Datenschutzerklärung

Letzte Aktualisierung: 29 juillet 2026 (2)

Expeteo SARL, Betreiberin der Marke Pulsar (nachfolgend "Pulsar", "wir"), misst dem Schutz personenbezogener Daten besondere Bedeutung bei. Die vorliegende Erklärung beschreibt, wie die Daten im Rahmen des Dienstes Pulsar Analytics (analytics.pulsar.lu) verarbeitet werden, gemäss der Verordnung (EU) 2016/679 ("DSGVO"), der Richtlinie 2002/58/EG ("ePrivacy") und, für betroffene Personen in der Schweiz, dem Schweizer Bundesgesetz über den Datenschutz ("nDSG").

Diese Erklärung unterscheidet zwei Teile, die zwei unterschiedlichen rechtlichen Rollen entsprechen:

Teil A: die Daten der Kunden und Nutzer von Pulsar (Konten, Abrechnung). Der Anbieter ist Verantwortlicher.
Teil B: die über das Pulsar-Pixel auf den Websites unserer Kunden erhobenen Reichweitendaten. Der Anbieter handelt als Auftragsverarbeiter (Artikel 28 DSGVO), im Auftrag des Kunden, der Verantwortlicher ist.

Kontaktangaben

Verantwortlicher (Teil A): Expeteo SARL, Op der Haart 28, L-9999 Wemperhardt, Luxembourg. RCS Luxemburg: B212614.
Kontaktstelle für den Datenschutz: privacy@pulsar.lu.
Mangels benannten Datenschutzbeauftragten (DSB) dient die vorstehende Kontaktstelle als Ansprechpartner für alle Fragen zu den Daten.

Teil A: Daten der Kunden und Nutzer von Pulsar

Für diese Verarbeitungen ist Expeteo SARL Verantwortlicher im Sinne von Artikel 4 Nummer 7 DSGVO.

A.1. Kontoverwaltung und Bereitstellung des Dienstes

Zweck: Erstellung und Verwaltung des Kontos, Authentifizierung, Bereitstellung und Administration des Dienstes, Support.
Rechtsgrundlage: Erfüllung des Vertrags (Artikel 6 Absatz 1 Buchstabe b DSGVO).
Datenkategorien: Identität, E-Mail-Adresse, Zugangsdaten, Konfigurationsdaten, technische Verbindungsprotokolle.
Empfänger: befugtes Personal des Anbieters; Hoster (Infomaniak Network SA).
Aufbewahrungsdauer: Dauer der Vertragsbeziehung, danach begrenzte Zwischenarchivierung zu Beweiszwecken und zur Erfüllung gesetzlicher Pflichten.

A.2. Abrechnung und Zahlung

Zweck: Verwaltung der Abonnements, Abrechnung, Einzug, Betrugsprävention.
Rechtsgrundlage: Erfüllung des Vertrags (Art. 6 Abs. 1 lit. b) sowie gesetzliche buchhalterische und steuerliche Pflichten (Art. 6 Abs. 1 lit. c).
Datenkategorien: Rechnungsdaten (Firmenname, Adresse, USt-IdNr.), Abonnementverlauf, Transaktionsdaten. Kartendaten werden unmittelbar von Stripe verarbeitet; der Anbieter hat keinen Zugriff auf die vollständige Kartennummer.
Empfänger: Stripe (Stripe Payments Europe, Limited); gegebenenfalls die Buchhaltung und die Steuerverwaltung.
Aufbewahrungsdauer: Buchhaltungsunterlagen werden für die in Luxemburg geltende gesetzliche Dauer aufbewahrt (zehn Jahre).

A.3. Kommunikation und Verbesserung des Dienstes

Zweck: Informationen zum Dienst, Beantwortung von Anfragen, Verbesserung und Sicherheit.
Rechtsgrundlage: berechtigtes Interesse (Art. 6 Abs. 1 lit. f); Erfüllung des Vertrags für dienstbezogene Mitteilungen. Jede kommerzielle Ansprache auf elektronischem Weg beruht auf der Einwilligung oder dem berechtigten Interesse nach den Bedingungen der ePrivacy-Richtlinie.
Aufbewahrungsdauer: die für den Zweck erforderliche Zeit, danach Löschung oder Anonymisierung.

A.4. Kostenlose Konformitätsanalyse (Scanner)

Zweck: Bereitstellung des Ergebnisses an die anfragende Person, anschließend Beobachtung der Nutzung des Werkzeugs und Verbesserung der durchgeführten Prüfungen.
Rechtsgrundlage: berechtigtes Interesse (Artikel 6 Absatz 1 Buchstabe f DSGVO) an der Kenntnis der Nutzung eines kostenlos bereitgestellten öffentlichen Werkzeugs.
Datenkategorien: der analysierte Domainname, das Datum, die Bewertung und die Art der festgestellten Punkte. Die vollständige Adresse der Seite, die URL-Parameter und die IP-Adresse der anfragenden Person werden nicht gespeichert. Ein Unternehmensdomainname ist grundsätzlich kein personenbezogenes Datum; er kann es werden, wenn er dem Namen einer natürlichen Person entspricht.
Empfänger: befugtes Personal des Anbieters. Keine Weitergabe an Dritte, kein Weiterverkauf.
Aufbewahrungsdauer: zwölf Monate ab der Analyse, danach automatische Löschung.
Widerspruch: Die Löschung einer Analyse kann jederzeit unter privacy@pulsar.lu verlangt werden, unter Angabe der betreffenden Domain.

A.5. Gesetzliche Pflichten und Streitbeilegung

Einhaltung gesetzlicher Pflichten und Verteidigung von Rechten vor Gericht. Rechtsgrundlage: rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c) und berechtigtes Interesse (Art. 6 Abs. 1 lit. f). Aufbewahrung für die Dauer der geltenden Verjährungsfristen.

A.6. Empfänger und Auftragsverarbeiter

Infomaniak Network SA (Schweiz): Hosting.
Stripe Payments Europe, Limited (Irland, EU): Zahlungsabwicklung.
Gegebenenfalls in der Europäischen Union niedergelassene Support- und E-Mail-Dienstleister.

A.7. Übermittlungen ausserhalb der Europäischen Union

Anwendungsserver und Erfassungsserver befinden sich in der Schweiz, für die ein Angemessenheitsbeschluss der Europäischen Kommission besteht. Die Abrechnungsdaten werden in der Europäischen Union verarbeitet, bei Stripe (Irland). Wird ein Dienstleister herangezogen, der Daten ohne Angemessenheitsbeschluss ausserhalb des Europäischen Wirtschaftsraums übermitteln könnte, werden solche Vorgänge durch geeignete Garantien im Sinne der Artikel 44 bis 49 DSGVO abgesichert, insbesondere durch Standardvertragsklauseln.

A.8. Rechte der betroffenen Personen

Gemäss den Artikeln 15 bis 22 DSGVO hat jede betroffene Person die folgenden Rechte:

Auskunftsrecht (Artikel 15);
Recht auf Berichtigung (Artikel 16);
Recht auf Löschung (Artikel 17);
Recht auf Einschränkung der Verarbeitung (Artikel 18);
Recht auf Datenübertragbarkeit (Artikel 20);
Widerspruchsrecht (Artikel 21), insbesondere gegen auf berechtigtem Interesse beruhende Verarbeitungen.

Diese Rechte werden per Schreiben an privacy@pulsar.lu ausgeübt. Eine Antwort erfolgt innerhalb der von der DSGVO vorgesehenen Fristen (grundsätzlich ein Monat, verlängerbar). Bei begründeten Zweifeln kann ein Identitätsnachweis verlangt werden.

A.9. Beschwerde bei einer Aufsichtsbehörde

in Luxemburg: Commission nationale pour la protection des données (CNPD), 15, boulevard du Jazz, L-4370 Belvaux, Luxemburg, cnpd.public.lu;
oder bei der Aufsichtsbehörde des Mitgliedstaats des Aufenthaltsorts, des Arbeitsplatzes oder des Orts des mutmasslichen Verstosses;
für betroffene Personen in der Schweiz: Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB), Feldeggweg 1, CH-3003 Bern.

Teil B: über das Pulsar-Pixel erhobene Reichweitendaten

Für diese Verarbeitungen handelt der Anbieter als Auftragsverarbeiter (Artikel 28 DSGVO), im Auftrag seines Kunden, der Verantwortlicher ist. Der Kunde bestimmt die Zwecke und Mittel der Reichweitenmessung seiner eigenen Websites; der Anbieter verarbeitet die Daten ausschliesslich nach dessen dokumentierten Weisungen.

B.1. Art der Erhebung: Reichweitenmessung ohne Cookies

Das Pulsar-Pixel ist nach dem Grundsatz des Datenschutzes durch Technikgestaltung (Artikel 25 DSGVO) konzipiert:

Kein Cookie, keine Speicherung auf dem Endgerät des Besuchers (weder Cookie noch localStorage).
IP-Adresse: ausschliesslich serverseitig verwendet, um einen Ländercode und einen Ortsnamen abzuleiten, danach sofort gekürzt und anonymisiert. Nie im Klartext gespeichert.
Bestelldaten (Shops, nach Aktivierung): Bestellnummer, Betrag, Waehrung und Produktbezeichnungen. Keine Kundendaten werden uebertragen: weder Name noch Anschrift noch E-Mail. Die Bestellnummer dient dem buchhalterischen Abgleich und der Vermeidung von Doppelzaehlungen.
Interaktion mit Formularen: Namen der angesteuerten Felder und deren Reihenfolge, um zu erkennen, welche Felder zum Abbruch führen. Kein eingegebener Wert wird gelesen oder übertragen, Passwortfelder werden bis zum Namen ignoriert.
Besucherkennung: ein täglich rotierender, nicht dauerhafter Hash (Lebensdauer unter 24 Stunden), berechnet mit einem geheimen Salt. Er erlaubt es nicht, eine Person von einem Tag auf den anderen oder von einer Sitzung zur nächsten zu verfolgen.
Trennung nach Website: Jede Website ist abgeschottet, eine websiteübergreifende Verknüpfung ist unmöglich. Kein Werbeprofil, kein Retargeting.
Kein Fingerprinting: kein Canvas/WebGL und keine Kombination individualisierender Attribute.
Aggregierte Daten: Die dargestellten Statistiken enthalten keine direkt identifizierenden Daten.

Heatmaps (pro Website aktivierbare Option). Der Kunde kann Website für Website eine Messung von aggregierten Heatmaps aktivieren: Die Position der Klicks und eine Stichprobe von Cursorbewegungen werden je Zelle und je Seite gezählt, ohne jede Kennung und ohne Möglichkeit, die Navigation einer Einzelperson zu rekonstruieren (im Unterschied zu einer Sitzungsaufzeichnung, die Pulsar nicht durchführt). Formularfelder und mit data-pulsar-mask markierte Bereiche sind von der Messung ausgeschlossen; keine Eingabe, kein Feldinhalt wird erhoben. Diese Messung bleibt cookiefrei und ohne Speicherung auf dem Endgerät des Besuchers. Eine Vorschau der öffentlichen Seite kann serverseitig erfasst werden, um als Hintergrund für die Heatmaps zu dienen.

B.2. Zweck, Rechtsgrundlage und Rollen der Parteien

Zweck: aggregierte Reichweitenmessung der Websites des Kunden, ausschliesslich zu statistischen Zwecken, unter Ausschluss jeder Nutzung für Werbung, Personalisierung oder Retargeting.
Rechtsgrundlage: vom Kunden als Verantwortlichem nach Artikel 6 DSGVO bestimmt (in der Praxis das berechtigte Interesse für die rein statistische Messung oder die Einwilligung, wenn der Kunde sie für erforderlich hält).
Rolle des Anbieters: Auftragsverarbeiter, der auf dokumentierte Weisung des Kunden handelt.

B.3. Befreiung von der Einwilligung nach Artikel 5 Absatz 3 der ePrivacy-Richtlinie

Das Pulsar-Pixel speichert und liest keine Informationen auf dem Endgerät des Besuchers über das strikt Notwendige hinaus und verwendet weder Cookies noch eine stabile Kennung. In dieser Konfiguration ist der Zugriff auf das Endgerät, der das Einwilligungserfordernis nach Artikel 5 Absatz 3 der Richtlinie 2002/58/EG auslöst, nicht gegeben, und die Reichweitenmessung kann von der Befreiung von der Einwilligung profitieren. Diese Befreiung setzt voraus, dass die folgenden Bedingungen weiterhin erfüllt sind:

die Messung dient allein dem statistischen Zweck der Website und ist für deren Bereitstellung strikt erforderlich;
die Daten werden weder mit anderen Verarbeitungen zusammengeführt noch an Dritte übermittelt;
es findet keine Verfolgung der Navigation über verschiedene Websites oder Anwendungen hinweg statt;
die erzeugten Daten sind anonym oder strikt auf die Erstellung anonymer Statistiken beschränkt.

Es obliegt dem Kunden als Verantwortlichem zu prüfen, dass seine Nutzung diese Bedingungen erfüllt, und bei einer davon abweichenden Konfiguration die erforderliche Einwilligung einzuholen und seine Besucher zu informieren (Artikel 13 und 14 DSGVO).

B.4. Import der Google-Analytics-4-Historie (Option)

Aktiviert der Kunde den Import seiner Google-Analytics-4-Historie, erteilt er einer Adresse aus einem vom Anbieter verwalteten Pool Lesezugriff auf seine eigene GA4-Property. Die importierten Daten stammen aus dem Google-Analytics-Konto des Kunden, für das er Verantwortlicher bleibt. Der Anbieter verwendet sie ausschliesslich, um dem Kunden die Historie im Dienst darzustellen.

B.5. Auftragsverarbeitung gemäss Artikel 28 DSGVO

Als Auftragsverarbeiter stellt der Anbieter dem Kunden einen Auftragsverarbeitungsvertrag (AVV) gemäss Artikel 28 Absatz 3 DSGVO zur Verfügung (ebenfalls auf Anfrage unter privacy@pulsar.lu erhältlich). Dieser Vertrag sieht insbesondere vor:

die Daten ausschliesslich auf dokumentierte Weisung des Kunden zu verarbeiten;
die Vertraulichkeit der zur Verarbeitung befugten Personen zu gewährleisten;
geeignete Sicherheitsmassnahmen umzusetzen (Artikel 32);
die Heranziehung weiterer Auftragsverarbeiter mit gleichwertigen Pflichten zu regeln;
den Kunden bei Anträgen betroffener Personen, bei Verletzungen und bei Folgenabschätzungen zu unterstützen (Artikel 32 bis 36);
die Daten am Ende der Leistung nach Wahl des Kunden zu löschen oder zurückzugeben;
die erforderlichen Informationen bereitzustellen und Überprüfungen zu ermöglichen.

Der Anbieter führt das Verzeichnis der Kategorien von Verarbeitungstätigkeiten, die er im Auftrag seiner Kunden durchführt (Artikel 30 Absatz 2 DSGVO).

B.6. Weitere Auftragsverarbeiter und Hosting

Die Reichweitendaten werden in der Schweiz gehostet und verarbeitet:

Infomaniak Network SA (Schweiz): Hosting des Anwendungsservers und des Erfassungsservers.

Die Liste der weiteren Auftragsverarbeiter wird im Rahmen des AVV mitgeteilt und aktuell gehalten; der Kunde wird über jede Änderung informiert.

B.7. Sicherheit (Artikel 32 DSGVO)

Der Anbieter setzt geeignete technische und organisatorische Massnahmen um: Verschlüsselung bei der Übertragung (HTTPS) und im Ruhezustand, Trennung nach Website, Datenminimierung, Kürzung der IP-Adresse, nicht dauerhafter Tages-Hash, Zugriffskontrolle, Protokollierung und Ratenbegrenzung des Erfassungsendpunkts.

B.8. Verletzungen des Schutzes personenbezogener Daten (Artikel 33 und 34 DSGVO)

Im Fall einer Verletzung, die die Reichweitendaten betrifft, benachrichtigt der Anbieter als Auftragsverarbeiter den Kunden unverzüglich, damit dieser seinen Pflichten zur Meldung an die Aufsichtsbehörde (Artikel 33) und zur Benachrichtigung der betroffenen Personen (Artikel 34) nachkommen kann.

B.9. Übermittlungen ausserhalb der Europäischen Union

Es findet keine Übermittlung der Reichweitendaten ausserhalb der Schweiz statt, für die ein Angemessenheitsbeschluss besteht. Bei punktueller Heranziehung eines Dienstleisters ausserhalb des EWR ohne Angemessenheitsbeschluss würden geeignete Garantien im Sinne der Artikel 44 bis 49 DSGVO eingerichtet.

B.10. Aufbewahrungsdauer

Rohdaten der Reichweitenmessung werden höchstens 25 Monate aufbewahrt und danach gelöscht oder nur noch in Form statistischer Aggregate ohne individualisierende Daten aufbewahrt. Die aggregierten Daten der Heatmaps (Zähler je Zelle und je Seite) werden höchstens 12 Monate aufbewahrt.

B.11. Rechte der betroffenen Personen

Angesichts des Fehlens einer dauerhaften Kennung und direkt identifizierender Daten erlauben die Reichweitendaten grundsätzlich keine Re-Identifizierung einer Person (Artikel 11 DSGVO). Anträge zu einer bestimmten Website sind an den Kunden zu richten, der Verantwortlicher dieser Website ist. Der Anbieter unterstützt den Kunden bei der Bearbeitung dieser Anträge.

Änderung dieser Erklärung

Diese Erklärung kann aktualisiert werden, um rechtlichen, regulatorischen oder technischen Entwicklungen Rechnung zu tragen. Die geltende Fassung ist die auf analytics.pulsar.lu veröffentlichte. Über wesentliche Änderungen werden die Kunden auf geeignete Weise informiert.