← Hilfecenter

Einwilligung und Datenschutz

Wie ROASaurus mit Cookie-Einwilligung, Kundendaten und DSGVO-Anfragen umgeht.

ROASaurus läuft in deinem Shop als dein Auftragsverarbeiter. Du entscheidest, ob die Einwilligung eines Besuchers nötig ist. Lehnt ein Besucher ab, erhält er keine Besucher-ID, sodass seine Anzeigenklicks und Besuche nicht mit ihm verknüpft werden und seine Browser-Events nicht an Werbeplattformen gesendet werden. Die bezahlte Bestellung selbst wird trotzdem serverseitig mit gehashten Bestelldaten gesendet, wie unten erklärt.

Die Einwilligungseinstellung

Jeder Shop hat unter Store settings die Einstellung Consent:

• Respect visitor consent (Standard, in der EU erforderlich). ROASaurus prüft die Marketing-Einwilligung des Besuchers, bevor es ihn trackt.
• Strict. Bis der Besucher einwilligt, wird nichts gesendet und nichts auf dem Gerät gelesen oder gespeichert, und der Server verwirft jedes Browser-Event ohne ausdrückliche Einwilligung. Willigt der Besucher später ein, wird nur der Aufruf dieser Seite gesendet.
• Always track. Nur für Shops, die dort verkaufen, wo keine Einwilligung nötig ist.

Anonymous measurement ist standardmäßig aus. Wenn du es einschaltest, werden Besucher, die abgelehnt oder keine Wahl getroffen haben, gezählt, aber nie getrackt: eine kleine Anfrage pro Seitenaufruf, Produktansicht, Warenkorb-Hinzufügung und gestartetem Checkout, ohne Cookies, Speicher, IDs oder Werbepixel, summiert zu Tageswerten. Ob das für deine Besucher erlaubt ist, ist eine rechtliche Frage, deshalb schaltet ROASaurus es nie von selbst ein. Die Seite Consent im Dashboard zeigt die Einwilligungsrate sowie Bestellungen und Umsatz nach Einwilligungsstatus.

In Shopify

Mit Respect visitor consent lesen das Storefront-Script und das Checkout-Pixel die Customer Privacy API von Shopify aus, die dein Cookie-Banner (das von Shopify oder eine Einwilligungs-App) füllt. Hat ein Besucher keine Marketing-Einwilligung erteilt, gilt Folgendes:

• Es wird kein Besucher-ID-Cookie gesetzt, und es werden keine Click-IDs oder UTMs aus seinem Surfverhalten gespeichert;
• die Browser-Pixel (Meta, TikTok, Snapchat, Pinterest, Reddit und die anderen) werden nicht geladen;
• Seitenaufrufe, Warenkorb-Hinzufügungen und Checkouts werden ohne Besucher-ID, IP-Adresse, Browserdetails oder Kontaktdaten protokolliert, außerdem ohne den Query-Teil der Seitenadresse, in dem Click-IDs und Kampagnen-Tags stehen. Sie werden nicht an Werbeplattformen gesendet.

Ändert der Besucher seine Entscheidung später, auch während des Checkouts, folgt ROASaurus der neuen Entscheidung. Hat der Shop gar kein Cookie-Banner, meldet die Shopify-API nichts, und ROASaurus behandelt den Besucher als einwilligend, außer im Modus Strict. Installiere also ein Banner, bevor du in der EU verkaufst.

Shopify nimmt die Landingpage-Adresse der Bestellung in die Bestelldaten auf, und diese Adresse kann Kampagnen-Tags und Click-IDs enthalten. ROASaurus verwendet sie nur in deinen eigenen Berichten, als Fallback für die Attribution; sie wird nicht an Werbeplattformen gesendet.

Bei anderen Webshops

Das ROASaurus-Skript liest die Entscheidung des Besuchers aus deinem Einwilligungstool aus: OneTrust, Cookiebot, Usercentrics, Didomi, CookieYes, iubenda, Termly, Complianz, Osano, TrustArc, jedem IAB-TCF-Banner, Google Consent Mode oder der WP Consent API (die andere WordPress-Einwilligungs-Plugins befüllen). In den Einwilligungseinstellungen des Shops kannst du das Tool auswählen und seine eigenen Kategorien Analytics und Marketing zuordnen. Bei einem anderen Tool rufst du tlq('consent', true) auf, wenn der Besucher Marketing-Cookies akzeptiert, und tlq('consent', false), wenn er sie ablehnt. Solange der Besucher nicht zustimmt, gelten dieselben Regeln wie in Shopify: keine Besucher-ID, keine Click-IDs oder Kontaktdaten und keine Browser-Pixel. Hat die Seite gar kein Einwilligungstool, behandelt ROASaurus den Besucher als einwilligend, außer im Modus Strict.

Das WooCommerce-Plugin speichert die Tracking-Cookies nur dann bei einer Bestellung, wenn der Besucher Marketing-Cookies erlaubt hat.

Vom Server gesendete Käufe

Käufe stammen aus deinen Bestelldaten (dem Bestell-Webhook von Shopify oder dem Connector deiner Plattform), nicht aus dem Browser. Bei einer Bestellung, deren Besucher abgelehnt hat, gibt es keine Besucher-ID und keine Click-ID, die angehängt werden könnten. Das Purchase-Event wird trotzdem aus der Bestellung aufgebaut: Es enthält die Kundendaten dieser Bestellung, gehasht, sowie die IP-Adresse und den Browser, von denen aus die Bestellung aufgegeben wurde. Es geht an Meta, TikTok, Snapchat, Pinterest, Reddit, X, Microsoft und Taboola; LinkedIn und die danach hinzugekommenen Ziele erhalten für eine solche Bestellung nichts, und Google Analytics 4 erhält es als anonymen Verkauf. Wenn deine Rechtsberatung sagt, dass auch Purchase-Events eine vorherige Einwilligung brauchen, kontaktiere uns, bevor du serverseitige Käufe aktivierst.

Was gespeichert und gesendet wird

• E-Mail-Adressen, Telefonnummern und Adressen werden mit SHA-256 gehasht, bevor sie an eine Werbeplattform gesendet werden.
• Das Besucher-ID-Cookie _tl wird nur mit Einwilligung für 365 Tage auf der Domain deines Shops gesetzt. ROASaurus liest die plattformeigenen Cookies (wie _fbp und _fbc) aus, sofern sie vorhanden sind.
• Kein Browser-Fingerprinting. Crawler, Link-Vorschauen und Headless-Browser werden auf dem Server herausgefiltert.
• Plattform-Tokens und API-Schlüssel werden verschlüsselt gespeichert.
• Inhaber legen fest, wie lange Roh-Events und Besucherdaten gespeichert werden, von 30 Tagen bis zu 2 Jahren.
• Die Daten werden in Amsterdam in den Niederlanden gespeichert. Unterauftragsverarbeiter sind im Auftragsverarbeitungsvertrag aufgeführt.

DSGVO-Anfragen

Die Datenschutz-Webhooks von Shopify werden automatisch verarbeitet. Eine Kundenlöschung entfernt die persönlichen Daten dieses Kunden aus den Bestellungen, die ROASaurus speichert, sowie die Kontaktdaten, IP-Adressen und Browserangaben der Besuche, die mit diesen Bestellungen verknüpft sind. Eine Shoplöschung löscht 48 Stunden nach der Deinstallation der App alle Datensätze des Shops. Bei einer Anfrage zu Kundendaten stellt ROASaurus zusammen, was es über den Kunden gespeichert hat (Bestellungen, verknüpfte Storefront-Events, Anzeigenklicks und Umfrageantworten), schickt den Inhabern und Admins des Shops eine E-Mail und lässt sie die Daten auf der Shopify-Seite des Shops herunterladen, um sie an den Kunden zu senden. Jede Anfrage wird dort aufgelistet. Wenn du einen Shop im Dashboard entfernst, werden seine Daten sofort gelöscht. Bei anderen Webshops schreibst du eine E-Mail an hello@roasaurus.com mit der E-Mail-Adresse des Kunden, und wir bearbeiten die Anfrage. Unsere eigene Rolle und die Aufbewahrungsfristen findest du in der Datenschutzerklärung.

Kommst du nicht weiter? Schreib uns eine E-Mail.