Zum Inhalt springen

Auftragsverarbeitungsvertrag

Aktualisiert am 16. Oktober 2026

Dieser Vertrag ist eine Anlage zu den Nutzungsbedingungen. Er gilt automatisch, sobald Sie das Statsdot-Script in Ihre Websites einbinden, ohne gesonderte Unterschrift. Weichen er und die Nutzungsbedingungen beim Schutz personenbezogener Daten voneinander ab, geht dieser Vertrag vor.

1. Parteien

Verantwortlicher: Sie, der Kunde, dem das Statsdot-Konto gehört, für die Besucherdaten Ihrer Websites.

Auftragsverarbeiter:

Mihai Stana Ionescu
Steuernummer: 03236201D
Anschrift: Ana Frank, 20, Valdemoro Madrid Spain
E-Mail: [email protected]

Ihre eigenen Konto- und Abrechnungsdaten, einschließlich der E-Mail-Adressen der Personen, die Sie in Ihr Team einladen, fallen nicht unter diesen Vertrag: Für sie sind wir Verantwortlicher, wie in der Datenschutzerklärung beschrieben.

2. Gegenstand und Dauer

Wir verarbeiten personenbezogene Daten, um Ihnen Statsdot bereitzustellen. Der Vertrag gilt, solange Ihr Konto besteht, und danach, bis die Daten wie in Abschnitt 12 beschrieben gelöscht sind.

3. Art und Zweck

Erheben, Speichern, Zusammenfassen und Anzeigen der Besuche Ihrer Websites, damit Sie deren Reichweite messen können. Die Daten dienen nur Ihren eigenen Statistiken: Sie werden nie verkauft, an Dritte weitergegeben oder für Werbung oder Profilbildung genutzt.

4. Datenkategorien und betroffene Personen

Besucher Ihrer Websites. Für jeden Seitenaufruf oder jedes Ereignis speichert Statsdot:

  • die Seitenadresse ohne Query-Parameter;
  • die Domain der verweisenden Website, nicht die vollständige Adresse;
  • UTM-Kampagnenparameter (Quelle, Medium, Kampagne);
  • den Namen des Ereignisses und ein optionales Label, etwa die Adresse eines ausgehenden Links;
  • das Land, wie von Cloudflare übermittelt;
  • den Gerätetyp, abgeleitet aus der Bildschirmbreite;
  • Browser und Betriebssystem;
  • die Uhrzeit;
  • einen Besuchercode, berechnet aus der IP-Adresse, der Browserkennung und einem Zufallsschlüssel, der jeden Tag gelöscht wird.

Der Server erhält mit jeder Anfrage die IP-Adresse und die vollständige Browserkennung, wie jeder Webserver. Sie werden im Arbeitsspeicher genutzt, um den Besuchercode zu berechnen und Bots herauszufiltern, und nicht gespeichert. Die IP-Adresse dient außerdem dazu, die Zahl der Anfragen zu begrenzen: Der Zähler liegt unter einem Hash der IP-Adresse, der nach einer Minute abläuft. Da sich der Schlüssel hinter dem Besuchercode jeden Tag ändert, lässt sich dieselbe Person nicht von einem Tag zum nächsten verfolgen.

Besondere Kategorien personenbezogener Daten nach Artikel 9 DSGVO werden nicht verarbeitet.

5. Weisungen

Wir verarbeiten die Daten nur auf Ihre dokumentierte Weisung. Die Nutzungsbedingungen, dieser Vertrag und die Einstellungen Ihres Kontos (Websites, Ziele, geteilte Links, Live-Widget, Wochenbericht) sind Ihre Weisungen. Anders verarbeiten wir die Daten nur, wenn das Recht der EU oder eines Mitgliedstaats es verlangt; dann teilen wir Ihnen das vorher mit, sofern dieses Recht es nicht verbietet. Halten wir eine Weisung für einen Verstoß gegen das Datenschutzrecht, sagen wir es Ihnen.

6. Vertraulichkeit

Alle Personen, die zur Verarbeitung der Daten befugt sind, sind zur Vertraulichkeit verpflichtet.

7. Sicherheit

Wir treffen die technischen und organisatorischen Maßnahmen aus der Anlage. Wir dürfen sie anpassen, solange das Schutzniveau nicht sinkt.

8. Unterauftragsverarbeiter

Sie erteilen uns eine allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Die aktuellen sind die in der Datenschutzerklärung genannten:

  • Hosting: Contabo GmbH, Server in Deutschland. Die Statistiken und Kontodaten werden dort gespeichert.
  • Netzwerk und Sicherheit: Cloudflare, Inc. Anfragen an statsdot.com und an den Tracking-Endpunkt laufen über dessen Netzwerk, das IP-Adressen bei der Übertragung sieht, die Statistiken aber nicht speichert.
  • E-Mail: Mailgun Technologies, Inc., für Konto-E-Mails.
  • Zahlungen: Stripe. Verarbeitet nur Ihre eigenen Abrechnungsdaten, nie Besucherdaten.

Wir informieren Sie 30 Tage vorher per E-Mail, bevor wir einen Unterauftragsverarbeiter hinzufügen oder ersetzen. Innerhalb dieser Frist können Sie per E-Mail an [email protected] widersprechen. Können wir dem Widerspruch nicht abhelfen, können Sie kündigen, bevor die Änderung wirksam wird. Wir legen jedem Unterauftragsverarbeiter dieselben Datenschutzpflichten auf und haften Ihnen gegenüber für seine Arbeit.

9. Internationale Übermittlungen

Die Statistiken und Kontodaten werden in Deutschland gespeichert. Anfragen laufen über das Netzwerk von Cloudflare, Inc., einem US-Unternehmen, sodass Daten bei der Übertragung die EU verlassen können. Diese Übermittlungen sind durch das EU-US Data Privacy Framework und Standardvertragsklauseln abgesichert.

10. Unterstützung

Wir unterstützen Sie, unter Berücksichtigung der Art der Verarbeitung und der uns verfügbaren Informationen:

  • bei der Beantwortung von Anträgen betroffener Personen auf Wahrnehmung ihrer Rechte. Die Besucherdaten, die wir speichern, lassen sich keiner namentlich bekannten Person zuordnen, was in den meisten Fällen begrenzt, was sich zu einem Antrag finden lässt;
  • bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen einer Aufsichtsbehörde;
  • bei der Erfüllung Ihrer Sicherheitspflichten.

11. Verletzungen des Schutzes personenbezogener Daten

Wir informieren Sie unverzüglich, nachdem uns eine Verletzung des Schutzes personenbezogener Daten bekannt wird, die Ihre Daten betrifft, mit den Informationen, die wir über Art, wahrscheinliche Folgen und ergriffene Maßnahmen haben, damit Sie Ihre eigenen Meldepflichten erfüllen können.

12. Löschung

  • Besuche werden automatisch gelöscht, sobald sie älter sind als die Aufbewahrungsdauer Ihres Tarifs, höchstens 24 Monate.
  • Wenn Sie eine Website löschen, werden ihre Statistiken gelöscht.
  • Wenn Sie Ihr Konto löschen, werden alle seine Daten gelöscht.
  • Endet eine Testphase ohne Tarif (das Konto hatte nie ein Abonnement und keinen von Hand vergebenen Tarif), werden Besuche noch 7 Tage lang erfasst, und Sie erhalten bei Ende der Testphase eine E-Mail. Nach diesen 7 Tagen werden alle Besuche der Websites des Kontos gelöscht und die Erfassung endet. Das Konto und seine Websites bleiben bestehen.

Kopien in Backups werden innerhalb von 30 Tagen überschrieben.

Einen automatischen Export der gespeicherten Besuche gibt es noch nicht. Wenn Sie uns vor der Schließung Ihres Kontos unter [email protected] darum bitten, übergeben wir Ihnen die Daten, die wir zu Ihren Websites speichern, oder löschen sie, ganz nach Ihrer Wahl.

13. Informationen und Kontrollen

Auf Anfrage an [email protected] stellen wir Ihnen die Informationen zur Verfügung, die nötig sind, um die Einhaltung dieses Vertrags nachzuweisen. Wir ermöglichen Überprüfungen und Inspektionen durch Sie oder einen von Ihnen beauftragten Prüfer nach angemessener Vorankündigung und tragen dazu bei.

Anlage: technische und organisatorische Maßnahmen

  • Verschlüsselung bei der Übertragung: Dashboard, Tracking-Script und Tracking-Endpunkt werden nur über TLS ausgeliefert.
  • Backups: verschlüsselt und 30 Tage aufbewahrt.
  • Zugang: Der Zugang zu Servern, Datenbank und Backups ist auf die Personen beschränkt, die den Dienst betreiben. Passwörter werden als Hash gespeichert. Innerhalb eines Kontos sind Teammitglieder Betrachter oder Verwalter; nur der Kontoinhaber verwaltet Abrechnung und Team.
  • Tägliche Schlüsselrotation: Der Schlüssel hinter dem Besuchercode wird jeden Tag gelöscht, sodass Besucher einmal pro Tag gezählt und nicht über mehrere Tage verfolgt werden können.
  • Keine Cookies, kein Speicher auf dem Gerät: Das Tracking-Script setzt keine Cookies und nutzt weder Local Storage noch Fingerprinting.
  • Datenminimierung: Es werden keine IP-Adressen und keine vollständigen Browserkennungen gespeichert; Seitenadressen werden ohne Query-Parameter gespeichert, verweisende Seiten nur als Domain.
  • Aufbewahrung: Besuche, die älter sind als die Aufbewahrungsdauer des Tarifs, höchstens 24 Monate, werden jeden Tag automatisch gelöscht.