Cookie-Richtlinie

Stand: 27. Mai 2026

Maßgebliche Sprachfassung. Diese Fassung ist eine Übersetzung. Verbindlich ist die englische Fassung (cookies.en.md). Diese deutsche Fassung wird auf den deutschsprachigen Oberflächen der Website ausgespielt, um dem Erfordernis effektiver deutschsprachiger Zugänglichkeit nach § 5 DDG zu genügen. Bei Widersprüchen zwischen den Sprachfassungen ist die englische Fassung maßgeblich — außer bei Angelegenheiten, die ausschließlich dem deutschen Telemedienrecht unterliegen; dort ist die deutsche Formulierung die maßgebliche.

#1. Einleitung

Diese Cookie-Richtlinie erläutert, wie JJ Online GmbH („wir", „uns", „unser"), die Uptimia unter https://uptimia.com (die „Website") betreibt, Cookies und ähnliche Tracking-Technologien auf der Website selbst einsetzt.

Diese Richtlinie behandelt Cookies und Speicher, die wir auf uptimia.com setzen — die Marketing-Website, das Blog, die kostenlosen öffentlichen Verfügbarkeits-/Speed-Tools, von Uptimia gehostete öffentliche Statusseiten sowie das authentifizierte Kontrollpanel unter uptimia.com/cp.

Sie behandelt keinen Speicher, der auf Third-Party-Websites geschrieben wird, auf denen Sie unseren Real User Monitoring (RUM)-Beacon, unsere Server-Agent-Skripte oder unsere Sprach-SDKs eingesetzt haben. Diese laufen auf Ihrer Infrastruktur und unterliegen Ihrer eigenen Cookie-Richtlinie unter Ihrer Verantwortung als Verantwortlicher der Daten Ihrer Besucher. Zur Rollenverteilung siehe Datenschutzerklärung § 7.

Diese Richtlinie ist zusammen mit unserer Datenschutzerklärung zu lesen.

#2. Was als „Cookie" in dieser Richtlinie gilt

§ 25 TDDDG (die deutsche Umsetzung der ePrivacy-Richtlinie (Richtlinie 2002/58/EG), Art. 5 Abs. 3) erfasst jede „Speicherung von Informationen in der Endeinrichtung des Endnutzers oder den Zugriff auf bereits in der Endeinrichtung gespeicherte Informationen". Diese Richtlinie behandelt daher die folgenden Technologien gleichwertig:

• HTTP-Cookies — Textwerte, die im Cookie-Speicher Ihres Browsers abgelegt werden
• Local Storage (localStorage) — Schlüssel-Wert-Daten, die in Ihrem Browser gespeichert werden, bis Sie sie löschen
• Session Storage (sessionStorage) — Schlüssel-Wert-Daten, die nur für die aktuelle Tab-Sitzung gespeichert werden
• Web-Beacons / Pixel — transparente Bilder, die in Seiten (und, sofern zutreffend, in E-Mails) eingebettet sind, um Öffnungen oder Ladevorgänge zu erfassen

Im gesamten Dokument bezeichnen wir all diese Technologien als „Cookies".

Das serverseitige Auslesen von Anfrage-Metadaten (IP-Adresse, User-Agent, Header, die der Browser freiwillig in der HTTP-Anfrage übermittelt) wird von dieser Cookie-Richtlinie nicht erfasst. Es handelt sich dabei nicht um eine „Speicherung von Informationen in der Endeinrichtung oder einen Zugriff auf bereits in der Endeinrichtung gespeicherte Informationen" im Sinne von § 25 TDDDG. Die Rechtmäßigkeit wird allein nach Art. 6 DSGVO beurteilt und ist in § 8 unten beschrieben.

#3. Verwendete Kategorien

Wir klassifizieren Cookies anhand der vier Kategorien, die von den deutschen Datenschutzaufsichtsbehörden verwendet werden:

• Technisch notwendig — für die Funktion der Website erforderlich: Authentifizierung, Sitzungs-Kontinuität, Sicherheit, im authentifizierten Kontrollpanel persistierte UI-Zustände. Wird ohne Einwilligung auf Grundlage von § 25 Abs. 2 Nr. 2 TDDDG gesetzt („unbedingt erforderlich, damit der Anbieter eines Telemediendienstes einen vom Nutzer ausdrücklich gewünschten Telemediendienst zur Verfügung stellen kann").
• Funktional — UI-Einstellungen und Opt-in-Komfortfunktionen über das technisch Notwendige hinaus. Wird nur mit Einwilligung gesetzt (das „Remember me"-Häkchen bei der Anmeldung oder die entsprechende Kategorie in den Cookie-Einstellungen des Kontrollpanels — siehe § 4).
• Analyse — Seitenaufruf- oder Verhaltensmessung. Wird nur mit Einwilligung gesetzt. (Auf uptimia.com setzen wir derzeit keine Analyse-Cookies — siehe § 4.)
• Marketing — Affiliate-Attribution, Werbung, Remarketing. Wird nur mit Einwilligung gesetzt.

#4. Verwendete Cookies

Die folgende Tabelle führt jedes Cookie und jeden localStorage-/sessionStorage-Eintrag auf, das bzw. den wir auf dieser Website setzen oder auslesen.

#4.1 First-Party-Cookies — vom Uptimia-Backend gesetzt

Diese vier HTTP-Cookies werden vom Uptimia-Kontrollpanel nach der Anmeldung gesetzt. Alle werden mit HttpOnly, Secure, SameSite=Lax, Path=/ gesetzt. Alle werden bei der Abmeldung (/cp/logout) gelöscht.

Name	Zweck (in einfachen Worten)	Speicher	Dauer	Kategorie	Rechtsgrundlage (§ 25 TDDDG / Art. 6 DSGVO)
uptimia_sess_id	Hält Sie zwischen Besuchen im Kontrollpanel angemeldet; ermöglicht es dem Server, Ihr Konto bei jeder Anfrage zu identifizieren.	HTTP-Cookie (HttpOnly, Secure, SameSite=Lax)	30 Tage	Technisch notwendig	§ 25 Abs. 2 Nr. 2 TDDDG · Art. 6 Abs. 1 lit. b DSGVO
uptimia_sess_2fa	Vermerkt, dass Sie in dieser Sitzung die Zwei-Faktor-Authentifizierung abgeschlossen haben, damit wir Sie nicht bei jeder Anfrage erneut auffordern.	HTTP-Cookie (HttpOnly, Secure, SameSite=Lax)	30 Tage	Technisch notwendig	§ 25 Abs. 2 Nr. 2 TDDDG · Art. 6 Abs. 1 lit. b DSGVO
uptimia_remember_id	Die Nutzer-Identifikator-Hälfte des Opt-in-Paares „Remember me", wird nur gesetzt, wenn Sie bei der Anmeldung „Remember me" aktiv angekreuzt haben. Ohne dieses Paar müssten Sie sich nach jedem Schließen des Browsers erneut anmelden.	HTTP-Cookie (HttpOnly, Secure, SameSite=Lax)	30 Tage	Funktional	§ 25 Abs. 1 TDDDG · Art. 6 Abs. 1 lit. a DSGVO
uptimia_remember_token	Die undurchsichtige Token-Hälfte des „Remember me"-Paares. Siehe uptimia_remember_id oben.	HTTP-Cookie (HttpOnly, Secure, SameSite=Lax)	30 Tage	Funktional	§ 25 Abs. 1 TDDDG · Art. 6 Abs. 1 lit. a DSGVO

Das aktive Ankreuzen von „Remember me" bei der Anmeldung ist die bestätigende Einwilligungshandlung nach § 25 Abs. 1 TDDDG und zugleich die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO für die persistente Anmeldefunktion. Die 30-Tage-Dauer ist das maximale Intervall, bevor eine erneute Authentifizierung erforderlich ist; sie ist an dieselbe Lebensdauer wie das zugrunde liegende Session-Token gebunden, sodass „gemerkte" Anmeldungen das Session-Integritätsfenster nicht überdauern.

Im Normalbetrieb setzen wir keine weiteren HTTP-Cookies. Es gibt kein separates Framework-Session-Cookie (kein PHPSESSID) und kein separates cookie-gebundenes CSRF-Token — der CSRF-Schutz ist an die serverseitige Session gebunden.

#4.2 First-Party-Speicher im authentifizierten Kontrollpanel

Diese Einträge werden von der React-Kontrollpanel-Anwendung unter uptimia.com/cp/… geschrieben, nachdem Sie sich angemeldet haben. Sie lassen sich in zwei Gruppen einteilen:

• Die nachfolgenden vier localStorage-UI-Einstellungen sind Funktional nach § 25 Abs. 1 TDDDG (Art. 6 Abs. 1 lit. a DSGVO). Sie speichern Komfort-Einstellungen über Sitzungen hinweg; das Kontrollpanel wird auch ohne sie mit sinnvollen Voreinstellungen angezeigt. Die Einwilligung dafür wird über einen Cookie-Einstellungs-Schalter innerhalb des Kontrollpanels eingeholt; sie werden erst nach Ihrer Einwilligung geschrieben.
• date_range_picker_state (sessionStorage) ist Technisch notwendig nach § 25 Abs. 2 Nr. 2 TDDDG: Der Eintrag überträgt den aktuellen Dashboard-Datumsfilter zwischen Seiten innerhalb einer einzelnen Tab-Sitzung, was eine Zustandskontinuität innerhalb des von Ihnen aktiv angeforderten Dienstes darstellt.

Name	Zweck	Speicher	Dauer	Kategorie	Rechtsgrundlage (§ 25 TDDDG / Art. 6 DSGVO)
theme	Light-/Dark-Theme-Einstellung für das Kontrollpanel.	localStorage	Bis Sie den Browser-Speicher leeren	Funktional	§ 25 Abs. 1 TDDDG · Art. 6 Abs. 1 lit. a DSGVO
sidebar-collapsed	Ob die Seitenleiste des Kontrollpanels eingeklappt oder ausgeklappt ist.	localStorage	Bis Sie den Browser-Speicher leeren	Funktional	§ 25 Abs. 1 TDDDG · Art. 6 Abs. 1 lit. a DSGVO
dashboard_view_mode	Ob das Monitor-Dashboard auf Raster- oder Listenansicht eingestellt ist.	localStorage	Bis Sie den Browser-Speicher leeren	Funktional	§ 25 Abs. 1 TDDDG · Art. 6 Abs. 1 lit. a DSGVO
onboarding_skipped	Vermerkt, dass Sie den Onboarding-Assistenten abgeschlossen oder übersprungen haben, damit wir Sie nicht bei jeder Anmeldung erneut auffordern.	localStorage	Bis Sie den Browser-Speicher leeren	Funktional	§ 25 Abs. 1 TDDDG · Art. 6 Abs. 1 lit. a DSGVO
date_range_picker_state	Das im Dashboard-Datumsfilter ausgewählte Start-/Enddatum und der Voreinstellungs-Name; wird zwischen Seiten innerhalb derselben Tab-Sitzung übertragen.	sessionStorage	Wird beim Schließen des Tabs oder Browsers gelöscht	Technisch notwendig	§ 25 Abs. 2 Nr. 2 TDDDG · Art. 6 Abs. 1 lit. b DSGVO

Die Marketing-Website, das Blog, die kostenlosen öffentlichen Tools und die von Uptimia gehosteten öffentlichen Statusseiten schreiben keine First-Party-localStorage- oder sessionStorage-Einträge.

#4.3 Auf der Marketing-Website geladene Third-Party-Skripte

Die folgenden Skripte werden auf den Marketing-Seiten von uptimia.com geladen. Sie sind hier aufgeführt, damit Sie sie in den Entwickler-Tools des Browsers identifizieren können.

Geladen auf	Anbieter	Funktion	Kategorie	Speicher- / Netzwerk-Exposition
Marketing-Seiten (Footer-Einbindung)	Datriva (betrieben von JJ Online GmbH — derselben juristischen Person, die auch Uptimia betreibt)	Cookie-Einwilligungs-Verwaltungsplattform — zeigt den Einwilligungs-Banner an und vermerkt Ihre Einwilligungs-Entscheidung. Wir setzen die CMP unseres eigenen Konzerns selbst ein. Da Datriva von derselben juristischen Person wie Uptimia betrieben wird, besteht für diesen Vorgang weder ein Verantwortlicher-zu-Auftragsverarbeiter- noch ein Gemeinsam-Verantwortliche-Verhältnis, und es entsteht keine Übermittlung nach Kapitel V DSGVO (das Asset wird aus der eigenen Infrastruktur der JJ Online GmbH innerhalb des EWR ausgeliefert).	Technisch notwendig	Schreibt einen First-Party-Einwilligungsdatensatz auf uptimia.com. Das Skript-Asset wird von datriva.com geladen.
Marketing-Seiten, nur wenn die URL ?via=<code> enthält; und das authentifizierte Kontrollpanel bei der Registrierung	FirstPromoter (Igil Webs SRL, Rumänien)	Affiliate-/Empfehlungs-Attribution. Auf einer Marketing-Seite vermerkt FirstPromoter, wenn Sie über einen Partner-Link ankommen, den Partner-Code, damit eine spätere Registrierung zugeordnet werden kann. Im Kontrollpanel wird bei erfolgreicher Registrierung ein einzelnes Referral-Ereignis ausgelöst.	Marketing	fpr_*-Cookies und localStorage-Einträge, die vom FirstPromoter-SDK auf uptimia.com gesetzt werden.
Marketing-Seiten (Footer-Einbindung)	HelpCanvas (Schwesterprodukt der JJ Online GmbH)	In-App-Chat-Widget für den Besucher-Support. Derselbe Verantwortliche.	Funktional	Speicher, der vom HelpCanvas-Widget geschrieben wird (z. B. eine undurchsichtige Konversations-Kennung, das eigene Einwilligungs-Flag des Widgets).

Der Datriva-Banner wird beim ersten Besuch vor der Einwilligung geladen, weil der Banner gerendert werden muss, um überhaupt fragen zu können — seine eigene Speicherung des Meta-Einwilligungsdatensatzes fällt selbst unter den Strictly-Necessary-Carve-out des § 25 Abs. 2 Nr. 2 TDDDG (Planet49-Logik). FirstPromoter und das HelpCanvas-Widget sind nicht erforderlich und werden erst geladen, nachdem Sie die entsprechende Einwilligungs-Kategorie akzeptiert haben (Marketing für FirstPromoter; Funktional für das HelpCanvas-Widget). Siehe § 6.2 unten zum Einwilligungs-Gating.

#4.4 Öffentliche Statusseiten

Von Uptimia gehostete öffentliche Statusseiten (Seiten, die Sie über Uptimia veröffentlichen, um Ihren Besuchern Ihren eigenen Dienststatus mitzuteilen) sind bewusst von jedem Analytics-, Error-Tracking- und Chat-Tag befreit — verifiziert gegen die Produktions-Codebasis am 26.05.2026. Sie werden serverseitig nur als HTML + CSS + Bilder gerendert. Kein First-Party-Speicher, kein Third-Party-Speicher, kein Einwilligungs-Banner — weil nichts vorhanden ist, das einer Einwilligung bedürfte.

#4.5 Authentifiziertes Kontrollpanel — Third-Party-Skripte

Das Kontrollpanel unter uptimia.com/cp/… lädt nur ein Third-Party-Skript: FirstPromoter (siehe § 4.3). Dieses wird bei erfolgreicher Registrierung ausgelöst und überträgt Ihre Registrierungs-E-Mail-Adresse an FirstPromoter zum Zweck der Partner-Attribution.

Affiliate-/Empfehlungs-Attribution ist Marketing, keine Vertragserfüllung — der Nutzer hat den Monitoring-Dienst beauftragt, nicht die Partner-Auszahlung. Die Rechtsebenen sind dementsprechend:

• Ebene § 25 TDDDG. Eine Einwilligung nach § 25 Abs. 1 TDDDG ist erforderlich, weil der Attributionsvorgang für den angeforderten Dienst nicht technisch notwendig ist. Das Registrierungs-Ereignis wird daher nur ausgelöst, wenn Sie die Kategorie Marketing im Datriva-Banner auf der Marketing-Website vor der Registrierung akzeptiert haben. Wenn Sie Marketing nicht akzeptiert haben, wird das FirstPromoter-SDK nicht geladen und es wird kein Referral-Ereignis versendet, unabhängig davon, ob Sie über einen ?via=<code>-Link gekommen sind.
• Ebene Art. 6 DSGVO. Die zugrunde liegende Verarbeitung stützt sich auf Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse am Betrieb des Partnerprogramms — begrenzt durch die vorgenannte Einwilligung nach § 25 Abs. 1.

#4.6 Was wir bewusst nicht laden

Zur Klarstellung — und verifiziert gegen die Produktions-Codebasis am 26.05.2026 — laden wir auf uptimia.com keines der folgenden Skripte:

Google Analytics / GA4 / Google Tag Manager (geladen), Meta-/Facebook-Pixel, LinkedIn Insight Tag, X- (Twitter-) Pixel, Reddit-Pixel, TikTok-Pixel; Plausible, Matomo, Fathom, Umami; PostHog, Mixpanel, Segment, Amplitude; Hotjar, FullStory, LogRocket, Microsoft Clarity, Smartlook; Sentry-Browser-SDK; Intercom, Crisp, Drift, Tawk (HelpCanvas ist unser Chat); Optimizely, VWO, LaunchDarkly, Google Optimize; Stripe.js auf First-Party-Seiten (Stripe wird ausschließlich serverseitig genutzt — siehe § 4.7).

Keine E-Mail-Öffnungs-Tracking-Pixel. Wir betten in keinen unserer transaktionalen E-Mails oder Newsletter-E-Mails Öffnungs-Tracking-Pixel ein. Das Öffnungs-/Klick-Tracking ist auf Versanddienstleister-Ebene deaktiviert.

#4.7 Zahlungen — Stripe nur serverseitig

Wenn Sie einen kostenpflichtigen Uptimia-Tarif abonnieren, werden Sie zu checkout.stripe.com weitergeleitet. Während dieses Checkout-Vorgangs setzt Stripe auf checkout.stripe.com seine eigenen First-Party-Cookies, die dem eigenen Cookie-Hinweis von Stripe unterliegen. Auf uptimia.com wird kein Stripe.js geladen, und es werden keine Stripe-Cookies auf der uptimia.com-Domain gesetzt.

#4.8 Authentifizierung — Auth0 Hosted Login

Wenn Sie sich am Uptimia-Kontrollpanel anmelden, wird das Anmeldeformular von Auth0 (Auth0 EMEA Limited, Teil der Okta-Gruppe) auf einer separaten Auth0-Domain gehostet. Während des Authentifizierungs-Vorgangs setzt Auth0 auf der Auth0-Domain seine eigenen First-Party-Cookies — dazu können gehören: ein Session-Cookie für den laufenden Anmeldevorgang, ein Geräte-Kennung-Cookie, das von der Anomalie-Erkennungs-/Brute-Force-Schutzlogik von Auth0 verwendet wird, und ein vorübergehendes State-Cookie, sofern Sie die Option „Mit Google anmelden" oder „Mit GitHub anmelden" (Social-Verbindung) wählen (der OAuth-State-Parameter wird in diesem Cookie für die Dauer der Hin- und Rückübertragung zum Social-Anbieter gehalten).

Diese Cookies werden auf der Auth0-Domain gesetzt, nicht auf uptimia.com, und unterliegen den eigenen Datenschutz- und Cookie-Hinweisen von Auth0/Okta. Sobald die Anmeldung abgeschlossen ist, kehrt der Browser zu uptimia.com zurück, und die in § 4.1 beschriebenen First-Party-Session-Cookies von Uptimia übernehmen.

Rechtsgrundlage nach § 25 TDDDG und Art. 6 DSGVO. Das Auth0-Session-Cookie und das vorübergehende OAuth-State-Cookie sind technisch notwendig, um die von Ihnen angeforderte Anmeldung durchzuführen — der Authentifizierungs-Vorgang kann ohne sie nicht abgeschlossen werden. Sie sind daher von der Einwilligungspflicht nach § 25 Abs. 2 Nr. 2 TDDDG ausgenommen. Die zugrunde liegende Verarbeitung stützt sich auf Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Vertrags, auf dessen Grundlage Sie auf den Dienst zugreifen).

Das Auth0-Geräte-Kennung-Cookie für Anomalie-Erkennung und Brute-Force-Schutz liegt näher am Rand der Technisch-Notwendigkeits-Prüfung: Es dient einem Zweck der Dienstsicherheit und nicht der unmittelbaren Durchführung der Anmeldung. Wir behandeln es im Rahmen der Begründung der Dienstintegrität, die deutsche Datenschutzaufsichtsbehörden als Bestandteil des „vom Nutzer ausdrücklich gewünschten Telemediendienstes" anerkennen (§ 25 Abs. 2 Nr. 2 TDDDG), wobei Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Kontosicherheit und Missbrauchsabwehr) die DSGVO-Ebene bildet. Eine Aufsichtsbehörde könnte dieses Cookie alternativ als Funktional einstufen und eine Einwilligung verlangen; wir haben die Technisch-Notwendigkeits-Lesart gewählt und akzeptieren dieses Bewertungsrisiko, um die Anmeldung standardmäßig geschützt zu halten.

Auf uptimia.com selbst werden keine Auth0-Cookies gesetzt. Die Auth0-Cookies existieren ausschließlich auf der Auth0-Domain und haben keine Auswirkungen auf den Cookie-Zustand der Marketing-Website oder des authentifizierten Kontrollpanels.

Social-Login-Buttons — Click-to-Load-Muster. Die Buttons „Mit Google anmelden" und „Mit GitHub anmelden", die auf den Anmelde- und Registrierungsseiten erscheinen, laden keine Third-Party-Skripte und keine Cookies, bevor Sie sie aktiv anklicken. Im Einzelnen:

• Beim Laden der Seite sind die Social-Login-Buttons einfache HTML-Links. Es wird kein Auth0-SDK, keine gsi/client-Bibliothek von Google, kein GitHub-Skript und keine Google-One-Tap-Oberfläche geladen; es werden keine Anfragen an cdn.auth0.com, accounts.google.com oder github.com gestellt; und keine dieser Domains setzt Cookies auf uptimia.com oder in ihrem eigenen First-Party-Kontext auf Ihrer Endeinrichtung.
• Nur wenn Sie den Google- oder GitHub-Button anklicken, wird das Auth0-SDK (auth0.min.js) dynamisch von cdn.auth0.com nachgeladen; anschließend werden Sie sofort zu Auth0 — und von dort zu Google bzw. GitHub — weitergeleitet, um den OAuth-Vorgang abzuschließen. Cookies, die während dieser Hin- und Rückübertragung gesetzt werden, werden im First-Party-Kontext von Auth0, Google bzw. GitHub auf deren eigenen Domains gesetzt, nicht auf uptimia.com.
• Dieses Click-to-Load-Muster bedeutet, dass der einschlägige Trigger nach § 25 Abs. 1 TDDDG (Speicherung von Informationen in der Endeinrichtung oder Zugriff auf bereits dort gespeicherte Informationen durch einen Dritten) auf uptimia.com erst eintritt, wenn Sie eindeutig auf einen mit „Mit Google anmelden" / „Mit GitHub anmelden" beschrifteten Button klicken — eine Handlung, die selbst zum Ausdruck bringt, dass Sie den Social-Anbieter aufrufen möchten. Wir verlassen uns für das Gating dieses Ladens nicht auf den Cookie-Banner, weil das Laden bereits durch Ihren eigenen Klick gegated ist; § 25 Abs. 2 Nr. 2 TDDDG erfasst die technisch notwendigen Cookies, die Auth0/Google/GitHub nach diesem Klick setzen, um die von Ihnen angeforderte Anmeldung abzuschließen.

#5. Third-Party-Cookies — Offenlegung

Die oben genannten Dritten verarbeiten Daten nach ihren eigenen Datenschutzerklärungen und handeln darüber hinaus, soweit anwendbar, auf unsere Weisung im Rahmen schriftlicher Auftragsverarbeitungsvereinbarungen. Ihre eigenen Datenschutzpraktiken unterliegen:

• Datriva (Schwesterprodukt der JJ Online GmbH) — https://datriva.com/p/privacy/
• FirstPromoter (Igil Webs SRL, Rumänien) — https://firstpromoter.com/privacy
• HelpCanvas (Schwesterprodukt der JJ Online GmbH) — https://helpcanvas.com/p/privacy/
• Auth0 / Okta (Auth0 EMEA Limited, Irland — Teil der Okta-Gruppe) — https://www.okta.com/privacy-policy/ (Cookies, die während des Anmeldevorgangs auf der Auth0-Domain gesetzt werden, siehe § 4.8)
• Stripe (Stripe Payments Europe Ltd., Irland) — https://stripe.com/privacy (Cookies, die während des Checkout-Vorgangs des kostenpflichtigen Tarifs auf checkout.stripe.com gesetzt werden, siehe § 4.7)

Sämtliche Übermittlungen an Empfänger außerhalb des EWR unterliegen dem jeweils einschlägigen Mechanismus nach Kapitel V DSGVO (Angemessenheitsbeschluss, Standardvertragsklauseln), wie in Datenschutzerklärung § 15 beschrieben.

#6. Wie wir die Cookie-Einwilligung einholen und verwalten

#6.1 Einholung der Einwilligung

Bei Ihrem ersten Besuch der Marketing-Website erscheint der Datriva-Cookie-Banner, bevor ein nicht erforderliches Cookie oder ein Third-Party-Netzwerkaufruf erfolgt. Der Banner:

• präsentiert die drei einwilligungspflichtigen Kategorien (Funktional, Analyse, Marketing) mit standardmäßig nicht angekreuzten Kästchen — keine vorausgewählten Kästchen (Planet49, EuGH C‑673/17); jede nicht erforderliche Kategorie ist Opt-in;
• bietet drei Optionen mit gleicher visueller Gewichtung: Alle akzeptieren, Alle ablehnen und Anpassen — im Einklang mit den EDPB-Leitlinien 03/2022 zu Deceptive Design Patterns und mit § 25 TDDDG; „Alle ablehnen" ist mit derselben Anzahl an Klicks erreichbar wie „Alle akzeptieren";
• vermerkt Ihre Entscheidung in einem First-Party-Einwilligungsdatensatz.

Technisch notwendige Cookies (die Uptimia-Session-Cookies in § 4.1, der date_range_picker_state-sessionStorage-Eintrag in § 4.2) und das Datriva-Banner-Skript selbst werden ohne Einwilligung auf Grundlage von § 25 Abs. 2 Nr. 2 TDDDG gesetzt.

#6.2 Einwilligungs-Gating für Third-Party-Skripte

Der Datriva-Banner gated nicht erforderliche Skripte (FirstPromoter, HelpCanvas-Widget) so, dass sie nicht geladen werden, bevor Sie die entsprechende Einwilligungs-Kategorie akzeptiert haben.

#6.3 Widerruf der Einwilligung — so einfach wie die Erteilung

Art. 7 Abs. 3 DSGVO verlangt, dass der Widerruf der Einwilligung so einfach ist wie ihre Erteilung. Gemäß den EDPB-Leitlinien 05/2020 zur Einwilligung (Rn. 117) bedeutet Gleichwertigkeit hier dasselbe Medium und dieselbe Anzahl an Schritten wie das ursprüngliche Opt-in. Der „Cookie-Einstellungen"-Link im Footer der Marketing-Website ist daher der einzige Weg, den wir als Äquivalent zur Erteilung der Einwilligung im Sinne von Art. 7 Abs. 3 DSGVO anbieten; die beiden unten genannten zusätzlichen Wege sind Ihnen zur Bequemlichkeit aufgeführt, sind aber nicht gleichwertig zum ursprünglichen Opt-in.

• „Cookie-Einstellungen"-Link (Gleichwertigkeits-Weg nach Art. 7 Abs. 3). Auf jeder Marketing-Seite ist im Footer ein dauerhafter „Cookie-Einstellungen"-Link verfügbar. Ein Klick darauf öffnet den Datriva-Banner erneut, sodass Sie jede Kategorie ändern — oder alle nicht erforderlichen Cookies ablehnen — mit derselben Anzahl an Klicks, mit der Sie sie akzeptiert haben. Dies ist dasselbe Medium wie die ursprüngliche Einwilligungs-Aufforderung und der Weg, auf den wir uns nach Art. 7 Abs. 3 stützen.
• E-Mail an privacy@uptimia.com. Zusätzlicher Weg, nicht gleichwertig. Wir vermerken und bearbeiten den Widerruf manuell innerhalb der Frist nach Art. 12 Abs. 3 DSGVO.
• Löschen der Cookies in Ihrem Browser. Zusätzlicher Weg, nicht gleichwertig. Das Löschen entfernt zugleich unseren lokal gespeicherten Einwilligungsdatensatz, sodass der Banner bei Ihrem nächsten Besuch erneut erscheint; die dafür erforderlichen Schritte sind nicht gleichwertig zum ursprünglichen Opt-in-Mechanismus.

#6.4 Wirkung des Widerrufs

Nicht erforderliche Cookies werden ab dem Widerruf nicht mehr gesetzt. Bereits auf Ihrem Gerät gespeicherte nicht erforderliche Cookies werden beim nächsten Seitenaufruf gelöscht (oder, bei Session-Cookies, beim Schließen des Tabs). Unser Einwilligungsdatensatz wird mit einem Widerrufs-Zeitstempel aktualisiert, damit wir die Änderung im Rahmen der Nachweispflicht des Verantwortlichen nach Art. 7 Abs. 1 DSGVO belegen können.

Aufbewahrung des Einwilligungsdatensatzes. Wir bewahren den Einwilligungsdatensatz (Annahme-Zeitstempel, Kategorie-Auswahl und etwaige nachfolgende Widerrufs-Zeitstempel) für 3 Jahre ab dem jüngsten dieser Ereignisse als Nachweis der Einhaltung von Art. 7 Abs. 1 DSGVO auf. Nach Ablauf dieses Zeitraums wird der Einwilligungsdatensatz gelöscht; sollten Sie die Website danach erneut besuchen, fordert der Banner Sie zu einer frischen Einwilligung auf.

Der Widerruf berührt nicht die Rechtmäßigkeit der bis zum Widerruf auf Grundlage Ihrer Einwilligung erfolgten Verarbeitung (Art. 7 Abs. 3 Satz 2 DSGVO).

#6.5 Erneuerung der Einwilligung

Wenn Sie die Website über einen längeren Zeitraum nicht genutzt haben oder wenn wir neue Cookie-Zwecke hinzufügen, die außerhalb Ihrer bestehenden Einwilligung liegen, fragen wir Sie erneut. Die Einwilligung wird im Einklang mit den EDPB-Leitlinien 05/2020 zur Einwilligung höchstens alle 12 Monate erneuert.

#6.6 Global Privacy Control (GPC) und Do Not Track (DNT)

• GPC wird beachtet. Übermittelt Ihr Browser bei seiner Anfrage an die Marketing-Website das Signal Sec-GPC: 1, behandeln wir dies als gültig erklärte Verweigerung der Einwilligung für die Kategorien Funktional, Analyse und Marketing — im Einklang mit der veröffentlichten Position der CNIL, wonach GPC einen gültigen Mechanismus zur Verweigerung der Einwilligung darstellt. Der Datriva-Banner vermerkt dies als „Alle ablehnen"-Entscheidung und lädt keine nicht erforderlichen Third-Party-Skripte.
• DNT wird nicht beachtet. Der DNT: 1-Header ist veraltet und ohne gefestigte aufsichtsrechtliche Auslegung; wir behandeln ihn daher weder in die eine noch in die andere Richtung als Anweisung und handeln nicht auf seiner Grundlage.

#7. Rechtsgrundlage — § 25 TDDDG und Art. 6 DSGVO

Auf die in dieser Richtlinie behandelten Cookies finden zwei getrennte Rechtsebenen Anwendung. Beide müssen erfüllt sein:

Ebene 1 — Setzen / Auslesen des Cookies selbst. Geregelt durch § 25 TDDDG. Entweder:

• das Cookie ist technisch notwendig, um den von Ihnen angeforderten Telemediendienst bereitzustellen (§ 25 Abs. 2 Nr. 2 TDDDG) — keine Einwilligung erforderlich; oder
• das Cookie erfordert Ihre vorherige, ausdrückliche Einwilligung (§ 25 Abs. 1 TDDDG) — die über den Banner eingeholt wird.

Ebene 2 — Verarbeitung der personenbezogenen Daten, die das Cookie berührt. Geregelt durch Art. 6 DSGVO. Die anwendbare Rechtsgrundlage ist in § 4 oben pro Cookie aufgeführt und hängt davon ab, wofür die Daten verwendet werden: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), lit. b (Vertrag), lit. c (rechtliche Verpflichtung) oder lit. f (berechtigtes Interesse).

Ein einzelnes Cookie hat daher eine Grundlage nach § 25 TDDDG für sein Setzen und eine Grundlage nach Art. 6 DSGVO für die nachfolgende Datenverarbeitung. Die technische Notwendigkeit nach § 25 Abs. 2 Nr. 2 TDDDG verleiht nicht automatisch eine DSGVO-Grundlage für die weitere Verarbeitung — dies sind unabhängige Prüfungen.

#8. Serverseitige Protokollierung von IP / User-Agent

Getrennt von browserseitig gespeicherten Cookies lesen — und in einigen Fällen speichern — wir serverseitige Anfrage-Metadaten:

• Die IP-Adresse wird in Ihrem Kontodatensatz als Ihre Registrierungs-IP (die IP, von der aus Sie sich erstmals registriert haben) und als Ihre zuletzt verwendete Anmelde-IP als Audit-Spur zur Kontosicherheit gespeichert. Die IP wird zudem vorübergehend — ohne dauerhafte Speicherung als separates Feld — für die Registrierungs-Ratenbegrenzung (3 Versuche / 15 Minuten / IP), den Anmelde-Schutz, die Drosselung des Passwort-Zurücksetzens und die Ausgabe von Formular-Tokens ausgelesen.
• Der User-Agent wird bei der Anmeldung und bei jeder authentifizierten Anfrage vorübergehend zur Session-Integritäts-Prüfung ausgelesen. Der User-Agent wird in die Session-Integritätsprüfung gehasht und nicht separat für Analytics-Zwecke gespeichert.

Diese Auslesungen werden auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — Betrieb eines authentifizierten Dienstes) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Kontosicherheit und Missbrauchsabwehr) verarbeitet und sind in der Datenschutzerklärung unter „Serverprotokolle / Sicherheit" beschrieben, nicht in dieser Cookie-Richtlinie.

Die Aufbewahrungsregel für die Registrierungs-IP und die zuletzt verwendete Anmelde-IP ist in der Datenschutzerklärung geregelt.

#9. Cookies auf Kunden-Websites, auf denen Sie unser RUM-Skript, unseren Server-Agenten oder unsere SDKs eingesetzt haben

Ein häufiges Missverständnis: Wenn Sie (als Uptimia-Kunde) unseren Real User Monitoring (RUM)-Beacon, unsere Server-Agent-Skripte oder unsere Sprach-SDKs auf Ihrer eigenen Infrastruktur einsetzen, unterliegen die dadurch erzeugten Cookies / localStorage-Einträge / Netzwerkaufrufe Ihrer eigenen Cookie-Richtlinie und Ihrem Verhältnis zu Ihren eigenen Besuchern oder Nutzern, nicht dieser Cookie-Richtlinie.

Uptimia handelt für diesen Vorgang nach unserer AV-Vereinbarung als Ihr Auftragsverarbeiter. Es liegt in Ihrer Verantwortung als Verantwortlicher:

• jede erforderliche Besucher-Einwilligung nach § 25 TDDDG (oder dem lokalen Äquivalent) einzuholen, bevor unser RUM-Beacon auf Ihrer Website geladen wird;
• die RUM-Aktivität in Ihrer eigenen Cookie-Richtlinie offenzulegen;
• ein Einwilligungs-Gating zu konfigurieren, sodass der RUM-Beacon nicht vor der Einwilligung geladen wird.

Wir stellen Dokumentation zur Integration des Einwilligungs-Gatings bereit; die Implementierung obliegt Ihnen. Diese Cookie-Richtlinie behandelt ausschließlich Cookies, die auf uptimia.com selbst gesetzt werden.

#10. Änderungen dieser Richtlinie

Wir können diese Cookie-Richtlinie aktualisieren, wenn wir neue Cookies hinzufügen, bestehende entfernen, einen Third-Party-Auftragsverarbeiter wechseln oder auf rechtliche Entwicklungen reagieren. Wir aktualisieren das Datum „Stand:" am Anfang dieses Dokuments und erhöhen die Versionsnummer. Bei wesentlichen Änderungen, die den Umfang einer bereits erteilten Einwilligung betreffen (z. B. Aufnahme eines neuen Marketing-Cookies), holen wir vor Aktivierung des neuen Cookies erneut eine frische Einwilligung ein.

Für eine maßgebliche Live-Ansicht der derzeit von uns gesetzten Cookies können Sie diese zusätzlich über die Entwickler-Tools Ihres Browsers prüfen — die Tabellen in § 4 sind das dokumentierte Inventar, die Live-Seite ist jedoch die maßgebliche Realität.

#11. Kontakt

Bei Fragen zu Cookies auf dieser Website:

JJ Online GmbH (betreibt Uptimia)

Schönhauser Allee 163, 10435 Berlin

Deutschland

E-Mail: privacy@uptimia.com