Diese Fassung beschreibt unsere Datenverarbeitung und festgelegten Vereinbarungen. Die Fristen für eigene Kontaktanfragen, geschlossene Konten und historische Kopien werden manuell umgesetzt. Bedingungen und Auftragsverarbeitung gelten bei Einbeziehung in den vereinbarten Auftrag; allein das Lesen dieser Seite ist keine Annahme.
Wer ist verantwortlich?
CookieROAS ist ein Dienst von WSV Commerce B.V. Für unsere eigene Website, Kontaktanfragen, Kontoverwaltung und Geschäftsverwaltung sind wir Verantwortlicher.
WSV Commerce B.V.Burgemeester Minkenbergstraat 306107 AE Stevensweert, NiederlandeNiederländische Handelskammer (KvK) 76001474info@cookieroas.euDaten der Besucher und Kunden angebundener Onlineshops verarbeiten wir auf Weisung des Shops. Der Shop bestimmt Zwecke und Rechtsgrundlage und ist in der Regel Verantwortlicher; wir sind innerhalb der vereinbarten Weisungen Auftragsverarbeiter. Diese Erklärung ersetzt weder die Datenschutzerklärung des Shops noch unseren Auftragsverarbeitungsvertrag. Die Rolle von Google oder Meta hängt vom Produkt und den Bedingungen ab; sie sind nicht bei jeder Verarbeitung unsere Unterauftragsverarbeiter.
Kontakt, Konten und Rechtsgrundlagen
Bei Anfragen verarbeiten wir den angegebenen Namen, die E-Mail-Adresse, das Thema, die Shopadresse, das Shopsystem, die Nachricht und die Sprache. Resend übermittelt die Anfrage an unser Kontaktpostfach und sendet eine Eingangsbestätigung ohne Kopie deiner Nachricht. E-Mails können weiterhin von info@cookierisk.eu stammen. Die Anwendung speichert die Nachricht nicht in einer eigenen Kontaktdatenbank; sie befindet sich jedoch in den beteiligten E-Mail-Systemen. Vorübergehende technische Kennungen helfen gegen doppelte Sendungen und Missbrauch.
Kontodaten umfassen Name, E-Mail-Adresse, Organisation, Rolle, Sitzungsdaten sowie gegebenenfalls IP-Adresse und Browserinformationen. Passwörter werden als Passwort-Hash gespeichert. Funktionale Sitzungsdaten sind erforderlich, um Zugang zu ermöglichen und zu sichern.
Wir verwenden diese Daten zur Beantwortung deiner Anfrage und Bereitstellung des Dienstes. Bist du selbst Vertragspartei, ist die Grundlage die Vertragserfüllung oder eine von dir angeforderte vorvertragliche Maßnahme (Artikel 6 Absatz 1 Buchstabe b DSGVO). Bei geschäftlichen Ansprechpartnern und Sicherheit stützen wir uns nach Interessenabwägung auf berechtigte Interessen an Kundenkontakt, Zugangsverwaltung und Missbrauchsprävention (Buchstabe f). Gesetzlich vorgeschriebene Verwaltung beruht auf einer rechtlichen Verpflichtung (Buchstabe c). Unsere eigene Website-Analyse erfordert Einwilligung (Buchstabe a).
Pflichtfelder sind nötig, um die Anfrage zu bearbeiten; ohne diese Angaben können wir sie nicht abwickeln. Weitere Angaben sind freiwillig. Sende keine Passwörter, Zugangstokens oder unnötigen Kundendaten.
Welche Shopdaten verarbeiten wir?
Je nach aktivierten Funktionen erhalten wir Daten vom Messcode im Browser, vom Shop oder Bestellimport und von angebundenen Plattformen:
- Bestellreferenzen, Kaufbeträge, Währungen, Zeitpunkte und Quellenverweise; bei geeigneter Google-Anreicherung auch Produktreferenzen, Mengen und Preise.
- Pseudonyme Sitzungs- und Ereigniskennungen, Seitenkontext, verweisende Domains, beobachtete Mess- und Übermittlungsversuche sowie Fehlerinformationen.
- Einwilligungssignale mit Zeitpunkt und Herkunft, einschließlich abgelehnter oder unbekannter Zustände und Datenschutzpräferenzen wie Global Privacy Control.
- Werbeklick- und Browserkennungen sowie Kampagnendaten, soweit Funktion, Einstellungen und erforderliche Einwilligung dies zulassen. Optionale Google-Anreicherung kann bereits gehashte E-Mail-Adressen oder Telefonnummern und begrenzte Sitzungsattribute verwenden.
- Abgeleitetes Land und grobe Browser- oder Geräteinformationen. Die normale Messannahme speichert standardmäßig keine rohe IP-Adresse oder vollständigen User-Agent; Netzwerkdienste sehen diese beim Aufruf. Kontosicherheit und optionale Google-Sitzungsattribute können jedoch eine IP-Adresse beziehungsweise den vollständigen Landingpage-User-Agent verarbeiten.
- Anbindungsdaten wie Konto-IDs, Zugangstokens und gespeicherte Zugangsdaten für geschützte Importe oder Websites.
Auf Weisung des Shops verwenden wir dies, um Käufe zu messen, Abweichungen anzuzeigen, geeignete Conversions zu ergänzen, Doppelzählungen zu verhindern und Übermittlungsstatus und Einwilligung pro Bestellung anzuzeigen. Monitoring verwendet Messdaten für Prüfungen und eingerichtete Benachrichtigungen.
Die Seitenerfassung kann auf einen Hash beschränkt sein oder Pfade und ausgewählte Abfragedaten umfassen. Bekannte sensible Felder werden gefiltert; ein Pfad oder unbekannter Abfragewert kann trotzdem personenbezogene Daten enthalten. Begrenzte rohe Messdaten können bei ausdrücklicher Aktivierung verschlüsselt gespeichert werden. Hashing und Verschlüsselung machen Daten nicht automatisch anonym.
Die Software unterstützt eine optionale Checkout-E-Mail-Anreicherung, die die E-Mail-Adresse im Browser normalisiert und hasht. Diese Funktion ist derzeit ausgeschaltet. Die aktuelle Meta-Kaufanbindung verwendet fbc und fbp, Kaufbetrag, Währung und Ereignisdaten; sie ergänzt keine E-Mail-Adressen, Telefonnummern, IP-Adressen oder User-Agents.
Der Shop muss Rechtsgrundlage und Besucherinformation beurteilen. Begrenzte Einwilligungs- und technische Messnachweise können vor einer Zustimmung erfasst werden; dies unterscheidet sich von einer Erlaubnis für Werbetracking. Serverseitige Verarbeitung ersetzt keine erforderliche Einwilligung; unbekannt bedeutet nicht zugestimmt. Die aktuellen Google-Browserkaufeinstellungen erfordern akzeptierte Einwilligung. Die Software unterstützt auch eine optionale begrenzte Übermittlung bei ausdrücklich abgelehnten Google-Signalen; diese Einstellung ist ausgeschaltet und erfordert vor Nutzung eine gesonderte Prüfung durch den Shop.
Empfänger und Verarbeitung außerhalb des EWR
Für Hosting, Speicherung, Netzwerkverarbeitung, Back-ups und E-Mail setzen wir die folgenden Dienstleister für die genannten Aufgaben ein. Eine aktivierte Google-Ads- oder Meta-Anbindung übermittelt die zur jeweiligen Verbindung und Verarbeitung gehörenden Daten. Ein Integrationslogo bedeutet nicht, dass dieses Ziel für jeden Shop aktiv ist.
| Dienstleister | Funktion | Ort und Abgrenzung |
|---|---|---|
| Vercel Inc. | Website, API, Annahme und Verarbeitung von Anfragen | Anwendungsfunktionen Frankfurt (fra1); globale Infrastruktur und mögliche Drittlandübermittlungen |
| Hetzner Online GmbH | Datenbank und verschlüsselte externe Sicherungen | Datenbank Helsinki, Finnland; Sicherungen Nürnberg, Deutschland |
| Railway Corporation | Hintergrundverarbeitung und geplante Aufgaben | Hostingregion und weitere Verarbeitungsorte gemäß den geltenden Anbietervereinbarungen; keine allgemeine EU-Garantie |
| Cloudflare, Inc. | Netzwerk, First-Party-Proxy, vorübergehender Eingang und E-Mail-Weiterleitung | Globales Netzwerk; regionale Speicherung und Übermittlungen hängen von Diensteinstellungen und Bedingungen ab |
| Resend (Plus Five Five, Inc.) | Kontaktnachrichten, Bestätigungen und aktivierte E-Mail-Mitteilungen | Gespeicherte E-Mails und Protokolle in den USA; standardmäßig 30 Tage, eigene Sicherungen 7 Tage. Eine EU-Versandregion bedeutet keine EU-Speicherung |
| Google Workspace | Unser eigenes Geschäftspostfach; nicht automatisch Empfänger von Shopmessdaten | Postfach- und Archiveinstellungen sind gesondert; Dienstleistung und mögliche Übermittlungen gemäß Workspace-Vertrag |
Weitere Empfänger können befugte Mitarbeiter, beauftragte Berater und Behörden sein, soweit der Zugang für ihre Aufgabe oder eine rechtliche Verpflichtung erforderlich ist. Der Zugang wird auf den jeweiligen Zweck beschränkt.
Ein europäischer Serverstandort schließt Zugriff oder Verarbeitung außerhalb des Europäischen Wirtschaftsraums nicht aus. Übermittlungen nach Kapitel V DSGVO erfordern geeignete Garantien, etwa einen anwendbaren Angemessenheitsbeschluss oder Standardvertragsklauseln der Europäischen Kommission mit der erforderlichen zusätzlichen Prüfung und den nötigen Maßnahmen. Informationen über Garantien für deine Verarbeitung erhältst du über unsere Kontaktadresse. Diese Liste bestätigt weder eine unabhängige Prüfung sämtlicher Verträge und Übermittlungsbedingungen noch eine ausschließlich in der EU stattfindende Verarbeitung.
Aufbewahrung und Löschung
Die folgenden Fristen unterscheiden Datenkategorien. Die sichtbare Bestellhistorie eines Tarifs bedeutet nicht, dass sämtliche zugrunde liegenden Daten gleichzeitig gelöscht werden.
| Daten | Frist oder Kriterium | Bedeutung |
|---|---|---|
| Einwilligungs-, Tracking- und Bestellnachweise | Standardmäßig 90 Tage; eine kürzere eingestellte Frist kann gelten | Quelldaten können einen zusätzlichen Verarbeitungstag benötigen. Laufender Versand, Abhängigkeiten oder fehlgeschlagene Bereinigung können die Löschung verzögern. |
| Sitzungszusammenfassungen | Standardmäßig 400 Tage oder eine kürzere eingestellte Frist | Eigenständige Zusammenfassungshistorie; die Löschung detaillierter Nachweise löscht sie nicht automatisch. |
| Verschlüsselte rohe Messdaten und Zugriffsprotokoll | Messdaten 30 Tage; Zugriffsprotokoll 400 Tage | Bei aktivierter Rohdatenspeicherung. Sicherheits- und Rechenschaftsnachweise haben einen eigenen Zweck. |
| Installations- und Ablehnungsdiagnostik | Erfolgreiche/informative Prüfungen 14 Tage; sonstige Prüfungen standardmäßig 90 Tage; abgewiesene Eingänge 14 Tage | Kürzere eingestellte Kategoriefristen können gelten. |
| Verarbeitungs- und Systemdiagnostik | Veröffentlichungsprotokolle standardmäßig 30 Tage; erfolgreiche Cron-Einträge 14 Tage, sonstige 90 Tage | Laufende oder erforderliche letzte Einträge bleiben geschützt. Metrikchargen haben eine eigene Acht-Tage-Frist. |
| Werbe- und Anreicherungsfelder | Eigene Ablauffristen; viele verschlüsselte Klick-, Sitzungs- und Anreicherungsfelder laufen nach 90 Tagen ab | Geplante Bereinigung löscht abgelaufene Felder und kann sich verzögern. Das Löschen eines Feldes löscht nicht automatisch Bestellreferenz, Hash, Versandstatus oder zugehörigen Nachweis. |
| Versandnachweise, Deduplizierung und Löschbelege | Solange für Anbindung, Verarbeitung oder Nachweis ausgeführter Aktionen erforderlich | Keine allgemeine altersbasierte Löschung für sämtliche Tabellen. Manche Fingerabdrücke bleiben bis zur Website-Löschung; Löschbelege können bei der Organisation bleiben. |
| Konten, Sitzungen und Zugangskonfiguration | Während der Nutzung; Kontodaten innerhalb von 30 Tagen nach Kontobeendigung, außer bei gesetzlichen Verwaltungspflichten oder einem konkreten Rechtsstreit | Eine abgelaufene Sitzung ist ungültig, wird aber nicht automatisch aus der Datenbank entfernt. Kontolöschung wird manuell bearbeitet; eine Anfrage zu Shopdaten wird gesondert ausgeführt. |
| Kontaktanfragen und E-Mail | Erledigte Anfragen höchstens 12 Monate nach Abschluss; Resend speichert versandte E-Mails/Protokolle standardmäßig 30 Tage | Kontaktnachrichten liegen in der E-Mail-Kette, nicht in einer eigenen Kontakttabelle der Anwendung. Postfachbereinigung erfolgt manuell; Datenbankbereinigung löscht keine Google-Workspace-E-Mails. |
| Datenbanksicherungen | Drei vollständige und vierzehn differenzielle Sicherungen | Anzahlen, keine garantierte Zahl von Tagen. Häufigkeit und erfolgreiche Ausführung bestimmen das Alter. Die geprüften Sicherungen sind verschlüsselt. |
| Historische Export-, Migrations- und Wiederherstellungskopien | Innerhalb von 30 Tagen nach Feststellung, dass die Kopie nicht mehr benötigt wird, nach Prüfung der Wiederherstellbarkeit und gesetzlicher Ausnahmen | Die Produktionsbereinigung löscht bestehende separate Archive und Testkopien nicht automatisch. Sie werden manuell geprüft und gelöscht; Zugriffsbeschränkungen und Löschanweisungen gelten weiterhin. |
Diese Übersicht beschreibt die am 5. November 2026 geprüfte Einrichtung und die festgelegten Richtlinien. Einstellungen, Zweckbindung, laufende Verarbeitung und gesetzliche Aufbewahrungspflichten können abweichen. Die kommerziellen 7/90 Tage sichtbarer Historie sind keine allgemeine Löschfrist. Dienstleister können eigene Verarbeitungs- und Sicherungsfristen haben.
Erledigte Kontaktanfragen bewahren wir höchstens 12 Monate nach Abschluss auf. Kontodaten löschen wir innerhalb von 30 Tagen nach Beendigung des Kontos, ausgenommen weiterhin erforderliche Daten für gesetzliche Verwaltungspflichten oder einen konkreten Rechtsstreit. Die Löschung erfolgt manuell; es gibt keine allgemeine automatische Konto- oder Postfachbereinigung. Gesetzlich aufzubewahrende Unterlagen werden gesondert behandelt.
Die Löschung aus der aktiven Datenbank entfernt nicht unmittelbar jedes Back-up. Verschlüsselte Back-ups haben eine eigene Rotation. Nach Wiederherstellung müssen frühere Löschanweisungen erneut umgesetzt werden; Back-ups dienen nicht zur regulären Nutzung gelöschter Daten. Externe Postfächer, Werbeplattformen und andere Empfänger haben eigene anwendbare Aufbewahrungs- und Löschregelungen.
Löschanfragen sind möglich über info@cookieroas.eu. Bei einer Bestellung kontaktiere zuerst den Shop. Wir unterstützen ihn bei Daten, die wir in seinem Auftrag verarbeiten.
Sicherheit und Vorfälle
Maßnahmen umfassen organisations- und websitebezogene Zugangskontrollen, Authentifizierung, Begrenzung eingehender Daten, Filterung sensibler Messfelder und Verschlüsselung vorgesehener Kennungen, Rohdaten und Geheimnisse. Bestellreferenzen können verschlüsselt und mit einem websitespezifischen HMAC-Index verarbeitet werden. Ein Hash garantiert keine Anonymität.
Kein System ist risikofrei. Melde vermutete Datenschutzverletzungen oder unbeabsichtigten Zugriff an info@cookieroas.eu. Sende keine Passwörter, Tokens oder unnötigen Kundendaten. Meldung, Zusammenarbeit und Verantwortlichkeiten richten sich nach der DSGVO und geltenden Auftragsverarbeitungsvereinbarungen.
Deine Datenschutzrechte
Je nach Verarbeitung hast du Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit. Gegen Verarbeitungen aufgrund berechtigter Interessen kannst du Widerspruch einlegen. Einwilligungen kannst du widerrufen, ohne die Rechtmäßigkeit vorheriger Verarbeitung zu berühren. Diese Rechte haben Grenzen; eine gesetzliche Aufbewahrungspflicht kann die Löschung beschränken.
Sende deine Anfrage an info@cookieroas.eu. Wir prüfen deine Identität soweit nötig angemessen, ohne grundsätzlich eine vollständige Ausweiskopie zu verlangen. Wir antworten in der Regel innerhalb eines Monats. Bei komplexen oder zahlreichen Anfragen ist eine Verlängerung um bis zu zwei weitere Monate möglich; darüber und über den Grund informieren wir innerhalb des ersten Monats.
Du kannst dich bei der niederländischen Datenschutzaufsichtsbehörde oder einer anderen zuständigen Aufsichtsbehörde beschweren. Anfragen zu Verarbeitungen unter Verantwortung eines Shops bearbeitet dieser mit unserer Unterstützung.
Version und ergänzende Vereinbarungen
Dieser Inhalt wurde am 5. November 2026 mit dem untersuchten Code und der verfügbaren Konfiguration abgeglichen. Dies garantiert nicht, dass jede Dienstleisterbedingung oder künftige Einstellung unverändert bleibt. Die Fassung oben nennt das Datum und die Geltung der Vereinbarungen. Wir passen die Erklärung bei relevanten Änderungen an und informieren Betroffene, soweit erforderlich.
Der Auftragsverarbeitungsvertrag regelt Shopweisungen, Sicherheit, Unterauftragsverarbeiter, Unterstützung bei Rechten, Vorfälle und Beendigung. Siehe auch die Bedingungen.
Quellen: DSGVO, insbesondere Artikel 5, 6, 12–22, 28 und 44–49 und Standardvertragsklauseln der Europäischen Kommission.
Fassung 1.0 · 5. November 2026 · WSV Commerce B.V. · Speichere diesen Text mit der Druck- oder PDF-Funktion deines Browsers.