Datenschutzerklärung

Die neomatch digital GmbH („datataste“, „wir“, „uns“) ist eine KI-gestützte Web-Analytics-Plattform mit Sitz in Deutschland. Wir verpflichten uns, deine Privatsphäre zu schützen und personenbezogene Daten im Einklang mit der EU-Datenschutz-Grundverordnung (DSGVO), dem Bundesdatenschutzgesetz (BDSG) und der ePrivacy-Richtlinie zu verarbeiten.

Diese Datenschutzerklärung gilt für:

• Kunden, die ein datataste-Konto erstellen und unser Analytics-Dashboard, unsere API und zugehörige Dienste nutzen
• Website-Besucher, deren Interaktionen durch das auf den Websites unserer Kunden installierte datataste-Tracking-Snippet erfasst werden
• Besucher von datataste.ai, die unsere Marketing-Seiten aufrufen

Für Kundenkontodaten: Die neomatch digital GmbH ist Verantwortlicher. Wir bestimmen die Zwecke und Mittel der Verarbeitung deiner Kontoinformationen, Abrechnungsdaten und deiner Nutzung unserer Plattform.

Für Analytics-Daten von Website-Besuchern: Unsere Kunden sind die Verantwortlichen. datataste handelt als Auftragsverarbeiter gemäß Art. 28 DSGVO. Wir verarbeiten Besucherdaten ausschließlich im Auftrag und nach Weisung unserer Kunden. Ein Auftragsverarbeitungsvertrag (AVV) ist auf Anfrage erhältlich und in Enterprise-Plänen enthalten.

3.1 Kundenkontodaten

Wenn du ein datataste-Konto erstellst, erfassen wir:

• E-Mail-Adresse und vollständigen Namen
• Passwort (gespeichert als bcrypt-Hash; wir speichern Passwörter niemals im Klartext)
• Firmenname und Rechnungsadresse (bei Abschluss eines kostenpflichtigen Plans)
• Zahlungsinformationen (verarbeitet und gespeichert durch Stripe; wir speichern keine Kartennummern)

3.2 Analytics-Daten (Daten von Website-Besuchern)

Wenn Besucher mit deiner Website interagieren, auf der das datataste-Tracking-Snippet installiert ist, erfassen wir im Auftrag des Website-Betreibers die folgenden Datenkategorien:

• Seiten-Kontext: URL, Seitentitel, Referrer, Hostname, Pfad
• Device und Browser: Viewport-Abmessungen, Device Pixel Ratio, Bildschirmausrichtung, User-Agent-String (ausgewertet nach Browser, Betriebssystem und Gerätetyp)
• Interaktionsdaten: Klickziele, Element-Selektoren, DOM-Pfade, sichtbarer Text angeklickter Elemente, Scrollposition
• Consent-Signale: Consent-Status der Consent Management Platform der Website (Cookiebot, OneTrust, Usercentrics, Borlabs, Consentmanager, Cookie Information)

3.3 Was wir NICHT erfassen oder speichern

• IP-Adressen: Die Roh-IP-Adresse wird aus der Anfrage extrahiert, anonymisiert (letztes Oktett auf null gesetzt), ausschließlich für die Geolokalisierung auf Stadtebene verwendet und unmittelbar verworfen. Die Roh-IP wird niemals in unsere Datenbank geschrieben.
• Websiteübergreifendes Tracking: datataste nutzt ausschließlich First-Party-Tracking. Wir setzen keine Third-Party-Cookies und verfolgen Besucher nicht über verschiedene Websites hinweg.
• Fingerprinting zur Identifikation: Unser Element-Fingerprinting-System dient ausschließlich dem Event-Replay-Kontext (der Zuordnung von Interaktionen zu DOM-Elementen), nicht der Identifikation oder dem Profiling einzelner Besucher.

3.4 Geolokalisierung und Consent-Gating

Die Geolokalisierung auf Stadtebene wird nur aufgelöst, wenn der Besucher über die CMP der Website eine Einwilligung in Analytics erteilt hat. Wird keine Einwilligung erteilt, bleibt das Geolokalisierungsfeld leer. Wird die Einwilligung mitten in der Session erteilt, wird die Geolokalisierung nachträglich nur für diese Session aufgelöst.

4.1 Kundenkontodaten

• Bereitstellung und Betrieb des Dienstes, einschließlich Authentifizierung, Abrechnung und Support
• Versand transaktionaler E-Mails: Verifizierung, Passwort-Reset, Rechnungsbelege, Abrechnungsbenachrichtigungen
• Kommunikation von Produkt-Updates, Sicherheitshinweisen und Änderungen unserer Richtlinien
• Verbesserung des Dienstes durch aggregierte, anonymisierte Nutzungsanalysen

4.2 Analytics-Daten

• Darstellung von Analytics-Dashboards, Charts und Reports für unsere Kunden
• Bereitstellung KI-gestützter Insights, Anomaly Detection und natürlichsprachlicher Abfragen
• Erzeugung von Event-Replay-Kontext für die Event-Mapper-Funktion
• Weiterleitung an Google Analytics 4 oder die Meta Conversions API, sofern vom Kunden konfiguriert und auf die entsprechenden Consent-Signale gestützt

Wir verwenden Analytics-Daten nicht für Werbung, Profiling oder andere Zwecke als die Bereitstellung des Dienstes für den Website-Betreiber.

datataste bietet optionale Integrationen, mit denen Kunden ihre eigenen Werbekonten — derzeit Meta Ads und Google Ads — mit einer datataste-Property verbinden können. Diese Integrationen sind strikt Opt-in: datataste greift auf keinerlei Werbedaten zu, bevor ein berechtigter Nutzer des Kundenkontos den OAuth-Autorisierungs-Flow der Werbeplattform ausdrücklich abgeschlossen hat.

5.1 Was wir importieren

Nach der Autorisierung importiert datataste im Auftrag des Kunden die folgenden Daten aus dem verbundenen Werbekonto: Campaign-Metadaten und Campaign-Namen, Metadaten zu Ads und Ad-Sets, aggregierte Performance-Metriken (etwa Impressions, Clicks und Spend) sowie Metadaten des Werbekontos (Konto-ID, Kontoname, Währung und die E-Mail-Adresse des autorisierenden Plattform-Nutzers). Wir fordern ausschließlich Read-only-API-Scopes an; datataste erstellt, verändert oder veröffentlicht niemals Anzeigen.

5.2 Speicherung der Zugangsdaten

Die von der Werbeplattform ausgestellten OAuth-Access- und -Refresh-Tokens werden verschlüsselt gespeichert (AES-256-GCM), niemals an einen Browser oder Client zurückgegeben und ausschließlich für die oben beschriebenen Read-only-Importe verwendet.

5.3 Wie diese Daten verwendet werden — und wie nicht

• Importierte Werbedaten werden ausschließlich verwendet, um dem Kunden, der das Konto verbunden hat, Reporting-, Campaign-Matching- und Analytics-Funktionen bereitzustellen.
• Wir verkaufen keine Werbedaten — und auch keine anderen personenbezogenen Daten (siehe Abschnitt 7).
• Die Werbedaten jedes Kunden werden isoliert innerhalb seines Kontos gespeichert und sind nur für die berechtigten Nutzer dieses Kunden gemäß unserer rollenbasierten Zugriffskontrolle zugänglich.
• Wir verwenden die Werbe- oder Campaign-Daten eines Kunden niemals zum Vorteil eines anderen Kunden, zum Aufbau kundenübergreifender Datensätze oder Benchmarks oder zum Training von KI-Modellen.

5.4 Trennen der Verbindung und Löschung

Kunden können eine Werbe-Integration jederzeit über den Tab Ad platforms in den Einstellungen der Property im datataste-Dashboard trennen. Das Trennen entzieht datataste den künftigen Zugriff und löscht die gespeicherten OAuth-Access- und -Refresh-Tokens sofort und dauerhaft. Bereits importierte Reporting-Daten bleiben im Kundenkonto verfügbar, damit historische Reports intakt bleiben; Kunden können deren Löschung jederzeit verlangen, wie auf unserer Seite zur Datenlöschung beschrieben.

5.5 Aufbewahrung importierter Werbedaten

Importierte Werbe-Reporting-Daten werden aufbewahrt, solange die verbundene Property besteht, und im Zuge der Löschung der Property oder des Kontos dauerhaft entfernt (siehe Abschnitte 9 und 11). Daten von dauerhaft getrennten Integrationen können zusätzlich durch periodische Retention-Bereinigungen entfernt werden. Löschanfragen werden innerhalb von 30 Tagen erfüllt, vorbehaltlich gesetzlicher Aufbewahrungspflichten.

5.6 Unterauftragsverarbeiter und Rollen

Werbedaten werden ausschließlich auf unserer EU-Infrastruktur (Hetzner Cloud, Deutschland) gehostet und sind von denselben Verpflichtungen der in Abschnitt 7 aufgeführten Unterauftragsverarbeiter abgedeckt; werden KI-Funktionen auf Campaign-Daten angewendet, verarbeitet Microsoft Azure OpenAI ausschließlich aggregierte Abfrageergebnisse. Meta Platforms und Google sind eigenständige Verantwortliche für die auf ihren eigenen Plattformen verarbeiteten Daten und keine Unterauftragsverarbeiter von datataste. Für Werbedaten, die im Auftrag eines Kunden importiert werden, ist der Kunde der Verantwortliche und die neomatch digital GmbH handelt als sein Auftragsverarbeiter gemäß Art. 28 DSGVO (siehe Abschnitt 2); für die OAuth-Verbindungs-Metadaten, die zum datataste-Konto des Kunden gehören, ist die neomatch digital GmbH der Verantwortliche.

Die Nutzung und Übermittlung von Informationen, die datataste über Google-APIs erhält, erfolgt im Einklang mit der Google API Services User Data Policy, einschließlich der Limited-Use-Anforderungen. Unsere Nutzung der über die APIs von Meta erhaltenen Daten entspricht den Meta-Plattform-Bedingungen und Entwicklerrichtlinien.

Wir verarbeiten personenbezogene Daten auf den folgenden Rechtsgrundlagen der DSGVO:

• Vertragserfüllung (Art. 6 Abs. 1 lit. b): Verarbeitung von Kundenkonto- und Abrechnungsdaten zur Bereitstellung des Dienstes
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f): Sicherheitsüberwachung, Betrugsprävention, Verbesserung des Dienstes durch aggregierte Analysen
• Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c): Steuer- und Buchführungsunterlagen, behördliche Anfragen
• Einwilligung (Art. 6 Abs. 1 lit. a): Marketing-Kommunikation (ausschließlich Opt-in)
• Auftragsverarbeitung (Art. 28): Verarbeitung der Analytics-Daten von Website-Besuchern im Auftrag unserer Kunden

Wir verkaufen, vermieten oder handeln nicht mit personenbezogenen Daten. Wir geben Daten nur an die folgenden Kategorien von Unterauftragsverarbeitern weiter, die alle durch Auftragsverarbeitungsverträge gebunden sind:

• Stripe, Inc. (San Francisco, USA; EU-Standardvertragsklauseln vorhanden) — Zahlungsabwicklung, Subscription-Verwaltung, Rechnungserstellung
• Mailgun / Sinch (EU-Endpoint: api.eu.mailgun.net) — Zustellung transaktionaler E-Mails
• Microsoft Azure OpenAI (EU-Region) — KI-Analytics-Engine (verarbeitet ausschließlich aggregierte Abfrageergebnisse, niemals Rohdaten auf Besucherebene)
• Hetzner Cloud (Deutschland) — Infrastruktur-Hosting, Datenspeicherung, Backups
• DB-IP (db-ip.com) — IP-zu-Stadt-Geolokalisierung. An die API von DB-IP wird nur eine gekürzte IP-Adresse (letztes Oktett entfernt, z. B. 91.36.0.0) übermittelt; die vollständige IP-Adresse wird niemals übertragen oder gespeichert

Wir können Daten außerdem offenlegen, wenn dies gesetzlich, durch gerichtliche Anordnung oder behördliche Aufforderung vorgeschrieben ist oder um die Rechte, das Eigentum oder die Sicherheit von datataste, unseren Kunden oder der Öffentlichkeit zu schützen.

Alle Kunden- und Analytics-Daten werden ausschließlich auf Servern innerhalb der Europäischen Union gespeichert (Hetzner Cloud, Deutschland). Die Daten verlassen die EU zu keinem Zeitpunkt.

Wir setzen die folgenden technischen und organisatorischen Maßnahmen um:

• Verschlüsselung bei der Übertragung (TLS 1.2+) und im Ruhezustand
• Passwörter als bcrypt-Hashes mit individuellen Salts gespeichert
• Rollenbasierte Zugriffskontrolle (RBAC) mit vier Berechtigungsstufen (Owner, Admin, Manager, Viewer)
• Tägliche automatisierte Backups auf einem separaten, verschlüsselten Volume
• Rund um die Uhr automatisierte Infrastruktur-Überwachung mit Alerting
• Bot- und Puppeteer-Erkennung auf Tracker-Ebene zur Vermeidung von Verunreinigungen durch synthetische Daten

• Kundenkontodaten: Für die Dauer des Kontos zzgl. 30 Tage nach dem Löschungsantrag
• Analytics-Event-Daten: Gemäß dem Subscription-Plan des Kunden
• Importierte Werbedaten (Meta Ads, Google Ads): Aufbewahrt, solange die verbundene Property besteht; gelöscht mit der Löschung der Property oder des Kontos, auf Anfrage auch früher (siehe Abschnitt 5)
• Property-Snapshots (HTML/Assets): 30 Tage
• Rechnungen und Abrechnungsunterlagen: 10 Jahre gemäß deutschem Steuerrecht (§ 147 AO)
• Server-Logs: 7 Tage, danach automatisch gelöscht
• Backups: Rollierende Aufbewahrung von 7 Tagen auf einem separaten, verschlüsselten Volume

Wenn du dich im Europäischen Wirtschaftsraum befindest, hast du die folgenden Rechte:

• Auskunftsrecht (Art. 15): Anforderung einer Kopie der über dich gespeicherten personenbezogenen Daten
• Recht auf Berichtigung (Art. 16): Korrektur unrichtiger oder unvollständiger Daten über deine Account-Einstellungen
• Recht auf Löschung (Art. 17): Löschung deines Kontos und aller zugehörigen Daten in den Account-Einstellungen. Die Löschung erfolgt kaskadierend und dauerhaft.
• Recht auf Einschränkung (Art. 18): Verlangen, dass wir die Verarbeitung deiner Daten einschränken
• Recht auf Datenübertragbarkeit (Art. 20): Export deiner Analytics-Daten in einem maschinenlesbaren Format
• Widerspruchsrecht (Art. 21): Widerspruch gegen eine auf berechtigten Interessen beruhende Verarbeitung
• Recht auf Widerruf der Einwilligung (Art. 7 Abs. 3): Widerruf der Einwilligung jederzeit, ohne die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung zu berühren

Zur Ausübung dieser Rechte kannst du uns unter privacy@datataste.ai kontaktieren. Wir beantworten alle Anfragen innerhalb von 30 Tagen.

Für Website-Besucher: Wenn du deine Betroffenenrechte hinsichtlich der auf der Website eines Kunden erfassten Analytics-Daten ausüben möchtest, wende dich bitte direkt an den Website-Betreiber. Dieser ist für diese Daten der Verantwortliche.

Du kannst dein datataste-Konto jederzeit dauerhaft in den Account-Einstellungen löschen. Die Kontolöschung löst eine kaskadierende Entfernung aus von:

• deinem Nutzerprofil und deinen Authentifizierungsdaten
• allen Properties und deren Konfigurationen
• allen Analytics-Events, Sessions und Dashboard-Daten
• allen Property-Snapshots und zugehörigen Assets
• allen Element-Groups und Custom Dimensions
• allen Werbeplattform-Verbindungen (einschließlich gespeicherter OAuth-Tokens) und importierten Campaign-Daten

Nach der Löschung wird eine Bestätigungs-E-Mail versendet. Dieser Vorgang ist unwiderruflich. Abrechnungsunterlagen werden gemäß deutschem Steuerrecht aufbewahrt.

datataste.ai-Website: Wir verwenden essenzielle Cookies für Authentifizierung und Session-Management. Außerdem setzen wir auf datataste.ai und in unserem Signup-Flow unseren eigenen datataste-Tracker ein, um die Nutzung unserer Website zu messen — er speichert eine Session-ID und eine Visitor-ID im First-Party-localStorage und erfasst Page- und Interaktions-Events, wie in Abschnitt 3.2 beschrieben. Im Kunden-Dashboard ist er nicht aktiv. Er setzt keine Third-Party-Cookies; Werbe- oder Profiling-Cookies setzen wir auf unserer eigenen Website nicht ein.

datataste-Tracking-Snippet: Der Tracker verwendet First-Party-localStorage für die Session-Kontinuität (Session-ID und Visitor-ID). Er setzt keine Third-Party-Cookies. Der Tracker respektiert die Consent-Präferenzen des Besuchers, wie sie von der CMP der Website signalisiert werden.

Die gesamte primäre Datenverarbeitung findet innerhalb der EU statt. Soweit Unterauftragsverarbeiter außerhalb der EU ansässig sind (Stripe, Inc.), stellen wir geeignete Garantien sicher:

• EU-Standardvertragsklauseln (SCC), erlassen von der Europäischen Kommission
• Bewertung der Datenschutzpraktiken des Unterauftragsverarbeiters
• Ergänzende technische Maßnahmen (Verschlüsselung, Zugriffskontrollen)

Der Dienst richtet sich nicht an Personen unter 16 Jahren. Wir erfassen wissentlich keine personenbezogenen Daten von Kindern. Sollten wir Kenntnis davon erlangen, dass wir Daten eines Kindes unter 16 Jahren erfasst haben, löschen wir diese unverzüglich.

Wir können diese Datenschutzerklärung aktualisieren, um Änderungen unserer Praktiken, gesetzlicher Anforderungen oder des Dienstes abzubilden. Wir informieren Kunden über wesentliche Änderungen mindestens 30 Tage vor deren Inkrafttreten per E-Mail und aktualisieren das Datum „Zuletzt aktualisiert“ oben auf dieser Seite.

Wenn du der Ansicht bist, dass unsere Verarbeitung deiner personenbezogenen Daten gegen geltendes Datenschutzrecht verstößt, hast du das Recht, Beschwerde bei einer Aufsichtsbehörde einzulegen, insbesondere in dem EU-Mitgliedstaat deines gewöhnlichen Aufenthalts, deines Arbeitsplatzes oder des Ortes des mutmaßlichen Verstoßes.

Bei Fragen zu dieser Datenschutzerklärung oder zur Ausübung deiner Betroffenenrechte:

neomatch digital GmbH
E-Mail: privacy@datataste.ai
Web: datataste.ai