Datenschutz & DSGVO

Grundsätze

trackd.one ist für den datenschutzfreundlichen Einsatz ausgelegt:

• Keine Cookies im Tracking-Script
• Keine Speicherung auf dem Endgerät (kein localStorage oder sessionStorage)
• Kein Browser-Fingerprinting
• IP-Adressen werden nie gespeichert — nur ein Hash mit täglich gelöschtem Salt
• In vielen Fällen ohne Einwilligung einsetzbar — ob § 25 TDDDG im Einzelfall eine Einwilligung erfordert, bewertest du als Betreiber
• Automatische Löschung: Einzeldatensätze nach max. 400 Tagen, Statistiken nach Tarif

Wie das technisch funktioniert, erklärt die Seite Datenschutz by Design.

Besucher zählen ohne Cookies

Wir bilden aus IP-Adresse, einem geheimen Schlüssel, einem täglich neuen Zufalls-Salt und der Website-ID einen SHA-256-Hash. Gleicher Besucher am selben Tag = gleicher Hash; am nächsten Tag entsteht ein neuer Hash, und der alte Salt wird gelöscht. Die IP-Adresse selbst wird nicht gespeichert, ein websiteübergreifendes Tracking ist nicht möglich. In Apps nutzen die SDKs eine zufällige Sitzungs-ID, die nur im Arbeitsspeicher liegt.

Opt-out

Besucher können das Tracking auf drei Wegen deaktivieren:

• Global Privacy Control (GPC) — das eingebaute Datenschutzsignal des Browsers. Standardmäßig aktiv in Firefox, Brave und DuckDuckGo.
• Do Not Track (DNT) — die klassische Browser-Einstellung. trackd.one respektiert sie.
• Website-Schalter — deine Seite (z. B. dein Consent-Banner) setzt vor oder nach dem Laden des Scripts:

window.trackdOptOut = true   // false = wieder messen

Website-Betreiber können das Tracking auf bestimmten Seiten auch deaktivieren, indem sie data-do-not-track="true" zum Script-Tag hinzufügen:

<script defer src="https://trackd.one/t.js" data-website="YOUR_WEBSITE_ID" data-do-not-track="true"></script>

In Apps bietest du die Abschaltung über setEnabled(false) an — das stoppt das Tracking und verwirft die Warteschlange.

Einwilligung & Rechtsgrundlage

Ohne Cookies, ohne Speicherung auf dem Endgerät und mit pseudonymisierten Daten ist trackd.one für den Einsatz auf Grundlage des berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO) ausgelegt. Ob § 25 TDDDG im Einzelfall eine Einwilligung erfordert, bewertest du als Betreiber.

Das Script liest keine Geräteeigenschaften wie Bildschirmgröße oder Sprache aus; es übermittelt nur Seitenadresse, Titel und Referrer — Sprache und Gerätetyp leitet der Server aus den ohnehin gesendeten Request-Headern ab. Nach Auffassung der DSK (OH Digitale Dienste 2024) ist eine solche Reichweitenmessung meist nicht einwilligungspflichtig; der EDSA legt § 25 TDDDG bzw. Art. 5 Abs. 3 ePrivacy-RL weiter aus. Keine Rechtsberatung.

Apps

Die App-SDKs lesen Geräte- und App-Informationen auf dem Gerät aus (z. B. App- und OS-Version, Bildschirmgröße, Sprache). Ob du dafür eine Einwilligung brauchst, musst du für deine App selbst prüfen.

Datenschutzerklärung & AVV

• Erwähne trackd.one in jedem Fall in deiner Datenschutzerklärung (Zweck: Reichweitenmessung; Empfänger: trackd.one als Auftragsverarbeiter; Speicherort EU).
• Der Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO wird bei der Registrierung abgeschlossen.
• Hinweise zur Verarbeitung im Auftrag für Besucher deiner Website stehen in Teil B unserer Datenschutzerklärung.

Speicherort & Aufbewahrung

Die Daten liegen in einer Cloudflare-D1-Datenbank, die mit EU-Jurisdiktion angelegt ist — die Daten werden in der EU gespeichert. Anfragen werden im weltweiten Netzwerk von Cloudflare verarbeitet; Cloudflare, Inc. ist unter dem EU-US Data Privacy Framework zertifiziert, zusätzlich gelten Standardvertragsklauseln.

Abgelaufene Daten werden täglich automatisch gelöscht: Einzeldatensätze nach spätestens 400 Tagen, aggregierte Statistiken je nach Tarif nach 6 Monaten (Free), 3 Jahren (Pro) oder 5 Jahren (Business); Enterprise individuell bis 10 Jahre.