Datenschutzerklärung

1. Verantwortlicher und Kontakt

Stefan Rosanitsch, Kriegerdankstr. 14, 96450 Coburg, Deutschland. E-Mail: stefanrows@gmail.com. Kontaktformular und Impressum.

2. Unsere Rollen

Für Konto, Abrechnung, Betrieb und die Website xpmetric.com sind wir Verantwortlicher. Bei Analysedaten von Websites unserer Kunden verarbeiten wir Daten im Auftrag des jeweiligen Website-Betreibers. Dieser ist für die Information seiner Besucher und die passende Rechtsgrundlage verantwortlich. Unsere Vereinbarung zur Auftragsverarbeitung beschreibt diese Rolle.

3. Konto, Vertrag und Abrechnung

Wir verarbeiten E-Mail-Adresse, Konto- und Website-Einstellungen, Anmeldedaten, Abonnementstatus und Nutzungsdaten für Registrierung, Authentifizierung, Vertragserfüllung und Abrechnung (Art. 6 Abs. 1 lit. b DSGVO). Zahlungsinformationen werden durch Stripe verarbeitet; wir erhalten die für den Vertrag nötigen Zahlungs- und Statusdaten. Für gesetzliche Aufbewahrungspflichten gilt Art. 6 Abs. 1 lit. c DSGVO.

Optional können Sie Google zur Anmeldung, einen GA4-Import oder Stripe beziehungsweise Polar für Umsatzdaten verbinden. Diese Verbindungen werden von Ihnen ausgelöst und können getrennt werden.

Optional können Sie einen YouTube-Kanal mit Ihrem XPmetric-Konto verbinden. Wir erhalten seine Kanal-ID und den Namen, täglich von YouTube Analytics gelieferte Ansichten, geschätzte Wiedergabeminuten sowie gewonnene und verlorene Abonnenten. Für feste Zeiträume von 7, 28 und 90 Tagen erhalten wir separate Kanalgesamtsummen und höchstens 20 zurückgegebene Top-Video-Zeilen je Zeitraum. Zusätzlich nutzen wir nur Video-IDs, Titel und Verfügbarkeitsangaben, die wir zur Anzeige dieser Zeilen benötigen. Es handelt sich um vom Kontoinhaber autorisierte Kontodaten; Besucher-Identitäten erhalten wir nicht und verknüpfen sie nicht mit XPmetric-Websitebesuchern. Die Berichte sind nur für Sie sichtbar, getrennt von Website-Ereignissen, Zielen und Zahlungen und erscheinen nicht in öffentlichen Ansichten oder Kontoexporten. Die Verbindung nutzt schreibgeschützte Berechtigungen für YouTube Data und YouTube Analytics. Google erhält die Autorisierungsanfrage und die serverseitigen API-Anfragen, die zum Abruf der Berichte nötig sind; unser Hostinganbieter speichert die Berichte und verschlüsselte OAuth-Token.

Die Verbindung bindet keinen YouTube-Player ein und fügt Ihren XPmetric-Seiten keinen YouTube-Player, YouTube-Trackingcode oder YouTube-Cookie hinzu. Wenn Sie Google zur Autorisierung aufrufen, kann Google Browser- oder Geräteinformationen verarbeiten. Vor Verbinden oder erneutem Verbinden müssen Sie die aktuelle XPmetric-Datenschutzerklärung und Nutzungsbedingungen sowie die YouTube-Nutzungsbedingungen akzeptieren und bestätigen, dass Sie die Google-Datenschutzerklärung gelesen haben. Wir speichern die Version und den Zeitpunkt der XPmetric-Annahme. Diese zweckbezogene Annahme ist unabhängig von der Cookie-Auswahl für Google Analytics auf unserer Marketing-Website. Wir verwenden die API-Daten, um diese optionale Berichtsfunktion und Ihre ausdrücklich gewählte Kampagnen-Navigation bereitzustellen; dabei gilt die Google API Services User Data Policy. Das Connect/Reconnect-Kontrollkästchen verlangt außerdem Ihre Zustimmung, dass XPmetric Google-Daten nur gemäß dieser Richtlinie abrufen und verwenden darf.

Sie können ein aktuell bestätigtes Video optional mit einer exakten Kampagne auf einer eigenen Website verknüpfen. Zugehörige Seitenaufrufe, Ziele oder Zahlungen sind getrennt ausgewiesene XPmetric-Websiteanalysen. Die Verknüpfung erfasst keinen YouTube-Klick und belegt keine Ursache für Besuch oder Umsatz. Sie läuft spätestens 30 Tage nach der letzten erfolgreichen Bestätigung des Video-Eigentums ab und wird auch beim Trennen oder erneuten Verbinden des Kanals, bei Kontolöschung oder beim Löschen der Website entfernt.

Beim Trennen oder Löschen des XPmetric-Kontos löschen wir die lokale Verbindung, Berichte, Metadaten und Kampagnenverknüpfungen sofort und bitten Google um den Widerruf des Zugriffs. Dadurch werden keine Videos oder sonstigen YouTube-Daten gelöscht. Bis Google den Widerruf bestätigt hat, können für Wiederholungsversuche höchstens sieben Tage ein minimales, verschlüsseltes Widerrufstoken und Wiederholungsangaben außerhalb des Kontodatensatzes gespeichert bleiben; solange pausieren wir neue Verbindungen im Pilot. Die Analytics-Autorisierung und Kanalmetadaten werden unabhängig voneinander innerhalb von 30 Tagen erneut bestätigt. Ohne erneute Analytics-Bestätigung werden Berichte ausgeblendet; Kanal- und Videometadaten werden innerhalb von 30 Tagen aktualisiert oder gelöscht. Bei einer bestätigten externen Widerrufung löschen wir die zugehörigen Daten unverzüglich und spätestens innerhalb von 30 Tagen. Sie können den Zugriff zusätzlich in den Google-Sicherheitseinstellungen verwalten. Bei Fragen zur Verarbeitung schreiben Sie an privacy@xpmetric.com. Weitere Informationen finden Sie in den YouTube-Nutzungsbedingungen, der Google-Datenschutzerklärung und der Google API Services User Data Policy.

Die konkrete Site- und Kampagnenzuordnung bleibt bei XPmetric und wird nicht an Google übermittelt.

4. Analysedaten auf Kunden-Websites

Pro Seitenaufruf können Seitenursprung und Pfad, Referrer-Ursprung, zulässige UTM-Werte, Gerät, Browser, Betriebssystem, aus der IP-Adresse abgeleiteter ungefährer Ort sowie vom Betreiber konfigurierte Ereignisse und Umsätze verarbeitet werden. Zugangsdaten, URL-Fragmente und andere Abfrageparameter werden entfernt; Authentifizierungsseiten werden ausgeschlossen. Die rohe IP-Adresse wird nicht in den Analysedatenbanken gespeichert.

Im standardmäßigen Modus ohne Cookie wird auf unserem Server ein pro Website und UTC-Tag begrenzter Kennwert aus IP-Adresse, Browserkennung und zufälligem Tagessalz gebildet. Das Salz wechselt täglich und verfällt nach bis zu 48 Stunden. Besuche verschiedener Tage oder Websites erhalten keinen gemeinsamen Kennwert. Im optionalen Cookie-Modus wird ein zufälliger Erstparteien-Cookie (_xpm_id) für bis zu ein Jahr gesetzt. Der Betreiber muss hierfür gegebenenfalls eine Einwilligung einholen.

Optional kann der Betreiber eine E-Mail-Zuordnung aktivieren. Die E-Mail-Adresse wird dabei als websitebezogener Schlüsselwert verarbeitet, die Zuordnung läuft 30 Tage nach der letzten Erfassung ab und wird bei Widerspruch oder Löschung entfernt. Der Betreiber muss hierfür informieren und eine Rechtsgrundlage sicherstellen.

5. Website, Sicherheit und Kommunikation

Für Auslieferung, Missbrauchsabwehr und Fehlerbehebung verarbeiten wir notwendige technische Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO). Caddy-Zugriffsprotokolle enthalten keine IP-Adressen. Kontaktanfragen beantworten wir zur Bearbeitung Ihres Anliegens. Service-E-Mails betreffen Konto und Vertrag; Produkt- und Marketing-E-Mails können Sie über den Abmeldelink abbestellen. Die Zulässigkeit einzelner Werbenachrichten wird gesondert rechtlich geprüft.

Öffentliche X-Beiträge über eine verfolgte Domain können als minimierter Auszug zur Anzeige im Kundenkonto verarbeitet werden. Autoren können widersprechen; Details stehen in der englischen Fassung.

6. Cookies, Analyse und Einwilligung auf xpmetric.com

Notwendige Sitzungs- und Sicherheitstechniken dienen dem Betrieb der Website. Google Analytics und optionale Einbettungen werden erst nach Ihrer Einwilligung geladen (Art. 6 Abs. 1 lit. a DSGVO); alle nicht notwendigen Signale sind zunächst abgelehnt. Sie können Ihre Auswahl jederzeit über Cookie settings ändern oder widerrufen. Ein Widerruf wirkt für die Zukunft. Die Zustimmung zu Google Analytics und die Speicherfrist von 14 Monaten wurden im GA4-Admin geprüft.

7. Empfänger und Drittlandübermittlungen

Unsere Infrastruktur für Konto- und Analysedaten läuft bei Hetzner in Deutschland; der genaue Rechenzentrumsstandort ist noch zu bestätigen. Cloudflare stellt CDN, Schutz und Turnstile bereit und kann weltweit verarbeiten. Stripe verarbeitet Zahlungen in Irland und den USA; Resend versendet E-Mails aus den USA. Google erhält Daten bei Einwilligung in Analytics oder bei von Ihnen gestarteten Integrationen. Die YouTube-API-Verbindung betrifft nur den autorisierten Kanal des Kontoinhabers und übermittelt keine Besucheranalysedaten von Kunden-Websites an YouTube. Polar ist eine optionale Integration. Die aktuelle Liste mit weiteren Empfängern, Zwecken und Standorten steht unter Unterauftragsverarbeiter.

Bei Übermittlungen außerhalb des EWR stützen sich Anbieter je nach Fall auf Angemessenheitsbeschlüsse, den EU-US-Datenschutzrahmen oder Standardvertragsklauseln. Trotz dieser Garantien können Zugriffe durch Behörden im Empfängerland nicht vollständig ausgeschlossen werden. Die Vertrags- und Garantiedokumentation einzelner Anbieter wird noch geprüft.

8. Speicherdauer

• Analysedaten: zwei Jahre ab Ereignis; bei auslaufendem Abonnement nach Ablauf der Nachfrist.
• YouTube-Analytics-Berichte: höchstens 90 Tage tägliche Werte sowie drei von YouTube gelieferte Gesamtsummen-Zeiträume (7/28/90 Tage) und begrenzte Top-Video-Zeilen, solange der Zweck und die Berechtigung aktuell sind. Analytics-Berechtigung und Kanalmetadaten werden unabhängig voneinander innerhalb von 30 Tagen bestätigt; Videotitel, Verfügbarkeit und manuelle Website-Kampagnenverknüpfungen laufen spätestens 30 Tage nach der letzten erfolgreichen Eigentumsprüfung ab. Beim Trennen oder Löschen löschen wir Berichte und Verknüpfungen sofort. Bis zum bestätigten Google-Widerruf bleiben höchstens sieben Tage ein minimales verschlüsseltes Widerrufstoken und Wiederholungsangaben außerhalb des Kontodatensatzes bestehen.
• Konto und Website-Einstellungen: bis zur Kontolöschung. Lokale Abrechnungsdatensätze werden dabei gelöscht; Aufzeichnungen beim Zahlungsanbieter bleiben nach dessen Pflichten bestehen.
• Fehlerprotokolle: 90 Tage; E-Mail-Versandprotokolle und öffentliche X-Erwähnungen: zwölf Monate.
• Optionale E-Mail-Besucher-Zuordnung: 30 Tage nach letzter Erfassung.
• Webserver-Zugriffsprotokolle: ungefähr 24 Stunden, ohne IP-Adressen.
• Einwilligungsnachweise und bestimmte Lösch- oder Webhook-Belege: derzeit ohne feste automatische Löschfrist; die erforderliche Frist wird überprüft.
• Freigegebene Spiel- und Teilansichten können bis zur Kontolöschung über ihren Link abrufbar bleiben. Kurzlebige Spielprüfdaten laufen nach 24 Stunden ab.

9. Ihre Rechte

Sie haben nach Maßgabe der DSGVO Rechte auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Eine Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Gegen Direktwerbung können Sie jederzeit widersprechen. Im Konto stehen Export und Löschung bereit; für weitere Anliegen schreiben Sie an stefanrows@gmail.com. Wir antworten grundsätzlich binnen eines Monats.

Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren (Art. 77 DSGVO), insbesondere beim Bayerischen Landesamt für Datenschutzaufsicht.

10. Weitere Angaben

Eine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung nach Art. 22 DSGVO findet nicht statt. Eine E-Mail-Adresse ist für ein Konto erforderlich; optionale Einwilligungen sind freiwillig. Unser Tracking-Skript beachtet das Do-Not-Track-Signal. Über wesentliche Änderungen dieser Erklärung informieren wir per E-Mail oder in der Anwendung; wo eine neue Einwilligung nötig ist, fragen wir erneut.