Datenschutzerklärung

Verantwortlich

Len Messerschmidt e.K., hello@wanalyse.de. Die vollständigen Angaben stehen im Impressum.

Welche Daten wir verarbeiten

Beim Besuch der Website

Die Schriftarten liefert unser eigener Server aus — dafür geht keine Anfrage an Google oder einen anderen Drittanbieter. Es gibt keine Werbenetzwerke.

Server-Protokolle

Bei jedem Aufruf von wanalyse.de und app.wanalyse.de speichert unser Hoster Mittwald IP-Adresse, Datum und Uhrzeit, die aufgerufene Adresse, den Statuscode, die übertragene Datenmenge, die verweisende Seite und die Browserkennung. Wir brauchen das, um die Seite auszuliefern, Fehler zu finden und Angriffe abzuwehren. Ausgewertet wird es nur bei einer Störung oder einem Verdacht auf Missbrauch. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

Um zu messen, wie wanalyse genutzt wird, nutzen wir weder Google Tag Manager noch Google Analytics und auch sonst keinen Analyse-, Werbe- oder Trackingdienst eines Dritten. Gemessen wird nur mit unserem eigenen Matomo, ohne Cookies — siehe den nächsten Abschnitt.

Reichweitenmessung mit Matomo

Auf wanalyse.de und in der Anwendung unter app.wanalyse.de zählen wir mit Matomo, wie die Seiten genutzt werden — welche Seiten aufgerufen werden und wie viele Besucher von der Website bis zu einem Konto kommen. Matomo betreiben wir selbst, auf einem eigenen Server bei der Mittwald CM Service GmbH & Co. KG in Deutschland (analytics.klatxt.de). Dein Browser spricht dabei nur mit unserem eigenen Host; nichts davon geht an Google oder einen anderen Dritten.

• Ohne Cookies und ohne andere Speicher in deinem Browser. Matomo erkennt einen Besuch nur innerhalb eines Tages, über einen Abdruck aus gekürzter IP-Adresse, Browserkennung und Sprache, der täglich wechselt.
• Ohne ausgelesene Gerätemerkmale. Das Messskript liest weder Bildschirmauflösung noch installierte Erweiterungen, Ladezeiten oder die erweiterten Gerätemerkmale deines Browsers („Client Hints") aus. Die Uhrzeit deines Geräts, die es mitschickt, verwirft unser Server, bevor der Treffer an Matomo geht. Verarbeitet wird nur, was dein Browser mit jedem Abruf ohnehin mitschickt: IP-Adresse, Browserkennung (User-Agent) und bevorzugte Sprache. Daraus leitet Matomo Browser, Betriebssystem, Geräteart und Land ab.
• Adressen ohne Kennungen und ohne Domains. Bevor eine Adresse gemeldet wird, entfernen wir Kennungen, Tokens aus Freigabe-, Einladungs- und Bestätigungslinks und jede Domain, die du in der Anwendung eingibst — gemeldet wird etwa „/vergleich", nicht, welche Shops du vergleichst. Der Seitentitel besteht nur aus Host und dieser Adresse. Klicks auf Links und Downloads werden nicht gemessen.
• Ereignisse ohne Personenbezug: dass ein Konto erstellt, eine Anmeldung oder Einrichtung abgeschlossen, ein Vergleich gestartet, ein Projekt gespeichert oder abgefragt, eine Freigabe erstellt, ein Export geladen oder ein Konto verbunden wurde, und welcher Knopf der Website (etwa „Registrieren" im Kopf) geklickt wurde — ohne Namen, Adressen, Projektnamen, Eingaben oder Domains.
• Die IP-Adresse wird gekürzt, bevor sie unseren Server verlässt (IPv4 auf die ersten zwei Bytes, IPv6 auf die ersten 48 Bit), und nur so gespeichert.
• „Do Not Track" und „Global Privacy Control" werden beachtet. Meldet dein Browser eins davon, lädt die Seite das Messskript gar nicht, und unser Server verwirft auch jeden Treffer, der trotzdem ankommt.

Rechtsgrundlage ist unser berechtigtes Interesse, das Angebot zu verbessern und zu verstehen, wo Besucher den Weg ins Produkt abbrechen (Art. 6 Abs. 1 lit. f DSGVO). Die Daten werden nach 12 Monaten gelöscht.

Der Messung widersprechen

Du kannst der Messung jederzeit und ohne Begründung widersprechen (Art. 21 DSGVO): mit dem Knopf hier, oder indem du in deinem Browser „Do Not Track" oder „Global Privacy Control" einschaltest. Danach schickt dein Browser nichts mehr an Matomo, auf der Website wie in der Anwendung.

Beim Erstellen eines Kontos

Wir speichern deine E-Mail-Adresse. Sie ist nötig, um dein Konto wiederzuerkennen und dir Anmelde- und Bestätigungslinks zu schicken. Rechtsgrundlage ist die Erfüllung des Nutzungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO).

Registrierst du dich, fragen wir nach Namen, E-Mail-Adresse und Passwort. Bis du die Adresse bestätigt hast, legen wir noch kein Konto an: Name, Adresse, ein Hash des Passworts und eine Prüfsumme des Bestätigungslinks liegen als offene Registrierung höchstens 24 Stunden bei uns. Bestätigst du mit dem Link aus der Mail und dem gewählten Passwort, entsteht daraus dein Konto, und die offene Registrierung wird gelöscht; bestätigst du nicht, löscht sie ein täglicher Lauf nach Ablauf. Gibt es zu der Adresse schon ein Konto, speichern wir nichts und schicken an die Adresse nur einen Hinweis darauf. Ein Konto entsteht nur so oder über Google beziehungsweise LinkedIn — nicht über einen Anmeldelink: Fordert jemand einen Link für eine Adresse an, zu der es kein Konto gibt, speichern wir nichts und schicken an die Adresse nur einen Hinweis mit dem Weg zur Registrierung, höchstens einen je Viertelstunde. Um Mailfluten zu bremsen, zählen wir Registrierungen je E-Mail-Adresse und je Netzbereich der IP-Adresse eine Stunde lang, nur als Prüfsumme. Den Namen zeigen wir dort, wo Kolleginnen und Kollegen dich sehen — bei Einladungen und Freigaben —, und du kannst ihn in den Einstellungen ändern. Rechtsgrundlage ist die Erfüllung des Nutzungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO), für die Zähler unser berechtigtes Interesse am Schutz vor Missbrauch (Art. 6 Abs. 1 lit. f DSGVO).

Jedes Konto hat ein Passwort. Wir speichern nicht das Passwort selbst, sondern nur einen Hash nach dem Verfahren Argon2id, aus dem es sich nicht zurückrechnen lässt. Meldest du dich per Link, über eine Einladung, über Google oder LinkedIn an und hast noch keins, legst du es danach fest. Der Link per E-Mail bleibt als zweiter Weg zur Anmeldung. Versucht jemand, sich mit einem Passwort bei einem Konto anzumelden, das noch keins hat, schicken wir an dessen Adresse einen Anmeldelink, mit dem sich eins festlegen lässt — höchstens einen je Viertelstunde; die Seite antwortet dabei genauso wie bei einem falschen Passwort. Um Rateversuche und Mailfluten zu bremsen, zählen wir fehlgeschlagene Anmeldungen, Anfragen zum Zurücksetzen und diese Links je IP-Adresse beziehungsweise je E-Mail-Adresse — nur als Prüfsumme, nie im Klartext. Die Zähler verfallen nach 15 Minuten, beim Zurücksetzen nach einer Stunde; dass eine Adresse schon einmal gesperrt war, merken wir uns höchstens 24 Stunden, damit die nächste Sperre länger dauert. Ist unser Zwischenspeicher gestört, zählt der Server dasselbe vorübergehend in seinem Arbeitsspeicher. Rechtsgrundlage für das Passwort ist die Erfüllung des Nutzungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO), für die Zähler unser berechtigtes Interesse am Schutz der Konten (Art. 6 Abs. 1 lit. f DSGVO).

Meldest du dich über Google oder LinkedIn an, übermittelt uns der Anbieter deine E-Mail-Adresse, deinen Namen und die Adresse deines Profilbilds. Wir nehmen die Anmeldung nur an, wenn der Anbieter die E-Mail-Adresse als bestätigt meldet. Dazu speichern wir die Kennung deines Kontos beim Anbieter und die Token, die er bei der Anmeldung ausstellt; sie dienen nur der Anmeldung. Auf weitere Daten deines Google- oder LinkedIn-Kontos greifen wir auf diesem Weg nicht zu.

Anbieter sind die Google Ireland Limited und die LinkedIn Ireland Unlimited Company. Beide können Daten an ihre Muttergesellschaften in den USA übermitteln (Google LLC, LinkedIn Corporation); gestützt ist das auf den EU-US Data Privacy Framework und die Standardvertragsklauseln. Ob du diesen Weg nutzt, entscheidest du — Passwort und Anmeldelink funktionieren ohne ihn. Rechtsgrundlage ist die Erfüllung des Nutzungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO).

Suchst du unter „Mit SSO anmelden" nach der Einrichtung deiner Organisation, verwenden wir nur den Teil deiner Adresse hinter dem @ und speichern ihn nicht.

Beim Einrichten fragen wir nach dem Namen deiner Organisation und, falls wir ihn noch nicht kennen, nach deinem Namen — etwa wenn du über einen Anmeldelink oder eine Einladung hereingekommen bist. Beides ist dort freiwillig und lässt sich überspringen oder später ändern. Meldest du dich über Google oder LinkedIn an, übernehmen wir den Namen, den der Anbieter uns nennt.

Bei der Nutzung

• Deine Organisation, deine Rolle darin und die Mitgliedschaften anderer Personen in derselben Organisation.
• Gespeicherte Vergleiche: die verglichenen Domains, Zeitraum, Land und ein selbst gewählter Name. Das sind keine personenbezogenen Daten.
• Ein Zähler, wie viele PDF-Exporte eine Organisation im laufenden Monat erstellt hat. Gezählt wird je Organisation, nicht je Person.
• Was die kostenpflichtigen Abrufe für geschätzte Kennzahlen im laufenden Monat gekostet haben, damit jede Organisation nur ihren Monatsanteil verbraucht. Auch das ist eine Summe je Organisation, nicht je Person.

Einladungen und Freigaben

Lädst du jemanden ein, speichern wir dessen E-Mail-Adresse, bis die Einladung angenommen wird oder abläuft. Die Links selbst liegen nur als kryptografischer Abdruck bei uns — aus unserer Datenbank lässt sich kein funktionierender Link gewinnen.

Eine Einladung gilt nur für das Konto mit genau der eingeladenen Adresse. Öffnest du den Link mit einem anderen Konto, zeigen wir dir, für welche Adresse sie gilt, damit du das Konto wechseln kannst.

Beitritt über die Firmendomain

Wer Mitglieder verwalten darf, kann in den Einstellungen der Organisation einschalten, dass Kolleginnen und Kollegen mit derselben Firmendomain beitreten dürfen. Dann speichern wir bei der Organisation den Teil seiner eigenen Adresse hinter dem @, etwa beispiel.de — Freemail-Domains lassen sich nicht wählen. Meldet sich jemand mit einer Adresse dieser Domain an, vergleichen wir den Teil hinter dem @ mit den gespeicherten Domains und zeigen ihm nur den Namen der Organisation, keine Mitglieder und keine Projekte. Beigetreten wird erst, wenn er selbst auf „Beitreten" klickt, und zwar mit der Rolle, die die Organisation dafür gewählt hat — Redakteur oder Leser, nie Inhaber. Ausschalten löscht die Domain wieder; wer schon beigetreten ist, bleibt Mitglied. Rechtsgrundlage ist die Erfüllung des Nutzungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO).

Lese-Tokens für Claude und andere Programme

Unter „Einstellungen → Claude" kannst du ein persönliches Lese-Token anlegen oder wanalyse in claude.ai als Konnektor verbinden, damit ein Programm deiner Wahl — etwa der KI-Assistent Claude — Zahlen aus deinem Konto abrufen kann. Dafür speichern wir den Namen, den du dem Token gibst, ein Kürzel aus seinen letzten vier Zeichen, wann es angelegt, zuletzt benutzt und gegebenenfalls widerrufen wurde und wann es abläuft. Das Token selbst liegt nur als kryptografischer Abdruck bei uns; aus unserer Datenbank lässt sich kein funktionierendes Token gewinnen. Verbindest du ein Programm als Konnektor, speichern wir außerdem den Namen, den es selbst angibt, seine Rückleitungsadresse und ein Erneuerungs-Token (ebenfalls nur als Abdruck), das nach 30 Tagen abläuft. Ein Token kann nur lesen, und nur das, was deine Rolle in der Organisation sehen darf. Rechtsgrundlage ist die Erfüllung des Nutzungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO).

Was das Programm mit dem Token abruft, geht auf deine Veranlassung an dieses Programm und dessen Anbieter — bei Claude an Anthropic, das Daten auch in den USA verarbeitet. Wir selbst geben dabei nichts weiter; für die Verarbeitung beim Anbieter gelten dessen Bedingungen. Ein Token gilt, bis es abläuft oder du es widerrufst oder das Programm trennst; mit deinem Konto oder deiner Mitgliedschaft in der Organisation endet es sofort, und die Einträge werden mit dem Konto gelöscht.

E-Mails, die wir dir schicken

Nur solche, die zum Konto gehören, und keine Werbung: den Anmeldelink — auch ungefragt, wenn sich jemand mit einem Passwort bei deinem Konto anmelden will, das noch keins hat —, die Bestätigung einer Registrierung, den Hinweis, dass es zu deiner Adresse schon ein Konto gibt oder noch keins, den Link zum Zurücksetzen des Passworts, die Meldung, dass dein Passwort geändert wurde, Einladungen in eine Organisation und die Bestätigung, dass dein Konto gelöscht ist. Versendet werden sie über das Postfach hello@wanalyse.de bei unserem Hoster.

Wenn du uns schreibst

Schreibst du an hello@wanalyse.de, verarbeiten wir deine Adresse und deine Nachricht, um dir zu antworten. Rechtsgrundlage ist das Nutzungsverhältnis oder dessen Anbahnung (Art. 6 Abs. 1 lit. b DSGVO), sonst unser berechtigtes Interesse, Anfragen zu beantworten (lit. f). Wir löschen die Korrespondenz, wenn die Anfrage erledigt ist, außer eine Aufbewahrungspflicht greift (Handelsbriefe: sechs Jahre, § 257 HGB).

Verbundene Google-Konten

Du kannst dein Google-Konto verbinden, damit wanalyse die Zahlen deines eigenen Shops lesen kann, statt sie zu schätzen. Das ist freiwillig; ohne Verbindung funktioniert die Anwendung mit öffentlichen Quellen weiter. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du jederzeit widerrufen kannst.

Was wir lesen

• Sitzungen, Nutzer und Kanäle deiner Analytics-Property lesen. Wofür: Besuche und Kanalverteilung als Messwert statt als Schätzung.
• Impressionen, Klicks und Positionen aus der Search Console lesen. Wofür: Suchsichtbarkeit — sonst bliebe nur eine gekaufte Schätzung.
• Klicks, Kosten und Impressionen deiner Google-Ads-Konten lesen. Wofür: Bezahlte Klicks und ihre Kosten als Messwert statt als Schätzung.

Alle Berechtigungen sind ausschließlich lesend. wanalyse schreibt nie in dein Google-Konto und ändert dort nichts.

Was wir davon speichern

Aus der Search Console legen wir für die Domains deiner gespeicherten Projekte einmal am Tag ab, wie oft sie in der Google-Suche erschienen und angeklickt wurden und auf welcher Position — je Tag, Land und Gerät. So bleibt der Verlauf erhalten, auch wenn Google ihn nach 16 Monaten löscht. Suchbegriffe speichern wir nicht: Sie werden beim Abruf zu Summen zusammengezählt und nur angezeigt, wenn du sie aufrufst. Wie lange die Daten bleiben, steht unter „Wie lange wir speichern".

An wen wir diese Daten weitergeben

An niemanden. Daten aus deinem verbundenen Google-Konto werden ausschließlich dir und den Mitgliedern deiner Organisation in der Anwendung angezeigt. Sie liegen auf denselben Servern in Deutschland wie deine übrigen Daten; der einzige weitere Beteiligte ist unser Hoster als Auftragsverarbeiter (siehe „Wo die Daten liegen").

Wir geben Google-Nutzerdaten insbesondere nicht weiter, übertragen oder verkaufen sie nicht für:

• Werbung, personalisierte oder interessenbezogene Anzeigen, Retargeting;
• den Verkauf an Datenhändler oder Informationsbroker;
• die Beurteilung von Kreditwürdigkeit oder Zwecke der Kreditvergabe;
• das Training verallgemeinerter Modelle für maschinelles Lernen oder künstliche Intelligenz.

wanalyse wertet diese Daten auch nicht aus, um daraus Vergleichswerte für andere Kunden zu bilden. Die Marktzahlen, die die Anwendung zeigt, stammen ausschließlich aus öffentlichen Quellen.

Die Verwendung von Informationen, die wanalyse über Google-APIs erhält, hält sich an die Google API Services User Data Policy einschließlich der Limited-Use-Anforderungen.

Wie du die Verbindung beendest

Unter Einstellungen → Verbundene Konten mit einem Klick. Wir nehmen die Erlaubnis dabei auch bei Google selbst zurück und löschen die hinterlegten Zugangsdaten sofort, zusammen mit den gespeicherten Daten aus der Search Console; übrige daraus abgeleitete Zahlen entfernen wir innerhalb von 30 Tagen. Nur die eigene Kopie zu löschen wäre kein Widerruf — das Token bliebe bei Google gültig.

Das Pixel in den Shops unserer Kunden

Kunden von wanalyse können in ihren Onlineshop ein kleines Skript einbinden, das von px.wanalyse.de geladen wird, und Bestellungen aus ihrem Shopsystem an uns übermitteln. Damit sehen sie die Zahlen ihres eigenen Shops als Messwert statt als Schätzung.

Verantwortlich ist dabei der Shop, nicht wir. Wir verarbeiten diese Daten ausschließlich in seinem Auftrag und nach seinen Weisungen (Art. 28 DSGVO), auf Grundlage eines Vertrags zur Auftragsverarbeitung. Welche Rechtsgrundlage gilt und wie du deine Rechte ausübst, steht in der Datenschutzerklärung des Shops; an ihn wendest du dich auch mit Auskunfts- oder Löschwünschen. Wir unterstützen ihn dabei.

Ohne deine Einwilligung

Das Skript setzt keine Cookies, legt nichts auf deinem Gerät ab und vergibt keine Kennung — ein zweiter Besuch lässt sich nicht mit dem ersten verbinden. Übermittelt wird je Ereignis:

• was geschehen ist — Seitenaufruf, Produktansicht, Suche, Warenkorb, Beginn des Bestellvorgangs, Kauf — und wann;
• der Pfad der Seite ohne Parameter und, wenn du von einer anderen Website kommst, nur deren Domain;
• bei einer Suche nur, wie lang der Suchbegriff war und ob es Treffer gab — nicht der Begriff;
• bei einem Kauf die Bestellnummer, der Betrag und die Währung;
• das Land, sofern das vorgelagerte Netz es mitteilt, und die Geräteklasse (Telefon, Tablet, Computer).

Das Skript ist so gebaut, dass es ohne Einwilligung auskommen kann: Es legt nichts auf deinem Gerät ab und liest nur, was für den Seitenaufruf ohnehin übertragen wird. Ob der Shop es dennoch erst nach Einwilligung lädt, entscheidet er als Verantwortlicher. Wie bei jedem Abruf im Internet erreicht deine IP-Adresse dabei technisch bedingt unseren Server. Wir verwenden sie, um die Anfrage zu beantworten, und speichern sie nicht. Um Überlastung und Missbrauch abzuwehren, zählen wir die Anfragen je Netzbereich — bei IPv4 die ersten drei Blöcke (/24), bei IPv6 die ersten 48 Bit (/48) —, nur als Prüfsumme und nur für eine Minute.

Mit deiner Einwilligung

Erst wenn du im Einwilligungsdialog des Shops der Analyse zustimmst und der Shop uns das mitteilt, setzt das Skript drei Cookies auf der Domain des Shops:

• _wa_vid — eine zufällige Besucherkennung, damit wiederkehrende Besuche erkennbar sind. 180 Tage.
• _wa_sid — die laufende Sitzung. Sie endet nach 30 Minuten ohne Aktivität; das Cookie gilt einen Tag.
• _wa_ref — woher dein erster Besuch kam: Kampagnenparameter, die Domain der verweisenden Seite oder die Klickkennung einer Werbeplattform. 30 Tage.

Zusätzlich übermittelt werden dann Besucher- und Sitzungskennung sowie die Kampagnenparameter. Von einer Klickkennung speichern wir nur, von welcher Plattform sie stammt, nicht den Wert. Widerrufst du beim Shop, löscht das Skript die Cookies, und wir entfernen die Besucherkennung aus den gespeicherten Ereignissen, spätestens nach 30 Tagen.

Was nicht bei uns ankommt

Deine IP-Adresse speichern wir nicht, und deine Browserkennung (User-Agent) nur als Geräteklasse. Namen, E-Mail-Adressen, Anschriften, Telefonnummern, Zahlungsdaten und Passwörter nehmen wir nicht an: sieht ein Feld danach aus, weisen wir die ganze Übermittlung ab, statt sie bereinigt zu speichern.

Bestellungen und Wiedererkennung

Aus seinem Shopsystem übermittelt uns der Shop Bestellungen: Nummer, Zeitpunkt, Beträge, Steuern, Rabatte, Versandkosten, Erstattungen, Artikel, Zahlungsart, Lieferland und ob es eine Erstbestellung war. Statt deiner E-Mail-Adresse erhalten wir einen Kundenschlüssel: eine Prüfsumme (SHA-256) aus deiner Adresse und einem geheimen Wert, den jeder Shop für sich hat. Gebildet wird sie im System des Shops — die Adresse selbst sehen wir nie, und derselbe Käufer ergibt in zwei Shops zwei verschiedene Schlüssel.

Über diesen Schlüssel führen wir die Bestellungen eines Käufers zusammen und, wenn du eingewilligt hast, auch seine Besuche. Daraus zeigen wir dem Shop, was ein Kunde über die Zeit wert ist, wie Kundengruppen wiederkaufen, über welche Wege gekauft wird und wo Bestellvorgänge abbrechen. Das geschieht getrennt je Shop — nie über Shops hinweg und nie für eigene Zwecke von wanalyse.

Speicherung und Löschung

Alles liegt in unserer Datenbank in Deutschland (siehe „Wo die Daten liegen"); an Dritte geben wir davon nichts weiter. Wen wir als Auftragsverarbeiter einsetzen, steht unter Unterauftragsverarbeiter. Wie lange, steht unter „Wie lange wir speichern". Verlangst du beim Shop die Löschung, kann er sie bei uns sofort auslösen: dann entfernen wir den Kundenschlüssel und alle Verknüpfungen zu Besuchen. Die Bestellungen selbst bleiben für seine Auswertungen erhalten, aber ohne Bezug zu dir.

Daten über fremde Websites

wanalyse zeigt Kennzahlen zu Onlineshops, die nicht unsere Kunden sind. Die Quellen sind öffentliche Datensätze (Chrome UX Report, HTTP Archive, Tranco-Liste), Schätzungen von DataForSEO — Suchmaschinen-Traffic, Suchbegriffe, zu denen eine Domain gefunden wird, Backlinks, Nennungen in Googles KI-Übersichten und die Gesamtbewertung bei Trustpilot — und unsere eigene Erhebung mit dem Crawler wanalyseBot. Er ruft öffentlich erreichbare Seiten ab — die Startseite und die Sitemaps — und erkennt daraus Shopsystem, eingesetzte Dienste und technische Struktur. Er beachtet die robots.txt; aussperren lässt er sich mit User-agent: wanalyseBot und Disallow: /. Für eine technische Prüfung lassen wir außerdem bis zu 100 Seiten einer Domain vom Crawler von DataForSEO abrufen; davon speichern wir nur Zählungen.

Namen, Anschriften, Telefonnummern oder E-Mail-Adressen von diesen Seiten speichern wir nicht, auch nicht aus Bewertungen. Betreibt eine Einzelperson einen Shop, können diese Kennzahlen auf sie beziehbar sein. Rechtsgrundlage ist dann unser berechtigtes Interesse, Wettbewerbsvergleiche aus öffentlich zugänglichen Informationen anzubieten (Art. 6 Abs. 1 lit. f DSGVO).

Öffentlich zeigen wir keine Kennzahlen einzelner fremder Domains: Sie sehen angemeldete Nutzer und, über einen Freigabelink, wem diese ihn schicken. Der öffentliche Marktbericht zeigt nur Verteilungen über Tausende Domains. Die Werte liegen in unserer Datenbank bei Mittwald in Deutschland; die Monatsauszüge aus dem Chrome UX Report und dem HTTP Archive rechnen wir in Google BigQuery in den USA (siehe „Übermittlung in Drittländer"). Wie lange wir die Werte speichern, steht unter „Wie lange wir speichern".

Die robots.txt hält nur unseren eigenen Crawler fern, nicht die übrigen Quellen. Willst du gar nicht erfasst werden, schreib an hello@wanalyse.de. Wir nehmen die Domain dann aus der Erhebung — für sie und alles darunter wird nichts mehr abgerufen und nichts mehr angezeigt — und löschen die Werte, die wir in unserer Datenbank zu ihr gespeichert haben. Aus unseren Monatsauszügen in BigQuery entfernen wir sie von Hand.

Was wir als Betreiber sehen

Um den Dienst zu verwalten und Missbrauch zu verhindern, sehen wir in einer Übersicht je Organisation: ihren Namen, die Firmendomain, falls eingeschaltet, die Nutzungsstufe, das Anlagedatum sowie Name und E-Mail-Adresse des Inhabers. Dazu Zahlen: wie viele Mitglieder, offene Einladungen, Projekte, PDF-Exporte im laufenden Monat, verbundene Konten und API-Schlüssel sie hat. Über alle Organisationen hinweg zählen wir außerdem, wie viele Konten wanalyse in den letzten sieben Tagen genutzt haben, ermittelt aus den Sitzungen. Inhalte sehen wir dort nicht: keine Projekte und verglichenen Domains, keine Suchbegriffe, keine Zahlen aus verbundenen Konten, keine Ereignisse aus dem Pixel und keine Bestellungen. Zugang hat nur, wen wir als Betreiber eigens eingetragen haben.

Bei Missbrauch oder einer offenen Klärung können wir eine Organisation sperren. Gelöscht wird dabei nichts. Mitglieder sehen dann nur einen Hinweis mit unserer Kontaktadresse; Seiten, Exporte und die Schnittstelle für Bestellungen nehmen nichts an. Das Pixel dieser Organisation speichert in dieser Zeit nur Widerrufe einer Einwilligung, und zeitgesteuerte Abrufe für sie ruhen. Löschanfragen und Löschfristen laufen weiter. Während der Sperre erreichen Mitglieder auch ihre Kontoseite nicht — eine Löschung des Kontos erledigen wir dann auf Anfrage an die Kontaktadresse.

Auf Wunsch des Inhabers oder nach einer Sperre können wir eine Organisation löschen. Dann gehen ihre Daten mit: Projekte, Freigaben, Verbindungen samt Zugangsdaten, Pixel, Ereignisse, Bestellungen, Suchdaten und Einladungen. Konten, für die es die einzige Organisation war, löschen wir ebenfalls, samt offener Anmeldelinks an ihre Adresse; ohne Organisation könnten sie in wanalyse nichts mehr tun. Wer noch einer anderen Organisation angehört, behält sein Konto. In unseren Protokollen steht dazu nur, welche Organisation gelöscht wurde und wie viele Konten mitgingen, kein Name und keine Adresse.

Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren, missbrauchsfreien Betrieb des Dienstes (Art. 6 Abs. 1 lit. f DSGVO).

Wie wir die Daten schützen

• Verschlüsselte Zugangsdaten. Die Token verbundener Konten liegen mit AES-256-GCM verschlüsselt in der Datenbank, nie im Klartext. Der Schlüssel liegt getrennt davon.
• Verschlüsselte Übertragung. Alle Verbindungen zu wanalyse und zu den abgefragten Diensten laufen über TLS.
• Protokolle ohne Personenbezug. E-Mail-Adressen, Zugangsdaten und Kundenkennungen können technisch nicht in unsere Anwendungsprotokolle gelangen: die erlaubten Felder sind abschließend aufgezählt, und Werte, die wie eine Adresse oder ein Token aussehen, werden verworfen.
• Getrennte Zugriffe. Anwendung, Datenbank und Sicherung laufen in getrennten Umgebungen. Die Produktionsdatenbank ist von außen nicht erreichbar.
• Grenzen gegen Missbrauch. Anmeldeversuche, Anfragen an das Pixel und an unsere Schnittstellen sind mengenmäßig begrenzt. Gezählt wird unter Prüfsummen, nicht unter Adressen; fällt der Zwischenspeicher aus, zählt der Server mit derselben Grenze weiter. Die kostenpflichtigen Abrufe für geschätzte Kennzahlen sind je Organisation und Monat gedeckelt.
• Gesicherte Bestände. Die Datenbank wird täglich gesichert; die Sicherungen werden 14 Tage aufbewahrt und danach gelöscht.
• Nachweisbare Löschung. Welche Daten wie lange bleiben, steht an einer Stelle im Quelltext, gegen die die Löschung geschrieben ist — und eine automatische Prüfung schlägt fehl, sobald ein Datenbestand hinzukommt, der dort nicht geführt ist.

Cookies und Speicher im Browser

Wir zeigen kein Einwilligungsbanner, weil wir keins brauchen: wanalyse setzt nur Cookies, die technisch notwendig sind, damit der Dienst funktioniert, den du gerade nutzt, oder damit eine Einstellung hält, die du selbst gewählt hast (§ 25 Abs. 2 Nr. 2 TDDDG). Rechtsgrundlage für die damit verbundene Verarbeitung ist die Erfüllung des Nutzungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO) beziehungsweise unser berechtigtes Interesse an einer sicheren, funktionierenden Seite (Art. 6 Abs. 1 lit. f DSGVO). Die Messung mit Matomo kommt ohne Cookies aus und stützt sich auf unser berechtigtes Interesse, mit der Möglichkeit zum Widerspruch (siehe oben).

Andere Speicher im Browser — Local Storage, Session Storage, IndexedDB — verwenden wir nicht. Inhalte von Dritten laden wir nicht: keine Schriften, Skripte, Bilder oder Videos von fremden Servern. Google und LinkedIn erreicht dein Browser erst, wenn du auf „Mit Google anmelden" oder „Mit LinkedIn anmelden" klickst. Die Cookies des Pixels in den Shops unserer Kunden stehen weiter oben bei „Das Pixel in den Shops unserer Kunden".

Für alle Cookies in dieser Liste gilt § 25 Abs. 2 Nr. 2 TDDDG: Sie sind unbedingt erforderlich, damit wir einen Dienst bereitstellen können, den du ausdrücklich nutzt. Die damit verbundene Verarbeitung stützt sich auf die Erfüllung des Nutzungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO); wo die Tabelle es sagt, auf unser berechtigtes Interesse (lit. f) oder auf die Pflicht, deinen Widerspruch zu beachten (lit. c).

Über eine verschlüsselte Verbindung tragen einige dieser Namen das Präfix __Secure- oder __Host-. Für alle gilt: technisch notwendig nach § 25 Abs. 2 Nr. 2 TDDDG, keine Einwilligung nötig.

Bis zum 18. Oktober 2026 setzte die Website nach einer Zustimmung außerdem marktsicht.messung und Google Analytics _ga und _ga_ZD853W7DG3. Bringt dein Browser sie noch mit, löschen wir sie beim nächsten Aufruf.

Wo die Daten liegen

Alle personenbezogenen Daten — dein Konto, deine Organisation, gespeicherte Vergleiche, die Zahlen aus verbundenen Konten und die Daten aus dem Pixel und den Bestellungen unserer Kunden — liegen auf Servern der Mittwald CM Service GmbH & Co. KG in Deutschland. Mittwald betreibt für uns Hosting, Datenbank, die täglichen Sicherungen, den Zwischenspeicher für die Zähler gegen Rateversuche, den Mailversand und unseren Matomo-Server und ist insoweit Auftragsverarbeiter. Die Liste steht auch unter Unterauftragsverarbeiter.

Die einzige Ablage außerhalb von Mittwald sind unsere Monatsauszüge aus den öffentlichen Datensätzen Chrome UX Report und HTTP Archive: Kennzahlen fremder Domains, die wir in Google BigQuery (Google Cloud) rechnen, mit Standort USA. Daten von Nutzern, aus verbundenen Konten oder aus dem Pixel liegen dort nicht.

Übermittlung in Drittländer

Sie findet in zwei Fällen statt. In keinem davon sind Daten aus verbundenen Konten oder aus dem Pixel betroffen:

• Nur wenn du diesen Weg wählst: die Anmeldung über Google oder LinkedIn, siehe „Beim Erstellen eines Kontos".
• Für Marktdaten, ohne Daten unserer Nutzer: Um die Kennzahlen fremder Shops zu ermitteln, fragen wir öffentliche und kostenpflichtige Dienste ab, die teils außerhalb der EU verarbeiten: Google (Chrome UX Report; BigQuery für unsere Monatsauszüge, Standort USA) und DataForSEO. Diese Anfragen enthalten ausschließlich Domainnamen, die ohnehin öffentlich sind — kein Datum eines Nutzers verlässt uns dabei, weder deine Adresse noch irgendetwas aus einem verbundenen Konto. Betreibt eine Einzelperson einen der Shops, kann die Domain auf sie beziehbar sein (siehe „Daten über fremde Websites").

Wie lange wir speichern

Die Liste umfasst auch, was wir im Auftrag unserer Kunden aus dem Pixel und ihren Bestellungen speichern, und die Kennzahlen zu fremden Domains.

• Konto: E-Mail-Adresse und Anzeigename; Das Passwort, nur als Argon2id-Hash: bis zur Löschung des Kontos.
• Angemeldete Sitzungen; Eingabe und Ergebnis eines Werkzeuglaufs: Adressen, Suchbegriffe, Prüfergebnisse, Anbieterwerte; Stündliche Messungen der Überwachung: Statuscodes, Antwortzeiten, robots.txt, Sitemap und Zertifikat des eigenen Shops; Wann ein Projekt eine Erhebung ausgelöst hat; Welcher bezahlte Abruf für welche fremde Domain wann was gekostet hat; Welche fremde Domain wann erhoben wurde: 30 Tage.
• Verbundene Konten Dritter samt ihrer Zugangstoken; Verbundene Konten Dritter: die erteilte Einwilligung und die verschlüsselten Zugangstoken; Welcher Shop einer Organisation das Pixel eingebaut hat: bis zum Trennen der Verbindung.
• Offene Anmeldelinks, gespeichert unter der Adresse, an die sie gingen: 15 Minuten.
• Offene Links zum Zurücksetzen des Passworts, nur als Abdruck: 30 Minuten.
• Offene Registrierungen: E-Mail-Adresse, Name, Passwort als Argon2id-Hash und der Bestätigungslink als Abdruck, bevor die Adresse bestätigt ist: 24 Stunden.
• Persönliche Lese-Tokens für API und MCP: Name, Kürzel, Abdruck, wann angelegt, zuletzt genutzt, abgelaufen oder widerrufen: bis zum Widerruf oder zur Löschung des Kontos.
• Einmal-Codes nach einer Zustimmung, nur als Abdruck, mit Person, Organisation und PKCE-Herausforderung: 10 Minuten gültig.
• Erneuerungs-Tokens verbundener Programme, nur als Abdruck, mit Person, Organisation und Zeitpunkten: 30 Tage, bis zum Trennen oder zur Löschung des Kontos.
• Single-Sign-On einer Organisation: Domain, Identity Provider, verschlossenes Client-Secret; Anzahl der Exporte und Kosten der Modellabrufe je Organisation und Monat; Der verschlüsselte Salt, mit dem die Shops eines Betriebs ihre Kundenschlüssel bilden: bis zur Löschung der Organisation.
• Offene Einladungen samt der eingeladenen Adresse: 7 Tage.
• Name und Nutzungsstufe eines Betriebs, die Firmendomain für den Beitritt, falls eingeschaltet, und ob er gesperrt ist: bis zur Löschung des letzten Mitglieds oder bis wir die Organisation als Betreiber löschen.
• Gespeicherte Vergleiche: Domains, Zeitraum, Land: bis zum Löschen des Projekts.
• Offene Freigabelinks zu einem Projekt: 30 Tage, jederzeit vorher zurücknehmbar.
• Lese-Links zu Audit, Rankings oder Backlinks eines Projekts: bis zum gewählten Ablauf (7, 30 oder 90 Tage), jederzeit vorher zurücknehmbar.
• Lese-Links zu einem Werkzeuglauf: mit dem Lauf, jederzeit vorher zurücknehmbar.
• Suchleistung der eigenen Domain aus der Search Console je Tag, Land und Gerät: Klicks, Einblendungen, Position — ohne Suchbegriffe; Klicks und Einblendungen der eigenen Domain je Positionsstufe, Tag und Gerät — die Klickrate je Platz: bis zum Trennen der Google-Verbindung, höchstens 36 Monate.
• Welche Analytics- bzw. Search-Console-Property eine Domain misst: bis zum Ändern der Zuordnung oder zum Trennen der Verbindung.
• Welche Google-Ads-Konten zu welcher Domain gehören: bis zum Entfernen der Zuordnung oder zur Löschung der Organisation.
• Was sich an fremden Domains zwischen zwei Monaten geändert hat; Popularitätsrang fremder Domains laut Tranco; Rang und Shopsystem fremder Domains, je Monat: nur der jüngste Monatsstand, ältere werden ersetzt.
• Die letzte Antwort je fremder Domain und Endpunkt, damit derselbe Abruf nicht zweimal bezahlt wird: bis zum Ablauf der Frische, danach noch 30 Tage als „Stand vom …“, dann gelöscht.
• Die Abdrücke der API-Schlüssel eines Betriebs: bis zum Widerruf, danach als Nachweis.
• Was Besucher im Shop eines Kunden getan haben: Seitenaufruf, Warenkorb, Kauf: 14 Monate.
• Bestellungen aus dem Backend eines Kunden, samt gehashtem Kundenschlüssel; Der Sichtbarkeitsindex je Domain und Kalendermonat: 36 Monate.
• Der Knoten, an dem die Bestellungen und Besuche eines Käufers zusammenlaufen: bis 36 Monate nach der letzten Bestellung und 14 Monate nach dem letzten Besuch.
• Der gehashte Kundenschlüssel, unter dem eine Person erkannt wird: mit der Person: bis 36 Monate nach der letzten Bestellung und 14 Monate nach dem letzten Besuch.
• Welche Besucherkennung zu welcher Person gehört, und woher wir das wissen: 14 Monate nach dem letzten Besuch dieses Browsers.
• Protokoll darüber, welche zwei Personen wann als eine erkannt wurden: 36 Monate, oder früher mit einer der beiden Personen.
• Besucherkennungen, deren Löschung ein Widerruf angefordert hat: bis der Löschlauf sie erledigt, höchstens 30 Tage.
• Nachweise darüber, dass eine Löschanfrage ausgeführt wurde: 3 Jahre.
• Protokoll der Taktgeberläufe: wann, wie lange, mit welchem Ergebnis: 12 Monate.
• Domains, deren Betreiber der Erhebung widersprochen haben, mit Zeitpunkt und Herkunft des Eintrags: solange der Widerspruch gilt.
• Chrome-UX-Monatswerte fremder Domains: Ladezeit, Eingabereaktion, Layoutverschiebung, je Gerät und Land; Welche Technik eine fremde Domain laut HTTP Archive fährt, je Monat; Rang und Shopsystem fremder Domains je Monat, gerechnet aus den beiden Auszügen darüber: unbefristet, als Monatsreihe aus öffentlichen Datensätzen.

Du löschst dein Konto selbst, unter Einstellungen → Konto. Das geschieht sofort und ohne Frist. Deine Mitgliedschaften gehen mit; war eine Organisation nur deine, geht sie mit ihren Vergleichen ebenfalls. Wo andere mitarbeiten, bleibt die Organisation bei ihnen — dass du ein Projekt angelegt hast, ist danach nicht mehr feststellbar. Löschen wir eine Organisation als Betreiber, geht dein Konto mit, wenn es deine einzige war (siehe „Was wir als Betreiber sehen").

Was wir nicht tun

Wir schreiben keine E-Mail-Adressen, Zugangsdaten oder Kundenkennungen in Anwendungsprotokolle. Wir verkaufen keine Daten, betreiben für eigene Zwecke kein Profiling und treffen keine automatisierten Entscheidungen mit rechtlicher Wirkung. Die Auswertungen aus dem Pixel erstellen wir nur für den jeweiligen Shop und in dessen Auftrag.

Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Die Löschung übst du selbst aus, ohne uns zu fragen — für alles andere, auch für eine Kopie deiner Daten, schreib uns an die Adresse im Impressum. Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren.

Zuständig ist der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit.

Geht es um Daten, die ein Shop über das Pixel oder seine Bestellungen an uns übermittelt hat, wende dich an den Shop: er ist dafür verantwortlich und kann die Löschung bei uns sofort auslösen.

Minderjährige

wanalyse richtet sich an Unternehmen und die Menschen, die dort arbeiten, nicht an Personen unter 16 Jahren.

Änderungen dieser Erklärung

Ändert sich, was wanalyse mit Daten tut, ändern wir diese Erklärung mit. Es gilt die Fassung mit dem Stand unten. Bei wesentlichen Änderungen informieren wir angemeldete Nutzer per E-Mail.