XJ
XJourney

Datenschutzerklärung

XJourney ist ein Werkzeug zur Messung von Websitenutzung und Werbewirkung. Diese Seite beschreibt, welche Daten dabei verarbeitet werden, an wen sie übermittelt werden und wie lange sie gespeichert bleiben.

1. Verantwortlichkeit

XJourney wird im Auftrag der jeweiligen Websitebetreiber betrieben. Für die Verarbeitung der über eine Website erhobenen Daten ist der Betreiber dieser Website verantwortlich; XJourney handelt als Auftragsverarbeiter im Sinne von Art. 28 DSGVO. Die Kontaktdaten des Anbieters finden Sie im Impressum.

2. Welche Daten verarbeitet werden

Bei jedem Seitenaufruf

  • Aufgerufene Adresse, Seitentitel und die zuvor besuchte Seite (Referrer)
  • Kampagnenparameter der Adresse (utm_source, utm_medium, utm_campaign und weitere)
  • Klick-Kennungen der Werbeplattformen (etwa gclid, fbclid, ttclid, epik), sofern der Aufruf über eine Anzeige erfolgte
  • Browser, Betriebssystem und Gerätekategorie, aus der Browserkennung abgeleitet
  • Ungefährer Standort auf Ebene von Land, Region und Stadt
  • Zeitpunkt des Aufrufs

Bei Käufen, Anfragen und ähnlichen Vorgängen

  • Art des Vorgangs, Wert, Währung und Bestellnummer
  • Angaben zu den betroffenen Produkten
  • Sofern der Websitebetreiber sie übergibt: E-Mail-Adresse, Telefonnummer, Name, Anschrift, Ort und Postleitzahl — siehe Abschnitt 3

3. Umgang mit personenbezogenen Angaben

Übergibt ein Websitebetreiber Angaben wie E-Mail-Adresse oder Telefonnummer, werden diese unmittelbar bei der Entgegennahme normalisiert und mit dem Verfahren SHA-256 in einen nicht umkehrbaren Prüfwert überführt. An die Werbeplattformen wird ausschließlich dieser Prüfwert weitergegeben, niemals der Klartext; die Plattformen gleichen ihn mit ihren eigenen Prüfwerten ab.

Zusätzlich werden diese Angaben im Klartext gespeichert, damit der Websitebetreiber die einzelne Kundenreise nachvollziehen und Rückfragen zu einer Bestellung zuordnen kann. Die Speicherung erfolgt getrennt von den Messdaten und verschlüsselt (AES-256-GCM); entschlüsselt werden sie nur, wenn sie im Dashboard angezeigt werden. Die Messung selbst greift zu keinem Zeitpunkt darauf zu — Auswertungen, Umsatzzahlen und Attribution funktionieren ohne diese Angaben und bleiben nach ihrer Löschung unverändert bestehen.

Aufbewahrung: Die im Klartext gespeicherten Angaben werden 90 Tage nach dem letzten Kontakt automatisch gelöscht. Unabhängig davon können sie jederzeit auf Verlangen gelöscht werden; wenden Sie sich dazu an die im Impressum genannte Stelle. Die Löschung entfernt ausschließlich diese Angaben, nicht die anonymen Messdaten.

IP-Adressen werden vor dem Speichern gekürzt: bei IPv4 auf die ersten drei Zahlenblöcke, bei IPv6 auf die ersten drei Gruppen. Eine Zuordnung zu einem einzelnen Anschluss ist damit nicht mehr möglich. Die vollständige Adresse wird nicht gespeichert.

Zur Wiedererkennung wird ein Kennwert im Browser abgelegt (First-Party-Cookie). Ist das nicht möglich, wird ersatzweise ein Prüfwert aus gekürzter IP-Adresse, Browserkennung und Sprache gebildet. Dieser Ersatzwert wird über ein täglich wechselndes Geheimnis gebildet und ist deshalb über Tagesgrenzen hinweg nicht verknüpfbar.

4. Einwilligung

Die Übermittlung an Werbeplattformen setzt eine Einwilligung in Marketingzwecke voraus. Liegt sie nicht vor, findet keine Übermittlung statt. Gegenüber Meta wird zusätzlich die eingeschränkte Datennutzung angefordert, gegenüber Google werden die Signale adUserData und adPersonalization auf „verweigert“ gesetzt, gegenüber Pinterest das Merkmal opt_out.

5. Empfänger

Sofern der Websitebetreiber die entsprechenden Verbindungen eingerichtet und eine Einwilligung vorliegt, werden Angaben zu Käufen und ähnlichen Vorgängen übermittelt an:

  • Meta Platforms Ireland Ltd. (Conversions API)
  • Google Ireland Ltd. (Data Manager API, Google Analytics 4)
  • TikTok Technology Ltd. (Events API)
  • Pinterest Europe Ltd. (Conversions API)

Übermittelt werden dabei die gehashten Angaben aus Abschnitt 3 — nie der Klartext —, die Klick-Kennung der jeweiligen Plattform sowie Wert und Art des Vorgangs. Diese Anbieter verarbeiten Daten auch in den Vereinigten Staaten; Grundlage sind die Standardvertragsklauseln der Europäischen Kommission und, soweit einschlägig, das EU-US Data Privacy Framework.

6. Speicherdauer

Rohdaten werden für einen vom Websitebetreiber festgelegten Zeitraum gespeichert; voreingestellt sind 400 Tage. Danach werden sie gelöscht. Zusammengefasste Auswertungen ohne Bezug zu einzelnen Besuchern bleiben darüber hinaus erhalten.

7. Zugangsanfrage über die Startseite

Wer über das Formular auf der Startseite Zugang anfragt, übermittelt Namen und E-Mail-Adresse, freiwillig zusätzlich Unternehmen, Shop-Adresse, eine Angabe zum Werbebudget und eine Nachricht. Diese Angaben werden ausschließlich verwendet, um die Anfrage zu beantworten und die Einrichtung vorzubereiten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Maßnahmen vor Vertragsschluss).

Eine Weitergabe an Dritte findet nicht statt; die Angaben werden nicht für Werbung verwendet und nicht an die in Abschnitt 5 genannten Werbeplattformen übermittelt. Gelöscht werden sie, sobald die Anfrage erledigt ist und keine handels- oder steuerrechtliche Aufbewahrungspflicht entgegensteht, spätestens nach zwei Jahren.

8. Speicherort

Die Verarbeitung findet auf Servern in Deutschland statt. Eine Übermittlung in Drittländer erfolgt ausschließlich an die in Abschnitt 5 genannten Empfänger.

9. Rechte der betroffenen Personen

Betroffene Personen haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch sowie das Recht, eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen. Zuständig ist der Betreiber der Website, auf der die Daten erhoben wurden. Daneben besteht ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde.

Ein Widerruf der Einwilligung wirkt sich unmittelbar aus: Ab diesem Zeitpunkt findet keine Übermittlung an Werbeplattformen mehr statt.

10. Zugriff durch Werbeplattformen

Verbindet ein Kunde sein Werbekonto, erhält XJourney lesenden Zugriff auf die Leistungsdaten dieses Kontos (Ausgaben, Impressionen, Klicks, dort verzeichnete Conversions) sowie die Berechtigung, Conversions zu übermitteln. Ein Zugriff auf Kampagneneinstellungen, Budgets oder Zahlungsdaten findet nicht statt. Die Berechtigung kann jederzeit im jeweiligen Werbekonto entzogen werden.

11. Änderungen

Diese Erklärung wird angepasst, wenn sich die Verarbeitung ändert. Maßgeblich ist die jeweils auf dieser Seite veröffentlichte Fassung.