von Google Ads Conversion Tracking sind die Erfolgsmessung von Werbekampagnen (Return on Ad Spend, Konversionsrate) und die Optimierung des Targeting (wer klickt am ehesten auf Anzeigen und konvertiert). Darüber hinaus nutzt Google LLC die aggregierten Conversion-Daten zur Verbesserung des Google Ads-Service und zum Training von Machine-Learning-Modellen.
Die Zwecke lassen sich wie folgt einordnen:
* **Funktionsbereitstellung**: Messung und Bereitstellung von Conversion-Daten an den Werbetreibenden
* **Allgemeine Produktverbesserung**: Optimierung der Google Ads-Plattform, Verbesserung der Targeting-Algorithmen
* **Allgemeines Marketing**: Erfolgsmessung von Kampagnen, Erfolgsmessung durch Drittanbieter-Attribution
* **Nutzerprofil-Erstellung**: Bildung von Interessens-Segmenten und Kohorten auf Basis von Conversion-Verhalten
* **Nutzerindividuelles Marketing**: Remarketing an Nutzer, die konvertiert haben oder ein bestimmtes Verhalten gezeigt haben, personalisiertes Targeting
## G. Rechtsgrundlagen für Google Ads Conversion Tracking [#g-rechtsgrundlagen-fãr-google-ads-conversion-tracking]
Google Ads Conversion Tracking fällt in die Kategorie **Tracking (Marketing)**. Die Rechtsgrundlage ist:
**Primäre Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO i.V.m. § 25 Abs. 1 TDDDG)**
Das Setzen von Tracking-Cookies durch Google Ads (insbesondere \_gcl\_aw für die GCLID) und die Übermittlung von Conversion-Daten an Google-Server erfordern nach deutschem Recht eine ausdrückliche **Einwilligung** des Nutzers vor Aktivierung. Diese wird typischerweise über ein Cookie-Consent-Banner eingeholt. Die Einwilligung muss spezifisch für Werbe-Tracking und Google Ads erteilt werden.
Google Consent Mode v2 ermöglicht es, Google Tags (Ads, Analytics, Floodlight) basierend auf Nutzer-Einwilligung unterschiedlich zu verarbeiten. Im „Basic Mode" wird Datenübertragung nur mit Consent durchgeführt, was eine DSGVO-kompatible Konfiguration ermöglicht.
Die konkrete Rechtsgrundlage ist im Einzelfall durch den Webseitenbetreiber zu prüfen.
## H. Besonderheiten und Hinweise zu Google Ads [#h-besonderheiten-und-hinweise-zu-google-ads]
* **GCLID-Handhabung:** Der GCLID-Parameter wird automatisch in der URL hinzugefügt (Auto-Tagging). Webseitenbetreiber sollten sicherstellen, dass dieser Parameter nicht in externen Logs oder Analytics-Systemen ohne Rechtsgrundlage gespeichert wird.
* **Enhanced Conversions:** Optionales Feature, das gehashte Kundendaten (E-Mail, Telefon) an Google sendet. Dies erfordert besondere Datenschutz-Vorkehrungen und entsprechende Transparenz-Angaben.
* **Floodlight-Besonderheiten:** Floodlight-Tags ermöglichen Cross-Domain-Tracking und sind granularer als Standard-Conversion-Tags. Sie erfordern ebenso Einwilligung und DPA.
* **Data Privacy Framework (DPF):** Google LLC ist zertifiziert. Überprüfung unter [https://www.dataprivacyframework.gov/participant/5780](https://www.dataprivacyframework.gov/participant/5780)
* **Auftragsverarbeitung:** Ein DPA mit Google Ireland Limited sollte abgeschlossen sein und kann über das Ads-Dashboard aktiviert werden.
* **Google Ad Settings:** Nutzer können ihre Werbe-Einstellungen unter [https://adssettings.google.com](https://adssettings.google.com) verwalten und Tracking begrenzen.
## I. FAQ zu Google Ads Conversion Tracking und Floodlight [#i-faq-zu-google-ads-conversion-tracking-und-floodlight]
Google Ads Conversion Tracking misst, ob Nutzer, die auf eine Google-Anzeige geklickt haben, anschließend auf der Website des Werbetreibenden eine bestimmte Aktion durchführen (Kauf, Registrierung, Download, etc.). Dies ermöglicht es dem Werbetreibenden, die Rentabilität seiner Kampagnen zu messen.
Conversion Tracking ist das Standard-Feature von Google Ads. Floodlight ist eine erweiterte Tracking-Lösung (ursprünglich von DoubleClick) mit granulareren Tracking-Optionen und Cross-Domain-Tracking-Fähigkeiten. Beide erfordern nach Angaben des Anbieters Einwilligung und DPA.
Nach den einschlägigen Rechtsgrundlagen kommt typischerweise eine Einwilligung gemäß § 25 Abs. 1 TDDDG i.V.m. Art. 6 Abs. 1 lit. a DSGVO in Betracht, da das Setzen von Tracking-Cookies und die Datenübertragung an Google erfolgt. Die Rechtsgrundlage ist im Einzelfall durch den Webseitenbetreiber zu prüfen.
Google Consent Mode v2 ermöglicht es, Google Tags (Ads, Analytics, Floodlight) basierend auf Nutzer-Einwilligung zu steuern. Im „Basic Mode" wird Datenübertragung nur mit Consent durchgeführt. Dies kann eine DSGVO-kompatible Konfiguration unterstützen.
Statt eines isolierten Textbausteins für Google Ads empfiehlt sich ein themenorientierter Ansatz: Ein Abschnitt „Marketing und Werbekampagnen-Messung" beschreibt die Verarbeitung übergreifend, und eine Empfängerliste im Anhang nennt Google Ireland Limited als konkreten Dienstleister. Der matterius-Generator unterstützt genau diese Methodik.
## J. Fazit und Empfehlung zu Google Ads [#j-fazit-und-empfehlung-zu-google-ads]
Google Ads ist ein zentrales Marketing-Tool für viele Webseitenbetreiber, da es direkt die Rentabilität von Werbekampagnen misst. Nach den öffentlich zugänglichen Angaben des Anbieters und gängiger DSGVO-Auslegung kommt als Rechtsgrundlage für Conversion Tracking und Floodlight typischerweise eine Einwilligung in Betracht. Die Datenverarbeitung findet – nach Angaben von Google – unter DPF-Zertifizierung in den USA statt, und ein DPA ist zu empfehlen.
Es ist wenig sinnvoll, für Google Ads einen eigenen Textbaustein in die Datenschutzerklärung aufzunehmen. Das führt zu langen, unübersichtlichen Texten, die schwer pflegbar sind und dem Transparenzgebot des Art. 12 Abs. 1 DSGVO widersprechen. Sachgerechter ist ein themenorientierter Ansatz, der Verarbeitungen wie „Marketing und Werbekampagnen-Messung" übergreifend erklärt und Google Ireland Limited als konkreten Empfänger im Anhang nennt. Das ist die Methodik des matterius-Generators.
Dieser Beitrag dient der allgemeinen Information zu Google Ads Conversion Tracking und Floodlight und ersetzt keine rechtliche Beratung im Einzelfall. Stand: 2026-04-22. Die Darstellung beruht auf öffentlich zugänglichen Informationen von Google, Angaben des Anbieters und aktuellen DSGVO-Auslegungen. Einzelne Fakten sollten vom Betreiber vor Einsatz aktuell verifiziert werden.
# Google Analytics (GA4) und Datenschutz – Was in die Datenschutzerklärung gehört (/docs/privacy-policy-website/google-analytics-ga4-datenschutzerklaerung)
# Google Analytics (GA4) und Datenschutz – Was in die Datenschutzerklärung gehört [#google-analytics-ga4-und-datenschutz--was-in-die-datenschutzerklärung-gehört]
Google Analytics GA4 ist ein weit verbreitetes Analyse-Tool, mit dem Webseitenbetreiber Besucherdaten erfassen, um ihre Webseite zu optimieren und Nutzungsverhalten auszuwerten. Für die rechtskonform Nutzung von Google Analytics muss die Datenschutzerklärung jedoch zahlreiche Angaben zur Datenverarbeitung enthalten – Zweck, Rechtsgrundlage, Empfänger, Drittlandtransfer und Speicherdauer. Dieser Artikel stellt dar, welche Informationen Webseitenbetreiber zu Google Analytics GA4 in ihrer Datenschutzerklärung dokumentieren sollten und wie das Unternehmen Google as Auftragsverarbeiter einzuordnen ist.
## A. Zweck und Funktionsweise [#a-zweck-und-funktionsweise]
**Google Analytics** ist ein Analyse-Tool von Google, mit dem Betreiber von Webseiten detaillierte Statistiken über den Datenverkehr ihrer Website sammeln. Das Tool misst, wie Besucher mit einer Webseite interagieren – welche Seiten sie besuchen, wie lange sie dort verbleiben, welche Links sie anklicken und welche Conversions (Registrierungen, Käufe, Downloads) stattfinden.
GA4 (die aktuelle Generation von Google Analytics, eingeführt 2020 als Nachfolger von Universal Analytics) wird auf einer Webseite durch ein **JavaScript-Snippet** integriert. Dieses Snippet, bekannt als **gtag.js**, wird direkt im Quellcode der Webseite eingebunden – typischerweise im ``-Bereich der HTML-Seite. Das Snippet lädt beim Besuch der Webseite automatisch und sendet Ereignisdaten (Events) an Googles Server.
Der Anbieter gibt an, dass gtag.js folgende Aufgaben erfüllt:
* Automatische Erfassung von Standard-Events (Seitenladezeiten, Scrollverhalten, Klicks auf Links, Video-Wiedergabedaten)
* Möglichkeit zur Definition eigener Events (z. B. Formular-Submits, Warenkorb-Additions)
* Speicherung einer eindeutigen **Client-ID** im Browser-Cookie (`_ga`), um Nutzer sitzungsübergreifend zu verfolgen
* Übermittlung dieser Daten an Google-Server in den USA (Drittlandtransfer)
Die Integration von GA4 ist somit deutlich unterschiedlich vom reinen Server-Logging: Der Code lädt im Browser des Besuchers und erstellt aktiv eine Verbindung zu Googles Infrastruktur.
## B. Pflichtangaben in der Datenschutzerklärung [#b-pflichtangaben-in-der-datenschutzerklärung]
Die DSGVO verlangt, dass Webseitenbetreiber Besucher in ihrer Datenschutzerklärung umfassend über die Datenverarbeitung informieren. Gemäß Artikel 13 Abs. 1 DSGVO sind mindestens folgende Angaben erforderlich:
1. **Zwecke der Verarbeitung** (Art. 13 Abs. 1 lit. c) – Wofür werden die Daten genutzt?
2. **Rechtsgrundlage** (Art. 13 Abs. 1 lit. c) – Welche Grundlage erlaubt die Verarbeitung?
3. **Berechtigte Interessen** (Art. 13 Abs. 1 lit. d) – Falls Rechtsgrundlage Artikel 6 Abs. 1 lit. f DSGVO (berechtigte Interessen) ist, welche konkrete Interesse werden verfolgt?
4. **Empfänger der Daten** (Art. 13 Abs. 1 lit. e) – An wen werden die Daten weitergegeben?
5. **Drittlandtransfer** (Art. 13 Abs. 1 lit. f) – Falls Daten außerhalb der EU/des EWR übermittelt werden: an welches Land und welche Garantien gibt es?
6. **Speicherdauer** (Art. 13 Abs. 2 lit. a) – Wie lange werden Daten gespeichert?
7. **Betroffenenrechte** (Art. 13 Abs. 2 lit. b–h) – Informationen zu Auskunfts-, Lösch-, Widerspruchsrecht, etc.
Diese Angaben müssen nicht für **jedes einzelne Tool** in Form eines separaten Textbausteins aufgeführt werden – eine häufig anzutreffende Praxis. Ein Tool-pro-Textbaustein-Ansatz führt zu extrem langen, schlecht lesbaren Datenschutzerklärungen und widerspricht damit dem Transparenz- und Verständlichkeitsgebot des Artikels 12 Abs. 1 DSGVO („leicht zugänglich ... in einer klaren und verständlichen Form").
**Besser: themenorientierter Ansatz.** Statt „GA4-Textbaustein", „Facebook Pixel-Textbaustein", „Hotjar-Textbaustein" etc. sollten Webseitenbetreiber ihre Datenschutzerklärung nach **Verarbeitungskategorien** (z. B. „Webanalyse und Reichweitemessung", „Remarketing und Werbung", „Kontaktformulare") strukturieren und dann eine übersichtliche **Empfängerliste** mit allen Tools, ihren Adressen und Rollen im Anhang anfügen. Diese Struktur ist für Besucher verständlicher und für Datenschutzbeauftragte und Aufsichtsbehörden leichter zu prüfen.
Der **matterius-Datenschutzgenerator** folgt dieser methodisch bewährten, themenorientierten Struktur.
## C. Anbieter [#c-anbieter]
**Google Analytics** wird von **Google Ireland Limited** betrieben, einem Google-Unternehmen mit Sitz in der Europäischen Union. Die vollständige Adresse lautet:
> Google Ireland Limited
> Gordon House, Barrow Street
> Dublin 4, D04 E5W5
> Irland
Google Ireland Limited fungiert als **Auftragsverarbeiter** (Processor) im Sinne von Artikel 28 DSGVO. Die tatsächliche Datenverarbeitung erfolgt jedoch durch die **Muttergesellschaft Google LLC**, ein Unternehmen der USA mit Sitz in den Vereinigten Staaten. Google LLC ist daher Empfänger der Nutzungsdaten im Sinne des Artikels 13 Abs. 1 lit. e DSGVO (Drittlandempfänger).
**Datenschutz-Rahmenbedingungen (DPF):** Der Anbieter gibt an, dass Google LLC unter dem **Data Privacy Framework (DPF)** zertifiziert ist – ein zwischenstaatliches Abkommen zwischen der EU und den USA, das festlegt, dass US-Unternehmen, die sich am DPF-Programm beteiligen, ein in der EU äquivalentes Datenschutzniveau einhalten müssen. Die DPF-Zertifizierung von Google LLC kann auf der offiziellen Seite der U.S. Department of Commerce überprüft werden: [https://www.dataprivacyframework.gov/participant/5780](https://www.dataprivacyframework.gov/participant/5780)
Zusätzlich zum DPF schließt Google **Standard Contractual Clauses (SCC)** ab – rechtliche Vertragsklauseln zwischen Google Ireland Limited und Google LLC, die zusätzliche Schutzmaßnahmen für Datentransfers in die USA vorsehen. Diese Klauseln sind in Googles Datenverarbeitungsbedingungen dokumentiert: [https://policies.google.com/privacy/frameworks](https://policies.google.com/privacy/frameworks)
Für alle Angaben zu Googles Datenschutzverpflichtungen kann die **Datenschutzerklärung von Google** konsultiert werden: [https://policies.google.com/privacy?hl=de](https://policies.google.com/privacy?hl=de)
## D. Datenverarbeitung – Ablauf [#d-datenverarbeitung--ablauf]
Der Prozess der Datenverarbeitung bei Google Analytics GA4 läuft nach einem standardisierten Ablauf:
**Erhebung im Browser**: Beim Besuch der Webseite wird das gtag.js-Snippet geladen und ausgeführt. Das Snippet erfasst automatisch Standard-Events (Seitenladezeit, Schrift, Betriebssystem, Browser-Informationen, Klicks, Scrolling) und optional benutzerdefinierte Events.
**Identifikation des Nutzers**: Das Snippet erzeugt oder liest die sogenannte **Client-ID** aus einem Browser-Cookie (standardmäßig `_ga`). Diese Client-ID dient dazu, Besuche desselben Browsers sitzungsübergreifend zu verknüpfen, ohne den Nutzer namentlich zu identifizieren.
**Speicherung auf Google-Servern**: Die erfassten Events werden mit der Client-ID und weiteren Kontextdaten (Zeitstempel, Seite, Referrer) an Google-Server übermittelt – in diesem Fall an Server von **Google LLC in den USA** (Drittlandtransfer). Der Anbieter gibt an, dass keine IP-Adressen gespeichert werden, sondern nur zur Standortermittlung herangezogen und anschließend verworfen werden.
**Verarbeitung und Auswertung**: Google verarbeitet die Daten zur Generierung von Analyseberichten, Nutzersegmentierung und optionalen Funktionen wie Remarketing oder Zielgruppen-Targeting.
**Datenlöschung**: Google Analytics GA4 speichert Nutzerdaten standardmäßig für **2 Monate**. Der Webseitenbetreiber kann diese Speicherdauer im GA4-Backend auf bis zu **14 Monate** verlängern. Danach erfolgt die automatische Löschung.
## E. Erhobene Daten [#e-erhobene-daten]
Google Analytics GA4 erfasst kontinuierlich eine breite Palette von Nutzungsdaten. Der Anbieter dokumentiert diese als **Events** und **User Properties**. Konkret gehören dazu:
* **Client-ID**: Eine eindeutige Kennung, die gtag.js dem Browser zuweist (`_ga`-Cookie)
* **Session-ID**: Kennzeichnet eine einzelne Website-Sitzung
* **Seitendaten**: URL der besuchten Seite, Seitentitel, Referrer
* **Ereignisdaten**: Automatisch erfasste Events wie `page_view`, `scroll`, `click`, `view_search_results`; Umfang abhängig von Konfiguration
* **Gerätedaten**: Gerätetyp (Desktop, Mobil, Tablet), Betriebssystem und dessen Version, Browsername und -version
* **Standortdaten**: Aus der IP-Adresse abgeleiteter geografischer Standort (Land, Stadt) – die IP selbst wird laut Anbieter nicht gespeichert
* **Conversion-Events**: Benutzerdefinierte Events für Geschäftsziele (Anmeldung, Kauf, Download, Form-Submission)
* **User-Properties**: Vom Webseitenbetreiber gesetzte Custom-Attribute (z. B. Kundensegment, Nutzertyp)
Diese Daten lassen sich nach **Datenarten** klassifizieren:
* **Webserver-Protokolldaten**: Uhrzeit, Browser, Betriebssystem, IP-Region (Standortinferenz)
* **Klickpfade und Navigationsverhalten**: Besuchte Seiten, Scrolltiefen, Elementinteraktionen, Referrer
* **Endgeräte-Informationen**: Gerätetyp, OS, Browser, Bildschirmauflösung, Sprache
* **Browserkonfiguration**: User-Agent, Schriftdarstellung, Locale, Zeitzone
* **Grobe Standortdaten**: Aus IP ermitteltes Sitzungsland und Stadt
* **Nutzerprofile und Segmentierung**: Besuchshäufigkeit, Kundensegmente, Interessen (falls Remarketing/Google Audience aktiv)
* **Ereignisse und Conversions**: Registrierungen, Käufe, Download, Formular-Submissions
* **Interaktionsmessdaten**: Scrolltiefen, Klicks, Video-Abspieldauer, externe Link-Klicks
* **Telemetriedaten**: Seitenladezeiten, Fehlerberichte, Ressourcen-Verfügbarkeit
## F. Nutzungszwecke [#f-nutzungszwecke]
Google Analytics GA4 wird zum Erfassen von Nutzungsdaten zu folgenden **Zwecken** eingesetzt:
* **Allgemeine Produktverbesserung**: Analyse von Besuchern-Navigationsmustern, um die Benutzerfreundlichkeit der Webseite zu optimieren
* **Allgemeines Marketing und Kampagnenerfolgsmessung**: Erfassung von Besucherzahlen, Herkünften (Google Ads, organische Suche, Social Media, direkt), Conversion-Rates
* **Nutzersegmentierung und Profilbildung**: Aufteilung von Besuchern nach Verhalten, Interessen, Gerätetyp, geografischer Herkunft
* **Interessensbezogene Inhaltsbereitstellung**: Personalisierung der Webseiteninhalte basierend auf vorherigen Besuchen
* **Remarketing und interessensbezogenes Targeting**: Wenn GA4 mit Google Ads verknüpft ist, können Besuchersegmente für Werbeanzeigen außerhalb der Website genutzt werden
Diese Zwecke orientieren sich am Geschäftsmodell des Anbieters Google, für den GA4-Daten auch zur Verbesserung seiner Werbenetzwerk-Angebote (Google Ads, Google Display Network) wertvoll sind.
## G. Rechtsgrundlagen [#g-rechtsgrundlagen]
Die Verarbeitung von Nutzungsdaten durch Google Analytics erfordert eine oder mehrere **Rechtsgrundlagen** nach Artikel 6 DSGVO:
**1. Einwilligung (Artikel 6 Abs. 1 lit. a DSGVO):**
Dies ist die Regelrechtsgrundlage für cookie-basiertes Tracking wie GA4. Der Grund: GA4 setzt Cookies, und gemäß Artikel 7 Abs. 4 TTDG (Telekommunikation-Telemedien-Datenschutz-Gesetz, das die ePrivacy-Richtlinie in Deutschland umsetzt) ist eine **vorherige, explizite Einwilligung** erforderlich. Der Webseitenbetreiber muss einen aktiven Cookie-Consent-Banner anzeigen, bevor gtag.js feuert. Die Einwilligung muss als Opt-In (positive Bestätigung) erfolgen – Opt-Out ist nicht zulässig. Erst nach Zustimmung des Nutzers sollte Google Analytics aktiv Daten erfassen.
**2. Berechtigtes Interesse (Artikel 6 Abs. 1 lit. f DSGVO):**
Theoretisch könnte ein Webseitenbetreiber argumentieren, dass die Webseiten-Analyse seinen berechtigten Geschäftsinteressen dient (Nutzerverhalten verstehen, Conversion-Optimierung). Allerdings: Google Analytics ist **Cookie-basiert** und fällt daher primär unter die Einwilligungspflicht des TTDG. Ein reiner Interessensabwägungsansatz ohne Einwilligung ist rechtlich kontrovers und wird von deutschen Datenschutzaufsichtsbehörden i. d. R. nicht akzeptiert. Im Einzelfall zu prüfen.
**Praktisch relevante Schlussfolgerung:** Für GA4 kommt regelmäßig **Einwilligung (Art. 6 Abs. 1 lit. a DSGVO i.V.m. § 25 Abs. 1 TTDG)** als Rechtsgrundlage in Betracht. Dies muss in der Datenschutzerklärung explizit genannt und in einem separaten Zustimmungs-Mechanismus implementiert werden.
## H. Besonderheiten und Hinweise [#h-besonderheiten-und-hinweise]
**Consent Mode v2**: Google verlangt seit März 2024, dass Webseitenbetreiber den **Google Consent Mode v2** implementieren. Dieser signalisiert Google, ob ein Nutzer dem Tracking zugestimmt hat oder nicht. Im Basic Mode wird GA4 erst nach Zustimmung aktiv. Im Advanced Mode kann Google auch ohne Consent „cookieless pings" senden (mit eingeschränktem Datenumfang), was jedoch neu kontrovers diskutiert wird. Webseitenbetreiber sollten Consent Mode v2 zusammen mit einer zertifizierten Cookie-Consent-Lösung implementieren, die dem IAB Transparency & Consent Framework (TCF) entspricht.
**Auftragsverarbeitungsvertrag (AVV / Data Processing Agreement):**
Für Google Analytics ist ein schriftlicher **Auftragsverarbeitungsvertrag (AVV)** gemäß Artikel 28 DSGVO erforderlich. Dieser kann direkt im Google Analytics-Backend abgeschlossen werden:
1. Anmeldung im Google Analytics-Konto
2. Navigation zu **Verwaltung** > **Kontoeinstellungen** (oder **Account Settings** im englischen Interface)
3. Im Bereich "Addendum for Data Processing" (oder "Anhang zur Datenverarbeitung") → **Ansicht anzeigen** / **View Addendum**
4. Prüfung und Bestätigung mit dem Häkchen sowie **Speichern**
Dieser Vertrag ist **zwingend erforderlich** – ohne ihn liegt eine rechtswidrige Datenverarbeitung vor. Google Ireland Limited fungiert hier als **Auftragsverarbeiter**, verarbeitet aber tatsächlich über Google LLC (USA).
**Drittlandtransfer und Schutzmechanismen:**
Besucherdaten werden von Google Analytics an **Google LLC in den USA** übermittelt – außerhalb der EU/des EWR. Die USA gelten nach DSGVO als **Drittland ohne Angemessenheitsbeschluss** der EU-Kommission (seit Schrems II). Daher müssen Zusatzgarantien vorhanden sein:
* **Data Privacy Framework (DPF)**: Google LLC ist DPF-zertifiziert. Der Anbieter gibt an, dass Google LLC sich an die DPF-Prinzipien bindet und dadurch ein adäquates Schutzniveau bietet.
* **Standard Contractual Clauses (SCC)**: Google schließt zusätzlich SCC zwischen Google Ireland Limited (EU) und Google LLC (USA) ab.
Diese Mechanismen werden in der Datenschutzerklärung unter dem Stichwort "Drittlandtransfer" erläutert und mit einer Referenz zu Googles Datenschutzerklärung und DPF-Zertifikat belegt.
**IP-Anonymisierung (nicht mehr relevant in GA4):**
In Universal Analytics (der Vorgängerversion) war eine manuelle "IP-Anonymisierung" einstellbar. **In GA4 ist dies nicht mehr nötig**: Der Anbieter gibt an, dass GA4 IP-Adressen grundsätzlich nicht speichert, sondern nur zur Standortbestimmung heranzieht und sofort nach Ermittlung der geografischen Region verwirft.
**Data Retention (Speicherdauer):**
Die Voreinstellung in GA4 ist eine Speicherdauer von **2 Monaten**. Im Backend kann dies auf bis zu **14 Monate** erhöht werden. Diese Einstellung sollte dokumentiert und in der Datenschutzerklärung erwähnt werden (Erfüllung von Art. 13 Abs. 2 lit. a DSGVO).
**Opt-Out und Nutzerwiderspruch:**
Nutzer können Google Analytics deaktivieren durch:
* **Browser-Erweiterung**: Google stellt eine offizielle Opt-Out-Erweiterung bereit unter [https://tools.google.com/dlpage/gaoptout?hl=de](https://tools.google.com/dlpage/gaoptout?hl=de) (verfügbar für Chrome, Firefox, Safari, Edge)
* **Do-Not-Track-Signal**: Browser können ein DNT-Signal senden; die Einhaltung ist jedoch freiwillig
* **Zustimmung zurückziehen**: Nutzer sollten in der Datenschutzerklärung darauf hingewiesen werden, dass sie ihre Einwilligung widerrufen können
**Subprozessoren:**
Google arbeitet bei der Datenverarbeitung mit weiteren Subprozessoren zusammen, die auf Nutzeranfrage offengelegt werden können (z. B. für Cloud-Speicherung, Abfragedienste, Sicherheit). Eine aktuelle Liste ist in Googles Datenverarbeitungsbedingungen einsehbar oder kann direkt bei Google angefordert werden.
## I. Häufige Fragen zu Google Analytics und Datenschutz [#i-häufige-fragen-zu-google-analytics-und-datenschutz]
Google Analytics ist ein kostenloses Analyse-Tool von Google, mit dem Webseitenbetreiber detaillierte Statistiken über Besucherzugriffe erfassen. GA4 misst automatisch, wie viele Besucher die Webseite hat, aus welchen Ländern und Gerätetypen diese kommen, welche Seiten sie besuchen, wie lange sie verbleiben, und wo sie auf Links klicken. Das Tool wird durch ein JavaScript-Snippet (gtag.js) in den HTML-Code der Webseite integriert und sendet diese Daten an Googles Server.
Google Analytics erfasst u. a. folgende Daten: eindeutige Browser-Kennungen (Client-ID via `_ga`-Cookie), Seitenadressen und Seitentitel, Referrer, Besuchsdauer, Gerätetyp und Betriebssystem, Browser-Typ und -Version, Standort (aus IP-Adresse abgeleitet, IP selbst wird nicht gespeichert), sowie eigens definierte Ereignisse wie Formular-Submits oder Käufe. Falls GA4 mit Google Ads verknüpft ist, können auch Werbeverhalten und Zielgruppen-Segmentierungen erfasst werden.
Google Analytics nutzt Cookies und ist daher **Cookie-basiertes Tracking**. Nach deutschem Recht (TTDG § 25 Abs. 1) und der ePrivacy-Richtlinie ist eine **vorherige, explizite Einwilligung erforderlich**. Die Einwilligung muss aktiv erfolgen (Opt-In), nicht passiv (Opt-Out). Ein Rechtmäßigkeitsargument allein auf Basis berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) ist für Cookie-basiertes Tracking nicht zulässig. **Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO i.V.m. § 25 Abs. 1 TTDG.**
Ja, eine explizite Einwilligung ist zwingend erforderlich. Sie müssen vor dem Laden von GA4 ein **Cookie-Consent-Banner** anzeigen, in dem der Nutzer aktiv der Datenerfassung zustimmt (Checkbox, Button, etc.). Erst nach Zustimmung sollte das gtag.js-Snippet aktiv werden. Moderne Consent-Management-Platforms (CMPs) wie Borlabs Cookie, Usercentrics oder OneTrust ermöglichen dies automatisch. Zusätzlich sollte der **Google Consent Mode v2** implementiert werden, um Google zu signalisieren, ob Zustimmung vorliegt.
Statt einen isolierten „GA4-Textbaustein" zu verfassen, empfiehlt sich ein **themenorientierter Ansatz**: Die Datenschutzerklärung sollte nach Verarbeitungskategorien strukturiert sein (z. B. „Webanalyse und Nutzungsmessung"), und alle Tools dieser Kategorie sollten einheitlich dokumentiert werden – mit einer zentralen **Empfängerliste** im Anhang. Das ist übersichtlicher, leichter zu pflegen und erfüllt besser das Transparenzgebot der DSGVO. Der **matterius-Generator** folgt dieser Struktur und erzeugt automatisch rechtssichere, übersichtliche Datenschutzerklärungen.
## J. Fazit [#j-fazit]
**Google Analytics GA4** ist ein mächtiges Analyse-Tool, das umfangreiche Besucherdaten erfasst und verarbeitet. Für Webseitenbetreiber ergeben sich daraus folgende **Kernpflichten**:
1. **Einwilligung einholen:** Cookie-Consent-Banner vor Laden von GA4 ist zwingend (TTDG § 25 Abs. 1).
2. **AVV mit Google abschließen:** Der schriftliche Auftragsverarbeitungsvertrag (Data Processing Agreement) muss im GA4-Backend akzeptiert werden – ohne ihn ist die Nutzung rechtswidrig (Art. 28 DSGVO).
3. **Datenschutzerklärung anpassen:** Neue oder überarbeitete Datenschutzerklärung mit Angaben zu Zweck, Rechtsgrundlagen, Empfängern, Drittlandtransfer und Speicherdauer.
4. **Technische Maßnahmen:** Consent Mode v2 implementieren, Speicherdauer prüfen, Nutzer-Opt-Out-Möglichkeiten bereitstellen.
Ein **wesentlicher Punkt:** Viele Webseitenbetreiber verfassen lange, redundante Datenschutzerklärungen mit einzelnen „Textbausteinen" für jedes Tool. Das ist nicht nur schlecht lesbar, sondern widerspricht auch Artikel 12 Abs. 1 DSGVO. **Besser ist ein themenorientierter Aufbau** mit zentraler Empfängerliste – das ist verständlicher für Besucher und leichter für Compliance-Teams zu verwalten.
Der **matterius-Datenschutzgenerator** stellt diesen bewährten, methodisch fundierten Ansatz automatisiert zur Verfügung und erspart Webseitenbetreibern aufwendige manuelle Recherche und juristische Einzelfallprüfungen.
Dieser Beitrag dient der allgemeinen Information zu Google Analytics (GA4) und ersetzt keine rechtliche Beratung im Einzelfall. Die Darstellung beruht auf öffentlich zugänglichen Angaben des Anbieters Google und allgemein recherchierbaren Quellen. Stand: April 2026.
# Google Maps und Datenschutz – Was in die Datenschutzerklärung gehört (/docs/privacy-policy-website/google-maps-datenschutzerklaerung)
# Google Maps und Datenschutz – Was Webseitenbetreiber wissen müssen [#google-maps-und-datenschutz-â-was-webseitenbetreiber-wissen-mãssen]
Bindet ein Webseitenbetreiber Google Maps über iFrame oder API ein, verarbeitet er Klickpfade, Webserver-Protokolldaten und grobe Standortdaten zum Zweck der Bereitstellung von Kartenfunktionalität auf Basis von Einwilligung (Art. 6 Abs. 1 lit. a DSGVO i.V.m. § 25 Abs. 1 TDDDG). Google Maps ist ein Kartendienst von Google, der interaktive Karten, Navigationsanweisungen und Ortsinformationen bereitstellt.
## A. Zweck und Funktionsweise von Google Maps [#a-zweck-und-funktionsweise-von-google-maps]
Google Maps ist ein kartographischer Dienst von Google Ireland Limited, der es Webseitenbetreibern ermöglicht, interaktive Karten auf ihre Websites einzubinden – etwa um ein Büro, ein Geschäft, ein Restaurant oder einen Veranstaltungsort zu lokalisieren und zu zeigen. Nutzer können auf der eingebundenen Karte zoomen, die Ansicht ändern, Routen planen und Ortsdetails abrufen.
**Integrationsfunktion:** Google Maps wird typischerweise über ein HTML-``) oder über einen Embed-Code. Bei jedem Videoaufruf kommuniziert der Player mit Vimeo-Servern und erfasst Nutzungsdaten. **Wichtig**: Vimeo ist primär als eigenständiger Datenverantwortlicher tätig – der Webseitenbetreiber hat mit Vimeo keine Auftragsverarbeitungs-Vereinbarung, sondern betreibt gemeinsam mit Vimeo die Datenverarbeitung.
## B. Pflichtangaben in der Datenschutzerklärung zu Vimeo [#b-pflichtangaben-in-der-datenschutzerklärung-zu-vimeo]
Nach der DSGVO muss ein Webseitenbetreiber in seiner Datenschutzerklärung transparent offenlegen, welche Daten verarbeitet werden, zu welchen Zwecken und auf welcher Rechtsgrundlage. Bei Vimeo sind folgende Angaben erforderlich:
* **Zwecke**: Bereitstellung und Wiedergabe von Videos, Erfassung von Zuschauer-Engagement, Video-Analytik, Fehlerdiagnose
* **Rechtsgrundlage**: Einwilligung (Art. 6 Abs. 1 lit. a i.V.m. § 25 Abs. 1 TDDDG) für die Nutzung von Vimeo als Drittanbieter-Video-Plattform; berechtigte Interessen (Art. 6 Abs. 1 lit. f) für Bereitstellung können diskutiert werden, sind aber weniger sicher
* **Empfänger/Kategorien**: Vimeo, Inc. (USA), ggf. Vimeo-Partner und Analyseunternehmen
* **Drittlandtransfers**: Data Privacy Framework (DPF) und Standard Contractual Clauses (SCC)
* **Speicherdauer**: Abhängig von Vimeo-Richtlinie; vom Betreiber zu verifizieren
* **Datenkategorien**: Siehe Abschnitt E
**Wichtiger Hinweis**: Vimeo ist KEIN Auftragsverarbeiter (Processor) – Vimeo ist ein eigenständiger Datenverantwortlicher (Data Controller). Das bedeutet: Es gibt kein AVV/DPA im klassischen Sinne. Der Webseitenbetreiber kann mit Vimeo höchstens eine "Controller-to-Controller" Standardisierte Vertragklauseln vereinbaren (wenn separate Datenverarbeitung). Eine toolspezifische Kopie ist problematisch; ein themenorientierter Ansatz (z.B. Abschnitt „Embedded Media & Videos") ist besser.
## C. Anbieter von Vimeo: Vimeo, Inc. [#c-anbieter-von-vimeo-vimeo-inc]
**Juristischer Name (USA)**: Vimeo, Inc. / Vimeo.com, Inc.\
**Sitzland**: USA (New York)\
**Europäischer Repräsentant**: vom Betreiber zu verifizieren (Vimeo hat möglicherweise eine EU-Niederlassung)\
**DPF-Status**: Vimeo ist DPF-zertifiziert und partizipiert aktiv im EU-US DPF, UK-Extension DPF und Swiss-US DPF. Auch Vimeos Subunternehmen (Livestream LLC, VideoJi, Inc.) adhärieren zu den DPF Principles.\
**Datenschutzerklärung**: [https://vimeo.com/privacy](https://vimeo.com/privacy)\
**AVV/DPA**: Vimeo bietet KEIN klassisches DPA für Standard-Nutzer. Für Enterprise-Kunden und Vimeo OTT gibt es eine Data Processing Addendum ([https://vimeo.com/legal/enterprise-terms/dpa](https://vimeo.com/legal/enterprise-terms/dpa)). Für Standard-Nutzer können jedoch "controller-to-controller" Standard Contractual Clauses vereinbart werden, falls separaten Datenverarbeitung erforderlich ist (vom Betreiber zu prüfen).\
**Kontakt für Datenschutzfragen**: [privacy@vimeo.com](mailto:privacy@vimeo.com)
## D. Datenverarbeitung durch Vimeo – Ablauf [#d-datenverarbeitung-durch-vimeo--ablauf]
### Erhebung [#erhebung]
Der Webseitenbetreiber lädt Videos zu Vimeo hoch oder integriert ein Vimeo-Video über den iFrame-Embed-Code in seine Website. Wenn ein Besucher das Video aufruft, wird das iFrame geladen und kommuniziert mit Vimeo-Servern. Sofort werden Basisdaten erfasst: IP-Adresse, Browser, Gerät, Zeitstempel. Optional können auch erweiterte Analytics aktiviert werden (z.B. Zuschauer-Tracking, Geografie-Daten).
### Speicherung [#speicherung]
Die Video-Dateien werden auf Vimeo-Servern (weltweit verteilte CDN, u.a. USA) gespeichert. Metadaten und Analytics-Daten werden in Vimeo-Datenbanken gespeichert, möglicherweise in den USA. Vimeo speichert diese Daten zu seinen eigenen geschäftlichen Zwecken (nicht nur auf Aufforderung des Webseitenbetreibers). Die Speicherdauer ist abhängig von der Vimeo-Richtlinie und dem Account-Plan; typischerweise solange das Video aktiv ist.
### Nutzung [#nutzung]
Vimeo nutzt die erfassten Daten zur Bereitstellung des Players, zur Fehlerdiagnose, zur Performance-Optimierung und zur Generierung von Analytics-Berichten. Vimeo darf diese Daten auch zu anderen Zwecken nutzen (z.B. für Vimeo-Serviceoptimierung, Sicherheit, Compliance), wie in der Privacy Policy dokumentiert. Der Webseitenbetreiber hat darauf keinen Einfluss – das ist der Nachteil der "Controller"-Rolle von Vimeo.
### Weitergabe [#weitergabe]
Vimeo teilt Daten mit Subprozessoren und Partnern (z.B. Cloud-Provider, Analytics-Services). Vimeo kann auch Daten zu Vimeo-Zwecken weitergeben (z.B. an Vimeo-Subunternehmen, an Werbepartner für Vimeo-Platform-Verbesserung). Der Webseitenbetreiber hat wenig Einflussmöglichkeit, da Vimeo der Verantwortliche ist.
### Löschung [#löschung]
Vimeo löscht Daten gemäß eigener Aufbewahrungsrichtlinien, nicht auf Anforderung des Webseitenbetreibers (außer für bestimmte Daten-Subject-Rights-Anfragen). Wenn der Webseitenbetreiber ein Video löscht, können Analytics-Daten noch länger bei Vimeo verbleiben. Ein manueller Lösch-Request (Datenschutzrecht) ist möglich, aber Vimeo bestimmt selbst die Einhaltung.
## E. Erhobene Daten beim Einsatz von Vimeo [#e-erhobene-daten-beim-einsatz-von-vimeo]
Vimeo erfasst verschiedene Kategorien von Daten, abhängig von der Konfiguration und den aktivierten Features. Diese Daten lassen sich in folgende standardisierte Datenarten-Klassen einordnen:
* **Webserver-Protokolldaten**: IP-Adresse, Datum/Uhrzeit/Zeitzone, User-Agent, Browser/OS/Gerät
* **Klickpfade**: Besuchte Seite mit Video, Referrer-URL
* **Endgeräte-Daten**: Gerätetyp, Betriebssystem, Bildschirmauflösung, Verbindungstyp
* **Browserinformationen**: Browsername, Browserversion
* **Grobe Standortdaten**: IP-basierter Standort (Land, Stadt)
* **Interaktionsdaten**: Play/Pause/Seek-Events, Verweilzeit, Vollständigkeit der Videowiedergabe, Abbruchpunkte
* **Technische Telemetriedaten**: Fehler, Puffering-Ereignisse, Bitrate-Anpassungen, Ladezeiten
* **Nutzerkonto-Daten**: Falls der Zuschauer angemeldet ist (Vimeo-Account), auch Benutzername und E-Mail-Adresse
Optional können auch Cookies für Zuschauer-Tracking gesetzt werden, wenn erweiterte Analytics aktiviert sind.
## F. Nutzungszwecke beim Einsatz von Vimeo [#f-nutzungszwecke-beim-einsatz-von-vimeo]
Vimeo verarbeitet Daten zu mehreren Zwecken, teilweise zu Vimeos eigenen Geschäftszwecken. Diese Daten lassen sich in folgende Zweck-Klassen einordnen:
* **Funktionsbereitstellung**: Bereitstellung und Wiedergabe von Videos, Fehlerdiagnose, Performance-Monitoring
* **Allgemeine Produktverbesserung**: Verbesserung des Players, Optimierung von Streaming-Qualität, Nutzungsanalysen (Vimeo-intern)
* **Allgemeines Marketing**: Analytics-Berichte für Webseitenbetreiber, Trend-Analysen (Vimeo-intern für Plattform-Verbesserung)
* **Sicherheit und Missbrauchsschutz**: Schutz vor unautorisierten Zugriffen, DRM, Sicherheitsüberwachung
* **Kommunikation**: Benachrichtigungen über Vimeo-Services (zu Vimeos Bedingungen)
* **Vimeo-Geschäftszwecke**: Optimierung der Vimeo-Plattform, Training von ML-Modellen (unter Umständen), Compliance
## G. Rechtsgrundlagen für Vimeo [#g-rechtsgrundlagen-für-vimeo]
Die Rechtsgrundlage ist nuanciert, da Vimeo als eigenständiger Datenverantwortlicher agiert:
1. **Einwilligung (Art. 6 Abs. 1 lit. a i.V.m. § 25 Abs. 1 TDDDG)**: Dies ist der sicherste Ansatz. Da Vimeo Tracking-Cookies setzt und personenbezogene Daten verarbeitet, ist eine ausdrückliche Einwilligung erforderlich, bevor der iFrame geladen wird. Die Einwilligung muss spezifisch für Vimeo erfolgen (nicht als Sammelkonsent für "externe Inhalte").
2. **Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO)**: Eine Argumentation, dass die reine Bereitstellung von Video-Inhalten ein berechtigtes Interesse des Webseitenbetreibers ist, ist möglich, aber schwach. Vimeo ist kein notwendiger Service für die Website-Funktion. Eine Interessensabwägung ist kritisch und kann nicht empfohlen werden.
**Best Practice**: Einwilligung einholen (Cookie-Banner mit Opt-In für "externe Video-Inhalte" / "Vimeo"). Dies ist konservativ und legal sicher.
## H. Besonderheiten und Hinweise zu Vimeo [#h-besonderheiten-und-hinweise-zu-vimeo]
* **Vimeo als Datenverantwortlicher, nicht Auftragsverarbeiter**: Das ist eine wesentliche Besonderheit. Vimeo ist kein "AV-Vertrag-Partner" wie z.B. Google Analytics (bedingt) oder Hotjar. Vimeo ist ein eigenständiger Controller und verarbeitet Daten zu eigenen Zwecken.
* **Kein klassisches DPA für Standard-Nutzer**: Es gibt kein AVV/DPA für Standard-Vimeo-Kunden. Für Enterprise- und Vimeo OTT-Kunden gibt es eine Data Processing Addendum, die regelt, dass Vimeo auch als Processor agieren kann (separat für bestimmte Daten).
* **DPF-Zertifizierung**: Vimeo ist DPF-zertifiziert, was die Rechtssicherheit für Drittlandtransfers erhöht. Auch die Subunternehmen (Livestream LLC, VideoJi, Inc.) sind DPF-zertifiziert.
* **Do Not Track Support**: Vimeo respektiert Do Not Track (DNT) Browser-Signale. Wenn ein Nutzer DNT aktiviert hat, sollte Vimeo kein erweitertes Tracking durchführen.
* **Privacy Mode**: Vimeo bietet einen "Privacy Mode", in dem keine Daten zu Vimeos Zwecken verwendet werden. Dies kann eine Option sein, wenn der Webseitenbetreiber zusätzliche Datenschutz-Kontrolle möchte.
* **Controller-to-Controller Arrangement**: Der Webseitenbetreiber kann mit Vimeo eine "Controller-to-Controller" Vereinbarung treffen (Standard Contractual Clauses) und dabei die gegenseitige Verantwortlichkeit klären. Dies ist optional und vom Betreiber zu prüfen.
## I. FAQ zu Vimeo [#i-faq-zu-vimeo]
Vimeo ist eine Video-Hosting- und -Sharing-Plattform, die es Webseitenbetreibern ermöglicht, Videos zu speichern und über einen anpassbaren Player bereitzustellen. Vimeo ist primär ein Datenverantwortlicher, nicht ein Auftragsverarbeiter.
Vimeo erfasst IP-Adresse, Browser-Informationen, Geräte-Metadaten, Video-Wiedergabeereignisse (Play, Pause, Seek), Verweilzeit, Abbruchpunkte und optional erweiterte Analytics (Geografie, Zuschauer-Tracking). Cookies können auch für Zuschauer-Identification verwendet werden.
Nein, in der Regel nicht. Vimeo ist ein eigenständiger Datenverantwortlicher. Es gibt kein klassisches AVV/DPA für Standard-Kunden. Für Enterprise- und Vimeo OTT-Kunden gibt es eine separate Data Processing Addendum.
Einwilligung (Art. 6 Abs. 1 lit. a i.V.m. § 25 Abs. 1 TDDDG) ist die sicherste und empfohlene Rechtsgrundlage. Ein berechtigtes Interesse ist schwächer und nicht empfohlen, da Vimeo nicht essentiell ist.
Ja. Da Vimeo Tracking-Cookies setzt und als eigenständiger Datenverantwortlicher agiert, ist eine ausdrückliche Nutzer-Einwilligung erforderlich, bevor das Vimeo-iFrame geladen wird. Dies geschieht üblicherweise über einen Cookie-Banner mit Opt-In für "externe Video-Inhalte".
Nein, nicht für Standard-Kunden. Für Enterprise- und Vimeo OTT-Kunden gibt es eine Data Processing Addendum ([https://vimeo.com/legal/enterprise-terms/dpa](https://vimeo.com/legal/enterprise-terms/dpa)). Für Standard-Nutzer ist eine "Controller-to-Controller" Vereinbarung optional.
Ein guter Textbaustein integriert Vimeo in einen übergeordneten Abschnitt „Embedded Media & Videos", erklärt dass Vimeo ein eigenständiger Datenverantwortlicher ist, nennt die erfassten Daten, die Einwilligungsanforderung und verweist auf Vimeos Privacy Policy und den Privacy Mode. Der matterius-Generator erstellt solche Formulierungen dynamisch.
## J. Fazit und Empfehlung zu Vimeo [#j-fazit-und-empfehlung-zu-vimeo]
Vimeo ist eine professionelle Video-Plattform mit DPF-Zertifizierung und guten Datenschutz-Dokumentationen. Die wesentliche Besonderheit: Vimeo ist ein eigenständiger Datenverantwortlicher, nicht nur ein technischer Auftragsverarbeiter. Das hat Implikationen für die Rechtsgrundlage, das AVV-Erfordernis und die gegenseitige Verantwortlichkeit. Für DSGVO-Konformität sind folgende Punkte essentiell: (1) ausdrückliche Einwilligung vor Laden des Vimeo-iFrames, (2) transparente Offenlegung von Vimeos Datenverantwortlichkeit (nicht "Auftragsverarbeiter"), (3) Verlinkung zu Vimeos Privacy Policy, (4) optional: Privacy Mode aktivieren für zusätzliche Kontrolle.
**Problematisch**: Ein Textbaustein, der Vimeo wie einen "AV-Vertrag-Partner" behandelt. Besser: Ein themenorientierter Ansatz, der externe Video-Plattformen (YouTube, Vimeo, Brightcove) unter einem Dach behandelt und klar deren Status als eigenständige Controller erklärt. Diese Information beruht auf Anbieterangaben und öffentlich zugänglichen Quellen (Stand: 2026-04-22). Im Einzelfall kann rechtliche Beratung erforderlich sein.
Dieser Beitrag dient der allgemeinen Information zu Vimeo und ersetzt keine rechtliche Beratung im Einzelfall. Stand: 2026-04-22.
# Vimeo Player und Datenschutz – Was in die Datenschutzerklärung gehört (/docs/privacy-policy-website/vimeo-player-datenschutzerklaerung)
# Vimeo Player und Datenschutz – Was in die Datenschutzerklärung gehört [#vimeo-player-und-datenschutz--was-in-die-datenschutzerklärung-gehört]
Webseitenbetreiber, die Vimeo-Videos über iFrame-Einbettung anbieten, ermöglichen eine direkte Verbindung zwischen dem Browser des Besuchers und den Vimeo-Servern. Der Vimeo-Anbieter erhebt dabei personenbezogene Daten wie IP-Adresse, Geräte- und Browserinformationen. Die Datenschutzerklärung muss diese Verarbeitung transparent erläutern und alle DSGVO-Anforderungen erfüllen.
## A. Zweck und Funktionsweise des Vimeo Player [#a-zweck-und-funktionsweise-des-vimeo-player]
Der Vimeo Player ist ein Video-Hosting- und Bereitstellungsdienst der Vimeo, Inc. Wenn ein Webseitenbetreiber ein Video auf seiner Seite einbettet, nutzt der Player eine iFrame-Integration – das bedeutet, dass das Video nicht lokal gespeichert, sondern von Vimeo-Servern abgerufen wird. Der Browser des Besuchers verbindet sich dann direkt mit Vimeo, um das Video zu laden und wiederzugeben.
Dies ist zu unterscheiden von:
* **Vimeo als Videoplattform**: Ein Nutzer kann auf vimeo.com ein eigenes Profil erstellen und Videos hochladen – diese Nutzungsform wird hier nicht behandelt.
* **Vimeo Pro/Business**: Ein Webseitenbetreiber nutzt Vimeo als Hosting-Dienst, um eigene Videos einzubetten. In diesem Fall ist der Webseitenbetreiber Nutzer des Vimeo-Dienstes; Vimeo ist der Anbieter und Verantwortlicher für die Datenverarbeitung.
Die iFrame-Einbettung wird typischerweise mit einem Code wie `` realisiert.
## B. Pflichtangaben in der Datenschutzerklärung [#b-pflichtangaben-in-der-datenschutzerklärung]
Nach Art. 13 und 14 DSGVO muss die Datenschutzerklärung eindeutig offenlegen, dass und wie Vimeo-Videos eingebettet sind, da diese Einbettung mit Datentransfers in ein Drittland (USA) verbunden ist. Die Angaben müssen für den Besucher verständlich und nachvollziehbar sein.
**Erforderliche Informationen:**
* Name und Kontaktdaten des Anbieters (Vimeo, Inc., Adresse)
* Zweck der Datenverarbeitung (Bereitstellung und Analyse von Videoinhalten)
* Art der erhobenen personenbezogenen Daten
* Dauer der Speicherung
* Rechtsgrundlage (üblicherweise Einwilligung)
* Rechte des Betroffenen (Auskunft, Löschung, Widerspruch)
* Drittlandtransfer und Schutzmaßnahmen (Datenschutzrahmen, Standardvertragsklauseln)
Viele Muster-Datenschutzerklärungen sind unvollständig oder zu allgemein formuliert. Ein rechtssicherer Text erfordert eine individuelle Prüfung des konkreten Einsatzes.
## C. Anbieter [#c-anbieter]
**Unternehmensname:** Vimeo, Inc.
**Anschrift:** 330 West 34th Street, 10th Floor, New York, NY 10001, USA
**Kontakt für Datenschutz:**
* E-Mail: [privacy@vimeo.com](mailto:privacy@vimeo.com)
* Telefon: (212) 524-8791
**Datenschutzrichtlinie:** [https://vimeo.com/privacy](https://vimeo.com/privacy)
**Datenschutzrahmen:** Vimeo und seine Tochtergesellschaften (einschließlich Livestream LLC und VideoJi, Inc.) sind zertifizierte Teilnehmer des EU-U.S. Data Privacy Framework (DPF), des UK Extension zum EU-U.S. DPF und des Swiss-U.S. DPF. Dies bedeutet, dass Vimeo sich verpflichtet hat, die strengen Datenschutzanforderungen der Europäischen Union einzuhalten und eine angemessene Datenschutzniveaugarantie bei der Übertragung personenbezogener Daten aus der EU, Großbritannien und der Schweiz in die USA zu bieten.
**Standardvertragsklauseln (SCC):** Zusätzlich zur DPF-Zertifizierung können Standardvertragsklauseln als Schutzmaßnahme für Datentransfers verwendet werden.
## D. Datenverarbeitung – Ablauf [#d-datenverarbeitung--ablauf]
Die Datenverarbeitung durch Vimeo bei der Einbettung eines Videos erfolgt in mehreren Schritten:
Der Besucher öffnet eine Webseite, auf der ein Vimeo-Video über iFrame eingebettet ist. Der Browser des Besuchers stellt eine Anfrage an Vimeo-Server (player.vimeo.com), um das Videoinhaltsverzeichnis zu laden und Videometadaten abzurufen.
Vimeo speichert technische Informationen des Besuchers (IP-Adresse, Geräte-ID, Browser-Kennungen) auf Servern in den USA. Diese Daten werden mit eindeutigen Identifikatoren versehen, um mehrere Zugriffe nachverfolgbar zu machen.
Vimeo nutzt die Daten, um das Video bereitzustellen, die Qualität zu optimieren und Zugriffstatistiken zu erstellen. Dazu gehören auch interne Analysen zum Zweck der Produktverbesserung.
Vimeo kann die Daten an Subprozessoren weitergeben, sofern diese vertraglich an ähnliche Datenschutzverpflichtungen gebunden sind. Auch eine Weitergabe an Behörden in den USA ist möglich.
Vimeo löscht Daten nach seinem Aufbewahrungsplan. Die genaue Dauer ist in der Datenschutzrichtlinie von Vimeo festgehalten; üblicherweise werden Analyticsdaten nach einem Zeitraum von bis zu zwei Jahren gelöscht.
## E. Erhobene Daten [#e-erhobene-daten]
Vimeo erhebt eine Vielzahl von Datenkategorien beim Abspielen eingebetteter Videos:
**Webserver-Protokolldaten**
* Internet-Protokoll-Adresse (IPv4 oder IPv6)
* Zeitstempel der Anfrage (Datum und Uhrzeit des Zugriffs)
* Referrer-Information (welche Webseite das Video eingebettet hat – zur Verfolgung der Videoquelle)
* HTTP-Request-Methode und Status-Code
**Endgeräte-Daten**
* Gerätetyp (Desktop, Tablet, Mobile)
* Betriebssystem (Windows, macOS, iOS, Android)
* Eindeutige Gerätekennungen (sofern vorhanden)
**Browserinformationen**
* Browser-Typ und -Version
* User-Agent-String
* Akzeptierte Sprachen und Zeichenkodierungen
**Standortdaten**
* Grobe geografische Standortinformation (aus IP-Adresse abgeleitet)
**Videointeraktions- und Wiedergabedaten**
* Play/Pause/Stop-Events
* Zeitpunkt und Dauer der Wiedergabe
* Qualitätseinstellungen (gewählte Auflösung)
* Vollbildmodus-Nutzung
**Vimeo-Nutzungskonto-Daten**
* Falls der Besucher bei Vimeo angemeldet ist, kann Vimeo die Videowiedergabe mit dem Vimeo-Benutzerkonto verknüpfen. Dies ermöglicht es Vimeo, die Aktivität über mehrere Webseiten hinweg nachzuverfolgen.
## F. Nutzungszwecke [#f-nutzungszwecke]
**Funktionsbereitstellung**
Vimeo nutzt die erhobenen Daten primär, um das Video eingebettete bereitzustellen, zu streamen und wiederzugeben. Dazu zählen auch technische Optimierungen wie adaptive Bitrate-Anpassung an die Bandbreite des Besuchers.
**Allgemeine Produktverbesserung und Analyse**
Vimeo erstellt interne Statistiken über die Videonutzung, um die Plattform zu verbessern. Dies geschieht unabhängig von den Zielen des Webseitenbetreibers – Vimeo verfolgt damit eigene, kommerzielle Interessen.
**Sicherheit und Missbrauchsprävention**
Vimeo nutzt die Daten zur Erkennung von Bots, zum Schutz vor unautorisierten Zugriffen und zur Prävention von Videopiraterie.
## G. Rechtsgrundlagen [#g-rechtsgrundlagen]
**Primäre Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO)**
Da die Einbettung von Vimeo-Videos nicht notwendig für den Betrieb der Webseite ist, lässt sie sich nicht auf berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO) stützen. Eine Aufrechterhaltung der Website, ihre Sicherheit oder Optimierung können üblicherweise nicht geltend gemacht werden, um Vimeo zu rechtfertigen.
Daher ist **aktive, explizite Einwilligung des Besuchers erforderlich**, bevor Vimeo-Daten erhoben werden. Die Einwilligung muss:
* Freiwillig erfolgen (keine Vorbedingung für Website-Zugang)
* Informiert sein (der Besucher muss verstehen, dass Daten in die USA übertragen werden)
* Spezifisch sein (konkrete Zustimmung zu Vimeo, nicht allgemein zu „externen Inhalten")
* Aktiv erfolgen (nicht durch Voreinstellung oder Stillschweigen)
Nach § 25 TDDDG ist für die Einwilligung bei Cookies und Tracker typischerweise ein Consent-Banner oder ähnliches Mechanismus erforderlich.
**Alternative: Privacy Mode mit dnt=1**
Wenn der Vimeo-iFrame mit dem Parameter `dnt=1` ausgestattet wird (z.B. ``), deaktiviert Vimeo die Setzung von Tracking-Cookies und reduziert die Datenerfassung erheblich. In diesem Fall wird argumentiert, dass eine Einwilligung möglicherweise nicht erforderlich ist, da keine Cookies gesetzt werden. Allerdings werden auch im Privacy-Mode weiterhin technische Protokolldaten (IP-Adresse, Browser-Info) erfasst; eine vollständige Rechtsgrundlage-Entlastung ist damit üblicherweise nicht gegeben.
**Berechtigtes Interesse (diskutierbar)**
Eine Argumentation über berechtigtes Interesse wird von der Datenschutzpraxis überwiegend skeptisch gesehen, besonders wenn Drittlandtransfer (USA) involviert ist. Eine Einzelfall-Bewertung ist erforderlich.
## H. Besonderheiten und Hinweise [#h-besonderheiten-und-hinweise]
**Privacy Mode und dnt=1-Parameter**
Der `dnt=1`-Parameter im Vimeo-iFrame-Code verhindert die Setzung neuer Tracking-Cookies während der Videowiedergabe. Allerdings gilt:
* Bereits vorhandene Vimeo-Cookies vom Browser bleiben aktiv
* Technische Protokolldaten (IP-Adresse, Referrer) werden weiterhin erhoben
* Einige Player-Funktionen (z.B. Speicherung von Qualitätseinstellungen, Zwischenstand) sind eingeschränkt
Der Privacy-Mode ist empfehlenswert, wenn Datenschutzfreundlichkeit prioritär ist. Ein DPA mit dem Webseitenbetreiber ist dafür nicht nötig.
**Vimeo-Cookies beim Standard-Einbetten**
Ohne `dnt=1` setzt Vimeo standardmäßig Cookies, insbesondere:
* `vuid`: Vimeo User ID – eine eindeutige Kennung für den Browser oder das Gerät
* Weitere Session- und Analytics-Cookies
Diese Cookies haben typischerweise eine Geltungsdauer von bis zu 13 Monaten.
**Drittlandtransfer und Datenschutzrahmen**
Die USA werden nicht als Land mit angemessenem Datenschutzniveau eingestuft. Der Transfer personenbezogener Daten ist jedoch durch zwei Mechanismen gedeckt:
1. **Data Privacy Framework (DPF)**: Vimeo ist zertifiziert; dies ist der primäre Schutzmechanismus
2. **Standardvertragsklauseln (SCC)**: Können als Fallback dienen
Es ist gute Praxis, beide Schutzmechanismen in der Datenschutzerklärung zu erwähnen.
**Data Processing Agreement (DPA)**
Vimeo bietet ein DPA nur für Enterprise- und Vimeo OTT-Kunden an. Für Self-Service-Nutzer (typische Webseitenbetreiber) existiert kein formales DPA. Das bedeutet, dass der Webseitenbetreiber nicht als Auftragsverarbeiter des Vimeo-Kunden fungiert, sondern Vimeo und der Webseitenbetreiber sind Verantwortliche desselben Datensatzes (Joint Controller nach Art. 26 DSGVO).
Für solche Konstellationen empfiehlt sich, mit Vimeo eine informelle Vereinbarung oder zumindest eine Dokumentation der gegenseitigen Verpflichtungen zu schaffen.
**Einwilligung und Consent-Management**
Praktische Umsetzung:
* Consent-Banner mit expliziter Zustimmung zu Vimeo (z.B. "Ich akzeptiere die Einbettung von Vimeo-Videos")
* Lazy-Loading: Das Video wird erst nach Bestätigung der Einwilligung in die Seite geladen
* Zwei-Klick-Lösung: Der Besucher sieht ein Vorschaubild und muss zustimmen, bevor das iFrame geladen wird
* Dokumentation der Einwilligung (Logging, Zeitstempel)
**Wenn der Besucher bei Vimeo angemeldet ist**
Falls ein Besucher gleichzeitig in seinem Vimeo-Konto angemeldet ist, kann Vimeo die Videowiedergabe mit diesem Konto verknüpfen. Dies ermöglicht eine Cross-Site-Verfolgung über mehrere Webseiten hinweg. Dies sollte in der Datenschutzerklärung erwähnt werden.
## I. Häufige Fragen zu Vimeo und Datenschutz [#i-häufige-fragen-zu-vimeo-und-datenschutz]
Der Vimeo Player ist ein eingebettetes Video-Wiedergabe-System für Webseiten. Ein Webseitenbetreiber lädt ein Video auf die Vimeo-Plattform hoch, erhält einen Einbettungscode und integriert diesen iFrame in die eigene Webseite. Der Browser des Besuchers verbindet sich direkt mit Vimeo-Servern, um das Video zu laden – nicht mit dem Webserver des Seitenbetreibers.
Dies unterscheidet sich von:
* **YouTube/Google**: ähnliches Modell, aber Google ist deutlich größer und hat mehr Tracking-Funktionen
* **Lokale Video-Dateien**: Bei lokal gehosteten Videos verbindet sich der Browser nur mit dem eigenen Server
* **Vimeo als Plattform**: vimeo.com selbst ist eine Social-Media-Plattform, auf der Nutzer Profile erstellen, Videos hochladen und teilen – dies ist nicht Gegenstand dieser Erklärung
Vimeo erhebt:
* **Technische Daten**: IP-Adresse, Browser-Typ und -Version, Betriebssystem
* **Gerätedaten**: Gerätetyp (Mobile, Tablet, Desktop)
* **Interaktionsdaten**: Wann und wie lange das Video angesehen wurde, Abspielen/Pausieren, Qualitätseinstellungen
* **Lokalisierungsdaten**: Grobe geografische Standortinformation aus der IP-Adresse
* **Referrer**: Welche Webseite das Video eingebettet hat
* **Konto-Verknüpfung**: Wenn der Besucher bei Vimeo angemeldet ist, Verknüpfung mit seinem Vimeo-Profil
Diese Daten werden auf Servern in den USA gespeichert und können mit Cookies und Identifikatoren nachverfolgt werden.
Das Einstellen eines Vimeo-Videos ist üblicherweise nicht notwendig für den Betrieb der Webseite, daher ist **Einwilligung (Art. 6 Abs. 1 lit. a DSGVO)** die primäre Rechtsgrundlage. Der Besucher muss aktiv der Einbettung zustimmen, bevor Daten erhoben werden.
Alternativ kann mit dem `dnt=1`-Parameter der Privacy-Mode aktiviert werden, was die Datenerfassung reduziert und die Einwilligungshürde senken kann. Allerdings werden auch im Privacy-Mode noch Protokolldaten übertragen.
Eine Rechtsgrundlage auf Basis berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) wird von Datenschutzbehörden überwiegend nicht akzeptiert.
Ja. Die Einwilligung zu Vimeo muss:
* **Spezifisch** sein: Der Besucher weiß, dass es um Vimeo und die Übertragung in die USA geht
* **Aktiv** erfolgen: Nicht durch Voreinstellung oder Stillschweigen
* **Freiwillig** sein: Nicht als Bedingung für den Website-Zugang erzwungen
* **Informiert** sein: Der Besucher erhält klare Informationen
Ein allgemeines „Akzeptieren Sie unsere Datenschutzerklärung?" ist typischerweise nicht ausreichend. Besser ist ein separater Consent-Manager oder Consent-Banner, das explizit auf Vimeo verweist.
Eine gängige Lösung ist das Lazy-Loading oder die Zwei-Klick-Lösung, bei der das Video erst nach Zustimmung geladen wird.
Ein vollständiger Textbaustein muss mindestens folgende Punkte abdecken:
1. **Anbietername und Adresse**: Vimeo, Inc., Vollständige Adresse
2. **Datenverarbeitung erklären**: Welche Daten, zu welchem Zweck, wie lange gespeichert
3. **Drittlandtransfer**: Dass Daten in die USA übertragen werden; DPF-Zertifizierung erwähnen
4. **Rechtsgrundlage**: Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO; ggf. Privacy-Mode-Option erwähnen
5. **Betroffenenrechte**: Auskunfts-, Löschungs-, Widerspruchsrechte und wie diese geltend gemacht werden
6. **Externe Links**: Link zu Vimeos Datenschutzrichtlinie und Cookie-Richtlinie
7. **Sicherheit**: DPF, SCC, oder andere Schutzmaßnahmen
Ein vorgefertigter Textbaustein ist kein Ersatz für rechtliche Prüfung – jede Webseite hat spezifische Anforderungen.
## J. Fazit [#j-fazit]
Die Einbettung von Vimeo-Videos erfordert datenschutzrechtliche Sorgfalt. Ein Webseitenbetreiber muss die Besucher transparent informieren, dass personenbezogene Daten an Vimeo, Inc. in den USA übertragen werden. Die Datenschutzerklärung ist nicht nur formale Pflicht, sondern auch substantieller Bestandteil einer DSGVO-konformen Verarbeitung.
**Empfehlungen:**
1. **Privacy Mode nutzen**: Der `dnt=1`-Parameter ist eine datenschutzfreundliche Option, die die Einwilligungshürde senken kann
2. **Explizite Einwilligung**: Ein Consent-Banner oder Lazy-Loading-Lösung ist praktisch notwendig
3. **Individuelle Prüfung**: Vorgefertigte Textbausteine sind Orientierungshilfe, ersetzen aber keine rechtliche Beratung für die konkrete Konstellation
4. **Dokumentation**: Einwilligungen sollten geloggt und nachweisbar sein (Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO)
5. **Regelmäßige Überprüfung**: Vimeos Datenschutzrichtlinie und die DPF-Zertifizierung sollten regelmäßig kontrolliert werden
Die Datenschutzkonformität von Vimeo-Einbettungen hängt von vielen Einzelfaktoren ab. Eine themenorientierte, individuelle Bewertung ist empfehlenswert.
**Disclaimer**. Dieser Text stellt keine Rechtsberatung dar. Stand: April 2026. Vimeos Datenschutzrichtlinie und die Datenschutzgesetze können sich ändern. Eine Aktualisierung wird empfohlen.
# Xandr und Datenschutz – Was in die Datenschutzerklärung gehört (/docs/privacy-policy-website/xandr-datenschutzerklaerung)
# Xandr und Datenschutz – Was Webseitenbetreiber wissen müssen [#xandr-und-datenschutz--was-webseitenbetreiber-wissen-müssen]
Setzt ein Webseitenbetreiber Xandr (Microsoft Advertising) ein, verarbeitet er Besucher- und Interaktionsdaten zum Zweck der programmatischen Werbung und des Audience-Building auf Basis von Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 25 Abs. 1 TDDDG. Diese Information beruht auf Angaben des Anbieters und öffentlich zugänglichen Quellen.
## A. Zweck und Funktionsweise von Xandr [#a-zweck-und-funktionsweise-von-xandr]
Xandr (ursprünglich AppNexus, seit 2023 als Microsoft Advertising bekannt) ist eine Supply-Side Platform (SSP) und Ad-Exchange-Plattform, die es Website-Betreibern, App-Publishern und Werbenetzwerken ermöglicht, digitale Werbeplätze und Zielgruppendaten zu verwalten und zu monetarisieren. Im Gegensatz zu The Trade Desk (DSP, Käuferseite) konzentriert sich Xandr auf die Anbieterseite – Publishern wird damit ein Marktplatz geboten, auf dem Werbetreibende Plätze buchen können.
Webseitenbetreiber (Publisher) integrieren einen Xandr-Tag oder Code-Schnipsel in ihre Website. Wenn ein Besucher die Website lädt, erfasst Xandr Daten über diesen Besucher, speichert diese und macht sie für Werbetreibende bei der Auktion von Werbeplätzen verfügbar. Der Publisher erhält dadurch bessere Einnahmen aus seinen Werbeplatzierungen, da Werbetreibende gezielter und effizienter buchen können.
Technisch: Der Xandr-Tag ist ein asynchrones JavaScript-Code-Snippet, das beim Laden der Seite ausgeführt wird. Es setzt einen Cookie auf dem Gerät des Besuchers (meist unter der Domain „adnxs.com" oder ähnlich) und sendet eine Anfrage an Xandrs Server. In dieser Anfrage werden Kontext-Daten (z. B. aus anderen Cookies, Geo-IP) übermittelt. Xandr nutzt diese Daten zur Bidding-Vorbereitung.
## B. Pflichtangaben in der Datenschutzerklärung zu Xandr [#b-pflichtangaben-in-der-datenschutzerklärung-zu-xandr]
Die DSGVO verlangt von Webseitenbetreibern, folgende Punkte transparent zu erläutern:
* **Verarbeitungszwecke** (Art. 13 Abs. 1 lit. c): Warum werden Daten verarbeitet?
* **Rechtsgrundlagen** (Art. 13 Abs. 1 lit. c): Auf welcher rechtlichen Basis erfolgt die Verarbeitung?
* **Berechtigte Interessen** (Art. 13 Abs. 1 lit. d, falls relevant): Falls über berechtigte Interessen legitimiert, diese darlegungen
* **Empfänger oder Kategorien von Empfängern** (Art. 13 Abs. 1 lit. e): An wen werden Daten weitergegeben?
* **Drittlandtransfers** (Art. 13 Abs. 1 lit. f): Werden Daten in Länder außerhalb der EU/des EWR übermittelt? Über welche Mechanismen?
* **Speicherdauer** (Art. 13 Abs. 2 lit. a): Wie lange werden Daten gespeichert?
**Häufiger Fehler:** Toolspezifische Textbausteine aus den Datenschutzerklärungen von Anbietern widersprechen dem Transparenzgebot des Art. 12 Abs. 1 DSGVO. Ein **themenorientierter Ansatz** ist besser: Die Datenschutzerklärung sollte nach Verarbeitungszwecken strukturiert sein, nicht nach einzelnen Tools. In einer Empfängerliste können die eingesetzten Tools aufgeführt werden.
## C. Anbieter von Xandr: Microsoft (Xandr Inc.) [#c-anbieter-von-xandr-microsoft-xandr-inc]
| Aspekt | Information |
| --------------------- | ---------------------------------------------------------------------------------------------------------------------- |
| **Juristischer Name** | Xandr Inc. (USA) – Teil von Microsoft; Microsoft Advertising |
| **Anschrift (USA)** | 28 Liberty St, New York, NY 10005, USA (Xandr Inc.) |
| **EU-Standorte** | Hamburg (seit 2012), Berlin (seit 2018), Amsterdam, Paris, Zürich |
| **Sitzland** | USA (New York) |
| **DPF-Status** | Vom Betreiber zu verifizieren (Microsoft ist DPF-zertifiziert, Status für Xandr-spezifisch zu prüfen) |
| **Privacy Policy** | [https://www.xandr.com/privacy/](https://www.xandr.com/privacy/) |
| **Rolle** | Eigenständiger Verantwortlicher gegenüber dem Webseitenbetreiber; für EU-Besucher Datenempfänger bei Drittlandtransfer |
**Hinweis:** Xandr wurde 2023 von Microsoft unter der Marke Microsoft Advertising konsolidiert. Für datenschutzrechtliche Fragen sollte die aktuelle Rechtsentität verifiziert werden.
## D. Datenverarbeitung durch Xandr – Ablauf [#d-datenverarbeitung-durch-xandr--ablauf]
### Erhebung [#erhebung]
Der Xandr-Tag wird beim Laden der Website ausgeführt. Xandr erfasst dabei eindeutige Identifikatoren (Cookie-IDs), Webserver-Protokolldaten (IP, Browser, Gerät), Referrer, besuchte URLs und weitere technische Daten. Auch externe Cookie-Daten von anderen Partnern können übermittelt werden.
### Speicherung [#speicherung]
Daten werden in Xandrs Servern (teilweise in den USA) gespeichert. Die Standard-Speicherdauer für Ad-Delivery-Cookies beträgt etwa 100 Tage nach Angaben des Anbieters, kann aber variieren.
### Nutzung [#nutzung]
Xandr nutzt die Daten zur Optimierung des Werbeplatz-Angebots, zur Preisfeststellung, zur Vorbeugung von Betrug und zur Auswertung von Kampagnen-Performance. Besucherdaten werden in Segment-Listen organisiert, die für Targeting verwendet werden.
### Weitergabe [#weitergabe]
Daten werden an Werbetreibende (Käufer von Werbeplätzen) weitergegeben, die auf Xandrs Plattform aktiv sind. Darüber hinaus können Daten mit anderen Ad-Tech-Partnern, Data-Brokern und Werbenetzwerken ausgetauscht werden.
### Löschung [#löschung]
Nach Ablauf der Speicherdauer werden die Cookie-Daten automatisch gelöscht. Ein Löschantrag durch einen Besucher sollte vom Webseitenbetreiber an Xandr weitergeleitet werden.
## E. Erhobene Daten beim Einsatz von Xandr [#e-erhobene-daten-beim-einsatz-von-xandr]
Xandr erfasst ein breites Spektrum an Besucherdaten:
* Eindeutige Cookie-ID oder Xandr-Identifier
* IP-Adresse
* Zeitstempel und Dauer des Seitenbesuchs
* URL der besuchten Seite und Referrer
* Gerätetyp und Betriebssystem
* Browsername, -version und Spracheneinstellung
* Bildschirmauflösung und Viewport-Größe
* Grobe Standortdaten (auf Basis IP)
* User-Agent und weitere technische Identifikatoren
* Externe Daten (z. B. aus Google Analytics, wenn weitergeleitet)
Diese Daten lassen sich in folgende standardisierte Datenarten-Klassen einordnen:
* **Webserver-Protokolldaten**: IP-Adresse, Datum/Uhrzeit/Zeitzone, URL, Referrer, Browser/OS/Gerät, technische Metadaten
* **Klickpfade**: Besuchte Seiten inkl. Referrer, angeklickte Links/Schaltflächen mit Datum/Uhrzeit
* **Endgeräte-Daten**: Gerätetyp, Betriebssystem, Bildschirmauflösung/-größe, Ausrichtung, Touch-Unterstützung
* **Browserinformationen**: Browsername, Browserversion, installierte Erweiterungen
* **Grobe Standortdaten**: IP-basierter grober Standort auf Stadt-/Gemeindeebene
* **Technische Telemetriedaten**: Fehlerquoten, Ladezeiten, Datenverfügbarkeit
* **Nutzerprofile**: Interessenskategorisierungen, Segmentzuordnungen, Nutzungshistorien
## F. Nutzungszwecke beim Einsatz von Xandr [#f-nutzungszwecke-beim-einsatz-von-xandr]
Xandr verarbeitet Daten mit folgenden Zwecken:
* **Funktionsbereitstellung**: Ermöglichung des Werbeplatz-Auktionsmechanismus
* **Allgemeines Marketing**: Ausrichtung von Werbekampagnen, Erfolgsmessung und Optimierung
* **Nutzerprofil-Erstellung**: Segmentierung und Kategorisierung von Website-Besuchern
* **Sicherheit und Missbrauchsschutz**: Betrugserkennung, Validierung von Impressionen
* **Allgemeine Produktverbesserung**: Optimierung der Plattform auf Basis anonymisierter Auswertungen
* **Nutzerindividuelles Marketing**: Zielgruppengerichtete Werbeansprache über die Plattform
## G. Rechtsgrundlagen für Xandr [#g-rechtsgrundlagen-für-xandr]
**Kategorie:** Xandr ist ein Tracking-Tool für programmatische Werbung und Werbeplatz-Verwaltung (SSP/Ad Exchange).
**Rechtsgrundlage:** Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 25 Abs. 1 TDDDG.
Der Webseitenbetreiber (Publisher) muss vor dem Laden des Xandr-Tags eine Einwilligung des Besuchers einholen. Diese Einwilligung muss:
* **Spezifisch und informiert** sein: Der Besucher sollte verstehen, dass Xandr seine Daten erfasst und zu Werbezwecken nutzt
* **Vor der Verarbeitung** eingeholt werden
* **Dokumentiert** werden (Nachweispflicht beim Betreiber)
* **Granular strukturiert** sein – idealerweise sollte Xandr oder zumindest die Kategorie „Werbung / Ad Tech" einzeln genehmigbar sein
**Einwilligungsmechanismus:** Ein Cookie-Banner oder Consent-Management-System (CMP) muss vor dem Laden von Xandr fragen, ob der Besucher dieser Datenverarbeitung zustimmt.
**Hinweis:** Im Einzelfall sollte die Rechtsgrundlage mit einem Juristen geprüft werden. Sonderregeln können für B2B-Websites gelten.
## H. Besonderheiten und Hinweise zu Xandr [#h-besonderheiten-und-hinweise-zu-xandr]
* **Opt-Out-Möglichkeit:** Besucher können sich von Xandr-Tracking unter [https://www.xandr.com/privacy/](https://www.xandr.com/privacy/) abmelden (Opt-Out-Link). Dies sollte in der Datenschutzerklärung erwähnt werden.
* **Microsoft-Eigentum:** Xandr wurde 2021 von AT\&T an Microsoft verkauft und 2023 unter der Marke Microsoft Advertising konsolidiert. Dies kann Auswirkungen auf die Verarbeitung und Weitergabe von Daten haben.
* **Rolle des Webseitenbetreibers:** Der Webseitenbetreiber ist Verantwortlicher für die Erhebung der Einwilligung. Xandr handelt als eigenständiger Verantwortlicher, nicht als Auftragsverarbeiter.
* **Keine Auftragsverarbeitung:** Eine klassische AVV-Beziehung liegt nicht vor. Xandr ist Datenempfänger im Sinne von Art. 13 Abs. 1 lit. e DSGVO.
* **Europäische Standorte:** Xandr hat lokale Büros in Hamburg, Berlin, Amsterdam und Paris. Vom Betreiber zu verifizieren, ob Daten auch in der EU verarbeitet werden.
* **Datenschutz-Bedenken:** Xandr war Gegenstand von Datenschutz-Untersuchungen durch europäische Behörden. Der aktuelle Status sollte überprüft werden.
## I. FAQ zu Xandr [#i-faq-zu-xandr]
Xandr (jetzt Microsoft Advertising) ist eine Ad-Exchange- und Supply-Side Platform (SSP). Sie hilft Webseitenbetreibern (Publishern), ihre Werbeplätze zu verwalten und zu monetarisieren, indem Daten über Besucher erfasst werden, um Werbetreibenden gezielte Targeting-Optionen zu bieten.
Xandr erfasst Webserver-Protokolldaten (IP, Browser, Gerät, URL, Referrer), Cookie-IDs, Zeitstempel und technische Metadaten. Diese Daten werden genutzt, um Besucher zu segmentieren und Werbeplatz-Auktionen zu optimieren.
Xandr erfordert Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 25 Abs. 1 TDDDG. Die Einwilligung muss spezifisch, informiert und vor der Datenverarbeitung eingeholt werden.
Ja, zwingend. Ein Cookie-Banner oder CMP mit Opt-in für Xandr (oder die Kategorie „Werbung") muss vor dem Laden des Xandr-Tags erfolgen.
Xandr ist vom Betreiber zu überprüfen. Xandr war Gegenstand von Datenschutz-Untersuchungen. Für den aktuellen Compliance-Status sollte die DPF-Zertifizierung und eine aktuelle Datenschutz-Bewertung überprüft werden.
Verwenden Sie keinen toolspezifischen Textbaustein. Strukturieren Sie nach Verarbeitungszwecken, z. B. „Werbeplatz-Verwaltung und Monetarisierung". Nennen Sie Xandr/Microsoft Advertising als Empfänger und erläutern Sie transparent, welche Daten erfasst und zu welchen Zwecken verarbeitet werden. Nutzen Sie unseren Datenschutzerklärung-Generator für eine maßgeschneiderte Erklärung.
## J. Fazit und Empfehlung zu Xandr [#j-fazit-und-empfehlung-zu-xandr]
**Zusammenfassung:** Xandr ist ein Tracking-Tool für programmatische Werbung auf der Anbieterseite. Es erfordert eine ausdrückliche, spezifische Einwilligung des Besuchers.
**Warum Textbausteine problematisch sind:** Die Datenschutzerklärung sollte nicht einfach die Privacy Policy von Xandr kopieren. Dies widerspricht Art. 12 Abs. 1 DSGVO. Besucher sollen verstehen, dass ihr Verhalten erfasst wird – nicht durch technische Fachjargon verwirrt werden.
**Empfohlener Ansatz:** Eine themenorientierte Datenschutzerklärung mit transparenter Erläuterung der Werbemonnetarisierung ist klarer und rechtssicherer. Die Erklärung sollte etwa unter „Werbeplatz-Verwaltung" erläutern, dass Besucherdaten erfasst und an Werbetreibende weitergegeben werden.
Dieser Beitrag dient der allgemeinen Information zu Xandr und ersetzt keine rechtliche Beratung im Einzelfall. Stand: 2026-04-22.
# YouTube und Datenschutz – Was in die Datenschutzerklärung gehört (/docs/privacy-policy-website/youtube-datenschutzerklaerung)
# YouTube und Datenschutz – Was Webseitenbetreiber wissen müssen [#youtube-und-datenschutz-â-was-webseitenbetreiber-wissen-mãssen]
Bindet ein Webseitenbetreiber YouTube-Videos über iFrame oder Player ein, verarbeitet er Klickpfade, Webserver-Protokolldaten und Nutzerprofile zum Zweck der Bereitstellung von Videoinhalten auf Basis von Einwilligung (Art. 6 Abs. 1 lit. a DSGVO i.V.m. § 25 Abs. 1 TDDDG). YouTube ist ein Video-Streaming-Dienst von Google, der kostenlosen Zugang zu Videoinhalten ermöglicht und von Webseitenbetreibern häufig zur Einbindung von Produkt-, Schulungs- oder Werbevideos genutzt wird.
## A. Zweck und Funktionsweise von YouTube [#a-zweck-und-funktionsweise-von-youtube]
YouTube ist eine Video-Plattform von Google Ireland Limited. Webseitenbetreiber können Videos über die YouTube-Plattform hochladen oder extern auf ihre Websites einbinden. Besuchern wird so ermöglicht, Videos direkt auf der Website zu schauen, ohne YouTube selbst zu besuchen.
**Integrationsfunktion:** YouTube-Videos werden typischerweise über ein HTML-`