Diese Dienste stecken in deinem Funnel

Wenn du im Funnel deine eigene Datenschutzerklärung hinterlegst, musst du wissen, was im Hintergrund läuft. Diese Seite listet auf, welche Dienste an einem Funnel beteiligt sind, wofür, mit welchen Daten und wann.

Die Übersicht

Drei Dienste laufen immer. Alle anderen nur, wenn du etwas eingerichtet hast, und mehrere davon zusätzlich erst, wenn der Besucher zugestimmt oder geklickt hat.

Darunter steht jeder Dienst einzeln, mit einem Textbaustein, den du in deine Erklärung übernehmen kannst.

Vercel

Wofür: Der Funnel wird von dort ausgeliefert. Jeder Aufruf einer Seite geht über diesen Server, auch wenn du eine eigene Domain verbunden hast.

Welche Daten: Was bei jedem Webserver anfällt. IP-Adresse, Browser- und Betriebssystemkennung, die aufgerufene Adresse und der Zeitpunkt. Diese Angaben stehen in Server-Protokollen, nicht in deiner Auswertung.

Wann: Immer. Das lässt sich nicht abschalten, es ist der Server.

Textbaustein:

Diese Seite wird über die Vercel Inc., USA, ausgeliefert. Beim Aufruf
verarbeitet der Anbieter technisch notwendige Verbindungsdaten wie
IP-Adresse, Browserkennung, aufgerufene Adresse und Zeitpunkt. Rechtsgrundlage
ist unser berechtigtes Interesse an einem sicheren Betrieb, Art. 6 Abs. 1
lit. f DSGVO. Es besteht ein Vertrag zur Auftragsverarbeitung; für
Übermittlungen in die USA gelten die Standardvertragsklauseln.

Supabase

Wofür: Zwei Dinge. Die Datenbank, in der die Anfragen aus deinem Formular und die Zählwerte deines Funnels liegen, und der Dateispeicher für Bilder, Videos, Logos und eigene Schriften.

Welche Daten: Alles, was jemand in dein Formular einträgt, seine Antworten auf die Fragen im Funnel, und Zählwerte darüber, wie weit jemand gekommen ist. Diese Zählung läuft ohne Cookies, und weder IP-Adresse noch Browserkennung werden dabei gespeichert.

Beim Laden eines Bildes oder einer eigenen Schrift geht die IP-Adresse des Besuchers an den Speicher, wie bei jedem anderen Inhalt von dort auch.

Wann: Immer.

Textbaustein:

Die über diese Seite erhobenen Daten speichern wir in einer Datenbank des
Anbieters Supabase. Der Speicherort liegt in der Europäischen Union. Es
besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO; für etwaige
Zugriffe aus Drittländern gelten die Standardvertragsklauseln.

Bunny

Wofür: Hochgeladene Videos liegen weiter im Dateispeicher, ausgeliefert werden sie über ein Netz aus Servern in Europa. Der Grund ist die Menge: ein Video wird bei jedem Start erneut übertragen, und über das Netz geht das schneller und deutlich günstiger.

Welche Daten: Beim Abruf einer Videodatei die IP-Adresse des Besuchers, seine Browserkennung, die abgerufene Adresse und der Zeitpunkt. Also dasselbe, was jeder Server sieht, von dem ein Browser eine Datei holt. Keine Formulareingaben, keine Antworten, keine Cookies.

Wann: Nur, wenn in deinem Funnel ein hochgeladenes Video liegt, und nur, sobald das Auslieferungsnetz eingerichtet ist. Eingebettete Videos von YouTube oder Vimeo laufen unverändert über deren eigene Server.

Wo: BunnyWay d.o.o. hat seinen Sitz in Ljubljana, Slowenien, also in der EU. Die Auslieferung läuft über europäische Standorte.

Textbaustein:

Videos auf dieser Seite werden über das Content Delivery Network der
BunnyWay d.o.o., Dunajska cesta 165, 1000 Ljubljana, Slowenien,
ausgeliefert. Beim Abruf einer Videodatei verarbeitet der Anbieter die
IP-Adresse des Besuchers, die Browserkennung, die abgerufene Adresse und
den Zeitpunkt, um die Datei zustellen zu können. Rechtsgrundlage ist
Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt in der
schnellen und sparsamen Auslieferung großer Dateien. Es besteht ein
Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Sentry

Wofür: Wenn im Browser eines Besuchers etwas kaputtgeht, meldet die Anwendung den Fehler. Sonst würden wir es erst erfahren, wenn sich jemand beschwert.

Welche Daten: Die technische Beschreibung eines Fehlers. Fehlertext, Stelle im Programm, aufgerufener Pfad ohne Parameter, Browser- und Systemversion, Zeitpunkt.

Was ausdrücklich NICHT mitgeht: Formularinhalte, E-Mail-Adressen, Telefonnummern, Cookies, Zugangsdaten und die IP-Adresse. Sie werden vor dem Versand automatisch entfernt. Es gibt keinen Sitzungsmitschnitt und keine Cookies für diesen Zweck.

Wann: Immer. Die Verarbeitung läuft in der EU-Instanz in Frankfurt.

Textbaustein:

Zur Erkennung technischer Störungen meldet diese Seite Fehler an Sentry
(Functional Software, Inc., San Francisco, USA). Die Verarbeitung findet in
der EU-Instanz in Frankfurt am Main statt. Übertragen wird die technische
Beschreibung eines Fehlers ohne Formularinhalte, ohne Kontaktdaten und ohne
IP-Adresse. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Dein Mailanbieter

Wofür: Der Versand der Bestätigungsmail nach dem Formular und der Follow-up-Mails.

Welche Daten: Empfängeradresse, Betreff, Inhalt und Zeitpunkt.

Wann: Sobald du unter Einstellungen eine eigene Absender-Adresse eingerichtet hast. Dann läuft der Versand über deinen Anbieter, und du nennst in deiner Erklärung diesen Anbieter. Wie das geht, steht unter Eigene Absender-Adresse einrichten.

Wichtig: Den Textbaustein dafür können wir dir nicht geben. Wir wissen nicht, wer dein Anbieter ist. Nimm die Angaben aus dessen Auftragsverarbeitungsvertrag.

Resend

Wofür: Dasselbe wie oben, nur ohne eigene Absender-Adresse. Hast du keine eingerichtet, geht deine Post über unseren Versand.

Welche Daten: Empfängeradresse, Betreff, Inhalt, Zeitpunkt und der Zustellstatus.

Wann: Nur solange keine eigene Absender-Adresse eingerichtet ist.

Ein Hinweis, der leicht untergeht: Der Anbieter sitzt in den USA. Die Wahl der Versandregion steuert den Weg der Mail, nicht den Ort, an dem Kontodaten und Protokolle liegen. Öffnungs- und Klick-Tracking ist abgeschaltet.

Textbaustein:

Für den Versand von E-Mails nutzen wir Resend (Plus Five Five, Inc., San
Francisco, USA). Verarbeitet werden Empfängeradresse, Betreff, Inhalt,
Zeitpunkt und Zustellstatus. Es besteht ein Vertrag zur Auftragsverarbeitung;
die Übermittlung in die USA wird auf die Standardvertragsklauseln gestützt.
Eine Messung von Öffnungen oder Klicks findet nicht statt.

Meta

Wofür: Das Meta-Pixel im Browser und die Conversions API vom Server. Beide melden dieselben Ereignisse, damit deine Anzeigen messen können, was dein Funnel bringt.

Welche Daten: Seitenaufruf, jeder Schritt im Funnel und der Abschluss. Über die Conversions API zusätzlich die E-Mail-Adresse, die Telefonnummer und der Vorname in gehashter Form, dazu IP-Adresse und Browserkennung im Klartext.

Gehasht heißt hier nicht anonym: Meta gleicht den Wert gegen die eigenen Nutzer ab und findet die Person damit wieder. Genau dafür ist er da, und genau deshalb braucht es die Einwilligung.

Wann: Nur wenn du eine Pixel-ID eingetragen hast UND der Besucher im Banner zugestimmt hat. Ohne Zustimmung wird nichts geladen und nichts gesendet, auch nicht vom Server.

Textbaustein:

Nach Ihrer Einwilligung binden wir das Meta-Pixel der Meta Platforms Ireland
Limited, Dublin, ein und übermitteln zusätzlich Ereignisse über die
Conversions API. Verarbeitet werden der Seitenaufruf, die erreichten Schritte
und der Abschluss, dazu Ihre IP-Adresse und Browserkennung sowie Ihre
E-Mail-Adresse, Telefonnummer und Ihr Vorname in gehashter Form.
Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und
§ 25 Abs. 1 TDDDG. Für die Erhebung und Übermittlung sind wir mit Meta
gemeinsam verantwortlich (Art. 26 DSGVO); die Verarbeitung findet auch in
den USA statt, auf Grundlage der Zertifizierung von Meta unter dem
EU-U.S. Data Privacy Framework. Sie können Ihre Einwilligung jederzeit
über den Link im Fußbereich widerrufen.

Zwei Dinge gehören zusätzlich in deine Unterlagen: der Zusatz zur gemeinsamen Verantwortlichkeit aus den Meta-Business-Tools-Bedingungen und ein Vermerk, wann du den DPF-Status von Meta zuletzt geprüft hast (Stand dieser Seite: August 2026). Und sei ehrlich bei Löschanfragen: was bei Meta liegt, löschst du nicht über das CRM, siehe Conversions API einrichten.

LinkedIn

Wofür: Das LinkedIn Insight Tag, wenn du eine Partner-ID eingetragen hast. Es misst, welche LinkedIn-Anzeige zu einer Anfrage geführt hat.

Welche Daten: Seitenaufruf und Abschluss, dazu Angaben zu Browser und Gerät und deine IP-Adresse. Es ist ein Werbe-Pixel wie das Meta-Pixel und läuft deshalb in derselben Kategorie „Marketing".

Wann: Nur mit eingetragener Partner-ID UND nach Zustimmung im Banner. Vor der Zustimmung geht keine Anfrage an LinkedIn, auch kein Vorab-Laden.

Textbaustein:

Nach Ihrer Einwilligung binden wir das LinkedIn Insight Tag der LinkedIn
Ireland Unlimited Company, Dublin, ein. Übermittelt werden der Seitenaufruf,
der Abschluss sowie Angaben zu Ihrem Browser und Gerät und Ihre IP-Adresse.
Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und
§ 25 Abs. 1 TDDDG. Die Verarbeitung findet auch in den USA statt, auf
Grundlage der Zertifizierung von LinkedIn unter dem EU-U.S. Data Privacy
Framework. Sie können Ihre Einwilligung jederzeit über den Link im Fußbereich
widerrufen.

Google

Wofür: Google Analytics 4, wenn du eine Mess-ID eingetragen hast.

Welche Daten: Drei Ereignisse. Der Seitenaufruf, jeder Schritt im Funnel und der Abschluss.

Wann: Nur mit eingetragener Mess-ID UND nach Zustimmung im Banner.

Was du selbst brauchst: Einen eigenen Auftragsverarbeitungsvertrag mit Google. Den können wir nicht für dich schließen.

Textbaustein:

Nach Ihrer Einwilligung nutzen wir Google Analytics 4, einen Dienst der Google
Ireland Limited, Dublin. Übermittelt werden der Seitenaufruf, die erreichten
Schritte und der Abschluss. Rechtsgrundlage ist Ihre Einwilligung nach Art. 6
Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Sie können sie jederzeit über den
Link im Fußbereich widerrufen.

Google Tag Manager ist derselbe Anbieter und dieselbe Kategorie im Banner (Statistik). Wenn du eine Container-ID (GTM-XXXXXXX) einträgst, wird der Container nach der Einwilligung von googletagmanager.com geladen. Wichtig: Welche Tags im Tag Manager laufen, richtest du selbst ein, und wir sehen sie nicht. Diese Tags musst du selbst in deiner Erklärung nennen und dort ebenfalls nur mit Einwilligung feuern lassen.

Textbaustein für den Tag Manager:

Nach Ihrer Einwilligung binden wir den Google Tag Manager ein, einen Dienst der
Google Ireland Limited, Dublin. Bereits das Laden des Containers übermittelt
Ihre IP-Adresse und Angaben zu Ihrem Browser an Google. Welche weiteren Dienste
über den Tag Manager geladen werden, entnehmen Sie den jeweiligen Abschnitten
dieser Erklärung. Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1
lit. a DSGVO und § 25 Abs. 1 TDDDG. Sie können sie jederzeit über den Link im
Fußbereich widerrufen.

Google Ads Conversion-Tracking ist derselbe Anbieter, aber eine andere Kategorie: Werbung, nicht Statistik. Trägst du eine Conversion-ID (AW-123456789) und ein Label ein, wird das Conversion-Tag nach der Einwilligung „Marketing" geladen, nicht mit „Statistik". Beide benutzen zwar dasselbe Skript von googletagmanager.com, aber wer nur Statistik erlaubt, bekommt kein Ads-Tag.

Welche Daten: Beim Laden Ihre IP-Adresse und Angaben zum Browser. Beim Absenden des Formulars eine Conversion-Meldung mit der Conversion-Aktion und einer zufälligen Vorgangsnummer gegen Doppelzählung. Name, E-Mail-Adresse und Telefonnummer gehen nicht an Google. Die Funktion „Enhanced Conversions", bei der eine verschlüsselte E-Mail-Adresse mitgeschickt wird, ist abgeschaltet und lässt sich nicht einschalten.

Cookies: Google Ads setzt _gcl_au, bei verknüpftem Analytics-Konto zusätzlich _gcl_aw, _gcl_dc und _gac_*. Sie stehen auf deiner eigenen Domain und werden beim Widerruf gelöscht. Was Google unter seinen eigenen Domains setzt (doubleclick.net), erreicht kein Banner.

Was du selbst brauchst: Einen eigenen Auftragsverarbeitungsvertrag mit Google, wie beim Tag Manager.

Textbaustein für Google Ads:

Nach Ihrer Einwilligung binden wir das Conversion-Tracking von Google Ads ein,
einem Dienst der Google Ireland Limited, Dublin. Beim Laden werden Ihre
IP-Adresse und Angaben zu Ihrem Browser an Google übermittelt und Cookies
gesetzt. Senden Sie das Formular ab, meldet das Tag eine Conversion an Google;
übermittelt werden dabei die Conversion-Aktion und eine zufällige
Vorgangsnummer, jedoch keine Kontaktdaten. Zusätzlich übermitteln wir Google
den Stand Ihrer Einwilligung (Google Consent Mode). Rechtsgrundlage ist Ihre
Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Die
Verarbeitung findet auch in den USA statt, auf Grundlage der Zertifizierung von
Google unter dem EU-U.S. Data Privacy Framework. Sie können Ihre Einwilligung
jederzeit über den Link im Fußbereich widerrufen.

Buchst du zusätzlich Termine über den Kalender-Block und hast ein zweites Label dafür eingetragen, meldet das Tag eine gebuchte Terminierung als eigene Conversion. Übermittelt wird dabei dasselbe: die Conversion-Aktion und eine Vorgangsnummer, keine Daten aus dem Buchungsformular.

Calendly

Wofür: Der Terminkalender, wenn du einen Kalender-Block eingebaut hast.

Welche Daten: Beim Laden IP-Adresse und Browserkennung, dazu Name und E-Mail zur Vorbefüllung. Bucht jemand, verarbeitet Calendly zusätzlich die Angaben aus dem Buchungsformular.

Wann: Nur mit Kalender-Block, und erst nachdem der Besucher ausdrücklich auf die Schaltfläche zum Laden geklickt hat. Vor diesem Klick geht keine einzige Anfrage an Calendly.

Wenn dein Calendly-Konto verbunden ist: Nach einer Buchung holt Funnelizer Name, E-Mail-Adresse und den Termin aus deinem Calendly-Konto und speichert sie am Lead. Das läuft auf unserem Server mit dem Zugriffs-Token, den du in den Kontoeinstellungen hinterlegt hast; im Browser des Besuchers passiert dabei nichts. Ohne Verbindung wird die Buchung nur vermerkt.

Diese Daten hat der Besucher gerade bei Calendly eingegeben, um den Termin zu bekommen. Sie kommen damit aus derselben Handlung wie die Buchung selbst, und sie landen in demselben CRM wie eine Anfrage über dein Formular. Aus der Buchung folgt aber keine Werbeeinwilligung: Wer einen Termin bucht, hat damit keinem Newsletter zugestimmt. Der Lead steht auf „keine Einwilligung", und Werbe-Strecken laufen für ihn nicht an.

Textbaustein:

Für die Terminbuchung binden wir auf Klick einen Kalender der Calendly LLC,
Atlanta, USA ein. Vor Ihrem Klick findet keine Verbindung statt. Mit dem Klick
werden IP-Adresse und Browserkennung übermittelt, dazu Name und E-Mail-Adresse
zur Vorbefüllung. Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1
lit. a DSGVO und § 25 Abs. 1 TDDDG.

Haben Sie einen Termin gebucht, rufen wir Ihren Namen, Ihre E-Mail-Adresse und
die Termindaten über die Schnittstelle von Calendly ab und speichern sie zu
Ihrer Anfrage, um den Termin vorzubereiten und Sie daran zu erinnern.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

YouTube oder Vimeo

Wofür: Ein Video, das dort liegt und nicht bei uns.

Welche Daten: IP-Adresse, Browserkennung und Cookies beim Abspielen.

Wann: Nur wenn du ein Video von dort eingebunden hast, und erst nach einem Klick des Besuchers. Vor dem Klick zeigt der Funnel nur einen rein lokal gestalteten Platzhalter, es wird kein Vorschaubild vom Anbieter geladen und keine Verbindung dorthin aufgebaut. Der Klick auf „Video laden" ist die Einwilligung, ein eigener Cookie-Banner ist dafür nicht nötig. YouTube binden wir immer über youtube-nocookie.com ein, Vimeo mit dnt=1. Wer möchte, erlaubt mit einem Häkchen alle Videos der Seite für die laufende Sitzung.

Lädst du dein Video stattdessen hoch, liegt es im Speicher bei Supabase und es ist kein weiterer Dienst beteiligt. Mehr dazu unter Bilder und Videos einbinden.

Die Sehdauer messen wir selbst, bei eigenen wie bei eingebundenen Videos: für die Dauer eines Besuchs wird festgehalten, welche Sekunden gesehen wurden. Daraus entsteht der Zuschauer-Verlauf in deiner Auswertung. Das läuft ohne Cookie und ohne Wiedererkennung, genau wie die übrige Zählung. Bei einem externen Video allerdings erst nach dem Klick, mit dem der Besucher es geladen hat. Der Textbaustein dafür steht unten.

Textbaustein:

Videos von YouTube oder Vimeo binden wir erst nach Ihrem Klick ein. Vorher
sehen Sie nur einen lokalen Platzhalter; es wird kein Vorschaubild vom Anbieter
geladen und keine Verbindung dorthin aufgebaut. Klicken Sie auf „Video laden",
wird das Video geladen. Dabei werden Ihre IP-Adresse und Ihre Browserkennung an
den Anbieter (bei YouTube an Google) übermittelt und es können Cookies gesetzt
werden. YouTube binden wir über youtube-nocookie.com ein, Vimeo mit dnt=1.
Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25
Abs. 1 TDDDG, die Sie mit dem Klick erteilen.

Textbaustein zur Sehdauer (passt für eigene und für eingebundene Videos):

Enthält dieses Formular ein Video, halten wir für die Dauer Ihres Besuchs fest,
welche Sekunden des Videos gesehen wurden, wie lang das Video ist und ob es bis
zum Ende lief. Übersprungene Stellen zählen nicht als gesehen. Daraus berechnen
wir ausschließlich Summen über alle Besuche eines Tages, um zu erkennen, an
welcher Stelle ein Video an Aufmerksamkeit verliert. Es werden dafür keine
Cookies gesetzt, und eine Wiedererkennung über Ihren Besuch hinaus findet nicht
statt; die einzelnen Angaben zu Ihrem Besuch werden nach sieben Tagen gelöscht.
Rechtsgrundlage ist unser berechtigtes Interesse an einer bedarfsgerechten
Gestaltung unseres Angebots nach Art. 6 Abs. 1 lit. f DSGVO.

WhatsApp

Dieser Punkt gehört streng genommen nicht in die Liste, denn WhatsApp läuft nicht im Funnel. Er steht hier, damit du ihn nicht übersiehst.

Wofür: Im CRM steht neben jedem Lead mit Telefonnummer ein Knopf, der einen WhatsApp-Chat mit dieser Nummer öffnet.

Welche Daten: Beim Klick geht die Telefonnummer des Leads als Teil der Adresse an die Meta Platforms Ireland Ltd., dazu deine eigene IP-Adresse und Browserkennung. Es ist ein gewöhnlicher Link, wie ein Klick auf eine Web-Adresse: es wird kein Skript geladen, keine Schnittstelle angesprochen und nichts übertragen, solange niemand klickt.

Wann: Nur wenn du selbst darauf klickst, im Panel, und nur dann. Der Besucher deines Funnels bekommt davon nichts zu sehen, und ohne Telefonnummer gibt es den Knopf gar nicht.

Was du bedenken solltest: Du entscheidest mit dem Klick, die Nummer deines Interessenten an Meta zu geben. Wenn du über WhatsApp geschäftlich schreibst, gehört das in deine eigene Datenschutzerklärung. Der Textbaustein unten beschreibt den Fall.

Textbaustein:

Wenn wir Sie über WhatsApp kontaktieren, verarbeitet die Meta Platforms
Ireland Ltd. Ihre Telefonnummer und die Inhalte der Unterhaltung. Wir setzen
WhatsApp nur ein, wenn Sie uns Ihre Nummer gegeben haben und ein Kontakt über
diesen Weg naheliegt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO
(Vertragsanbahnung) bzw. lit. f DSGVO. Sie können uns jederzeit sagen, dass
Sie einen anderen Weg bevorzugen.

Was NICHT läuft

Ein paar Dinge, nach denen oft gefragt wird, weil sie auf anderen Seiten üblich sind:

• Keine Schriften von einem fremden Server. Sie sind mitgeliefert oder liegen in deinem Speicher bei Supabase. Es geht keine Anfrage an Google Fonts.
• Kein Captcha. Das wäre ein weiterer Dienst im Formular. Der Schutz vor Bots läuft ohne, und der Besucher merkt nichts davon.
• Keine Cookies für unsere eigene Zählung. Sie benutzt eine Zufallszahl, die verschwindet, sobald der Tab zugeht.
• Kein Werbe-Netzwerk außer dem, das du selbst einträgst. Ohne Pixel-ID und ohne Mess-ID gibt es gar keinen Banner, weil nichts zu fragen ist.

Wenn sich etwas ändert

Diese Liste beschreibt den Stand der Software. Kommt eine neue Anbindung dazu, wird sie hier ergänzt, und deine Erklärung sollte dann mitziehen. Am einfachsten schaust du nach einem größeren Update kurz hier vorbei.

Wo du deine eigenen Rechtstexte einträgst, steht unter Impressum und Datenschutz im Funnel.