Datenschutzerklärung

Diese Erklärung beschreibt zwei getrennte Dinge und besteht deshalb aus mehreren Teilen.

  • Teil I: Daten der StatJolt-Nutzer. Hier bin ich der Verantwortliche.
  • Teil II: Daten der Besucher gemessener Websites. Hier ist der Nutzer der Verantwortliche und ich handle als Auftragsverarbeiter.
  • Teil III: die Bedingungen der Auftragsverarbeitung, also die Vereinbarung nach Art. 28 DSGVO.

Der Verantwortliche

Ich betreibe StatJolt als Privatperson.

  • Name: Gábor Liktor
  • Anschrift:
  • E-Mail: hello@statjolt.com

Ich bin nicht verpflichtet, einen Datenschutzbeauftragten zu benennen, und habe keinen benannt. In allen Datenschutzfragen kannst du dich direkt an mich wenden.

Teil I: deine Kontodaten

Was ich zum Konto verarbeite

  • E-Mail-Adresse. Für Anmeldung, Identifikation und Systemnachrichten. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).
  • Passwort. Ich speichere nicht das Passwort selbst, sondern nur dessen bcrypt-Hash, aus dem sich das Original nicht wiederherstellen lässt. Rechtsgrundlage: Vertragserfüllung.
  • Kontoeinstellungen: Sprache, Einstellungen für E-Mail-Benachrichtigungen. Rechtsgrundlage: Vertragserfüllung.
  • Daten der gemessenen Websites: Domain, Bezeichnung, Zeitzone, Badge-Einstellungen, Ziele, Funnels, eigene Labels, Freigabelinks. Rechtsgrundlage: Vertragserfüllung.
  • Über die Kontaktseite gesendete Nachrichten und E-Mail-Adressen. Rechtsgrundlage: berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) an der Beantwortung der Anfrage.

Cookies und Browserspeicher auf statjolt.com

  • Anmeldesitzung. Ein technisch notwendiges Cookie, das den angemeldeten Zustand hält. Es endet beim Abmelden oder beim Schließen des Browsers.
  • Passwortgeschützte geteilte Ansicht. Ein Sitzungscookie mit 24 Stunden Laufzeit, das die Ansicht nach Eingabe des richtigen Passworts öffnet.
  • Oberflächeneinstellungen. Heller oder dunkler Modus und der eingeklappte Zustand der Navigation liegen im localStorage deines Browsers. Das ist kein Cookie, es verlässt deinen Rechner nicht und erreicht mich nicht.
  • Es gibt keine Skripte von Dritten, keine Werbe- oder Social-Media-Pixel und kein Cookie-Banner.
  • Die Zugriffe auf statjolt.com messe ich mit meinem eigenen StatJolt-Messcode, nach genau den Regeln aus Teil II.

Teil II: was StatJolt auf Websites misst

Drei Grundsätze

  1. Rohe IP-Adressen erreichen niemals die Festplatte. Sie werden nicht in eine Datenbank und nicht in eine Logdatei geschrieben. Sie existieren nur im Arbeitsspeicher, solange die Anfrage verarbeitet wird, danach sind sie weg. Das Zugriffsprotokoll des Webservers ist abgeschaltet, dort landen sie also ebenfalls nicht.
  2. Die Besucherkennung ist ein Tages-Hash. Die Formel lautet SHA-256 (IP-Adresse + zufälliges Salz des Tages). Das Salz wird jede Mitternacht ausgetauscht. Der gestrige Hash lässt sich weder zurückrechnen noch dem heutigen zuordnen. Eine Verfolgung über mehrere Tage oder über Websites hinweg ist damit technisch unmöglich.
  3. Keine Cookies, kein Fingerprinting. Die Messung nutzt keine Cookies, liest keine Geräteeigenschaften für einen Fingerabdruck aus und erstellt kein Besucherprofil.

Was im Browser gespeichert wird

Der Messcode speichert genau eine Sache im Browser des Besuchers: eine zufällige Sitzungskennung im sessionStorage. Sie wird beim Schließen des Browsertabs gelöscht, enthält keine personenbezogenen Daten und kann von anderen Websites nicht ausgelesen werden. Ist der sessionStorage deaktiviert, läuft die Messung ohne ihn weiter.

Was pro Ereignis erfasst wird

  • Typ, Name und Zeitstempel des Ereignisses
  • der Seitenpfad ohne Abfrageparameter sowie der Seitentitel
  • der Verweis (Referrer) und dessen Domain
  • UTM-Parameter: source, medium, campaign, content, term
  • Land, Region und Stadt
  • Browser und Version, Betriebssystem und Version, Gerätetyp
  • die Browsersprache in zwei Zeichen und die Bildschirmbreite
  • Core Web Vitals: LCP, INP, CLS, FCP, TTFB
  • JavaScript-Fehler: Meldung, Datei, Zeile, Aufrufkette
  • automatisch erkannte Ereignisse: Formularversand, unvollständiges Formular, Klick auf externe Links, Dateidownload, Scrolltiefe
  • eigene Ereignisse: Name, Kategorie, Label, Wert, Währung
  • die Sitzungskennung und der tägliche Besucher-Hash

Die Standortdaten stammen aus der MaxMind-GeoLite2-Datenbank, die auf den Server geladen und dort lokal, offline genutzt wird. Die IP-Adresse verlässt den Server nicht und erreicht MaxMind nie. This product includes GeoLite2 data created by MaxMind, available from maxmind.com.

Was nicht erfasst wird

IP-Adressen, Cookie-Kennungen, Geräte-Fingerabdrücke, Mausbewegungen, Tastenanschläge, Sitzungsaufzeichnungen, Inhalte von Formularfeldern, Benutzernamen, E-Mail-Adressen. Ich erstelle keine Besucherprofile, nutze keine Daten für Werbung und verkaufe nichts an Dritte.

Worauf Website-Betreiber achten müssen

Seitenpfade, Seitentitel, Labels eigener Ereignisse und JavaScript-Fehlermeldungen können Text enthalten, den du selbst dort hinterlegst. Geraten dabei personenbezogene Daten hinein, etwa eine E-Mail-Adresse in einer URL oder ein Kundenname in einer Fehlermeldung, landen sie auch in StatJolt. Deshalb untersagen die AGB das Senden personenbezogener Daten in diesen Feldern.

Rechtsgrundlage für Besucherdaten

Auf der gemessenen Website bist du der Verantwortliche, also musst du die Rechtsgrundlage bestimmen und in deiner eigenen Datenschutzerklärung nennen. Für eine cookiefreie Messung, die keine Person identifizieren kann, kommt üblicherweise das berechtigte Interesse (Art. 6 Abs. 1 lit. f DSGVO) in Betracht. Das ist keine Rechtsberatung, Entscheidung und Verantwortung liegen bei dir.

Die Regeln der elektronischen Kommunikation betreffen Informationen, die auf dem Endgerät gespeichert werden. StatJolt verwendet keine Cookies und legt einen einzigen sessionStorage-Eintrag für die Lebensdauer des Tabs an. Ob dafür in deiner Rechtsordnung eine Einwilligung nötig ist, musst du selbst beurteilen.

Wer die Daten sonst erhält

  • Hetzner Online GmbH (Deutschland und Finnland): stellt den Server bereit, auf dem der Dienst läuft. Alle Daten liegen hier, innerhalb der Europäischen Union.
  • AhaSend B.V. (Niederlande): stellt ausgehende E-Mails zu, etwa Passwortversand und Benachrichtigungen. Dorthin gelangen nur die E-Mail-Adresse des Empfängers und der Inhalt der Nachricht, keine Messdaten.
  • Behörden, soweit ich gesetzlich zur Auskunft verpflichtet bin.

Sonst hat niemand Zugriff. Es gibt kein Werbenetzwerk, keinen Analysepartner und keinen Datenverkauf. Die Server stehen in der Europäischen Union, über das Genannte hinaus findet keine Übermittlung außerhalb des EWR statt.

Wie lange die Daten gespeichert werden

  • Kontodaten: bis zur Löschung des Kontos. Die Löschung kannst du jederzeit in den Kontoeinstellungen anstoßen.
  • Messdaten: solange das Konto und die zugehörige Website bestehen. Es gibt keinen automatischen Ablauf. Löschst du eine Website oder das Konto, werden die zugehörigen Statistiken mitgelöscht.
  • Das Tagessalz: wird um Mitternacht ausgetauscht, das alte wird nicht aufbewahrt.
  • Flüchtige Daten: die Liste der gerade aktiven Besucher leert sich nach 5 Minuten von selbst, die Verarbeitungswarteschlange innerhalb von Sekunden.
  • Serverlogs: es werden nur Einträge auf Fehlerebene geschrieben, mit Rotation alle 10 MB. Ein Zugriffsprotokoll wird nicht geführt.
  • Kontaktkorrespondenz: höchstens drei Monate nach Abschluss des Vorgangs.

Wie ich die Daten schütze

  • Jede Verbindung ist verschlüsselt, mit Zertifikaten von Let's Encrypt.
  • Passwörter werden als bcrypt-Hash gespeichert.
  • Die Datenbanken sind von außen nicht erreichbar: die Analysedatenbank nur über die interne Loopback-Schnittstelle des Servers, der Cache nur über einen lokalen Socket.
  • Auf dem Server läuft eine Firewall, offen sind nur die notwendigen Ports.
  • Rohe IP-Adressen werden nicht gespeichert und können deshalb auch bei einer Panne nicht abfließen.

Deine Rechte

Du kannst Auskunft über die dich betreffenden Daten verlangen, deren Berichtigung oder Löschung, die Einschränkung der Verarbeitung, eine übertragbare Kopie deiner Daten, und du kannst der auf berechtigtem Interesse beruhenden Verarbeitung widersprechen.

Schreib an hello@statjolt.com. Ich antworte kostenlos, spätestens innerhalb von 30 Tagen.

Eine wichtige Grenze: Bei Besucherdaten kann ich wegen des Tages-Hashes nicht feststellen, welche Zeile zu welcher Person gehört. Nach Art. 11 DSGVO können Auskunfts- und Löschansprüche nicht erfüllt werden, wenn der Verantwortliche die betroffene Person nicht identifizieren kann. Weitere Identifikationsdaten fordere ich dafür auch nicht an. Möchtest du deine Rechte als Besucher einer gemessenen Website ausüben, wende dich bitte an den Betreiber dieser Website, denn er ist der Verantwortliche.

Beschwerde kannst du bei der Aufsichtsbehörde einlegen:

  • Ungarische Nationale Behörde für Datenschutz und Informationsfreiheit (NAIH)
  • Falk Miksa utca 9-11, 1055 Budapest, Ungarn
  • Postanschrift: 1363 Budapest, Pf. 9, Ungarn
  • ugyfelszolgalat@naih.hu, naih.hu

Du kannst dich ebenso an ein Gericht oder an die Aufsichtsbehörde deines Wohnsitzlandes wenden.

Teil III: Bedingungen der Auftragsverarbeitung

Dieser Abschnitt ist der Auftragsverarbeitungsvertrag zwischen mir und dem Nutzer nach Art. 28 DSGVO. Er tritt mit der Registrierung in Kraft, ohne gesonderte Unterschrift. In diesem Verhältnis ist der Nutzer der Verantwortliche und ich der Auftragsverarbeiter.

  • Gegenstand und Dauer: Verarbeitung der Besucherdaten der gemessenen Websites, solange der Nutzervertrag besteht.
  • Art und Zweck: Webanalyse, also das Erheben, Speichern und aggregierte Darstellen von Besucherereignissen im Dashboard des Nutzers.
  • Kreis der betroffenen Personen: Besucher der gemessenen Websites.
  • Kategorien der Daten: die in Teil II aufgeführten.
  • Weisungen: Ich verarbeite die Daten ausschließlich nach den Weisungen des Verantwortlichen und zur Erbringung des Dienstes. Halte ich eine Weisung für rechtswidrig, weise ich darauf hin und führe sie nicht aus.
  • Vertraulichkeit: Ich betreibe den Dienst allein, außer mir hat niemand Zugriff auf die Daten. Mich trifft eine Verschwiegenheitspflicht, die auch nach Vertragsende fortbesteht.
  • Sicherheit: Ich wende die oben beschriebenen Sicherheitsmaßnahmen an.
  • Weitere Auftragsverarbeiter: die oben genannten, auf Grundlage einer allgemeinen Genehmigung. Nehme ich einen neuen auf oder tausche ich einen aus, informiere ich dich vorab per E-Mail und in der Oberfläche. Du kannst widersprechen und in diesem Fall den Vertrag kündigen.
  • Unterstützung: Bei Betroffenenanfragen und bei der Datenschutz-Folgenabschätzung unterstütze ich dich in angemessenem Rahmen. Die durch den Tages-Hash bedingte Grenze der Identifizierbarkeit gilt auch hier.
  • Datenschutzverletzung: Ich informiere dich unverzüglich per E-Mail und liefere die für deine eigene Meldung nötigen Informationen.
  • Verbleib der Daten am Ende: Mit Vertragsende werden die Messdaten gelöscht. Kopien bewahre ich nicht auf, es sei denn, das Gesetz verpflichtet mich dazu.
  • Kontrolle: Auf Anfrage erteile ich schriftlich Auskunft über die Umstände der Verarbeitung und ermögliche in angemessenem Umfang eine Überprüfung.

Änderung dieser Erklärung

Ändert sich diese Erklärung, aktualisiere ich sie hier und passe das Datum des Inkrafttretens an. Über wesentliche Änderungen informiere ich dich zusätzlich per E-Mail. Dieses Dokument ist in mehreren Sprachen verfügbar, bei Abweichungen ist der ungarische Text maßgeblich.