CS1 Online Marketing GmbH
Fürstenwalder Str. 22/23
15234 Frankfurt (Oder)
E-Mail: kontakt@carlosiebert.de
Wir verarbeiten folgende Kategorien personenbezogener Daten: Bestandsdaten (Name, E-Mail-Adresse), Kontaktdaten, Nutzungsdaten, Meta- und Kommunikationsdaten, Click-IDs (GCLID, MSCLKID, GBRAID, WBRAID, FBCLID), Formulardaten sowie Conversion-Zeitpunkte. Diese Daten werden zur Erbringung unserer SaaS-Leistung (Offline Conversion Tracking) und zur Übermittlung von Offline-Conversions an Google Ads und Microsoft Advertising verwendet.
Die Verarbeitung erfolgt auf Basis von:
• Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) — für optionale Datenverarbeitungen
• Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) — zur Erbringung der gebuchten Leistungen
• Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) — für Sicherheit, Betrieb und Missbrauchsprävention
Wir setzen folgende Auftragsverarbeiter ein:
• Mollie B.V. (Zahlungsabwicklung, NL) — EU-ansässig, DSGVO-konform — mollie.com/de/privacy
• Resend Inc. (E-Mail-Versand, Server EU) — SCCs vorhanden
• Google LLC (Google Ads API, USA) — SCCs vorhanden
• Microsoft Corporation (Bing Ads API, USA) — SCCs vorhanden
• Hetzner Online GmbH (Hosting, Deutschland) — DSGVO-konform
Kunden können ihr eigenes Google-Ads- bzw. Microsoft-Advertising-Konto über OAuth mit 99insights verbinden. Dabei erhalten wir nur die Berechtigungen, die der Kunde im Zustimmungsdialog ausdrücklich erteilt:
• Google Ads API (Scope „adwords“): Wir lesen die Liste der Werbekonten, auf die das verbundene Google-Konto Zugriff hat, sowie die Conversion-Aktionen des ausgewählten Kontos samt deren Conversion-Zahlen. Wir legen dort die von 99insights benötigten Conversion-Aktionen an und können bereits übermittelte Conversions auf Wunsch des Kunden zurückziehen oder korrigieren. Startet der Kunde den Import von Google-Ads-Lead-Formularen, lesen wir die Einsendungen dieser Formulare (z. B. Name, E-Mail-Adresse, Telefonnummer) und speichern sie als Leads im Konto des Kunden. Schaltet der Kunde die optionale Kampagnenanalyse ein, lesen wir ausschließlich lesend Kosten, Klicks, Impressionen und Conversions seiner aktiven Kampagnen der letzten 30 Tage, um zu zeigen, wie viel Werbebudget auf Leads entfällt, die er als unqualifiziert markiert hat. Wir erstellen, ändern oder löschen keine Kampagnen, Budgets, Gebote oder Abrechnungseinstellungen.
• Google Data Manager API (Scope „datamanager“): Wir übermitteln Offline-Conversions in das eigene Google-Ads-Konto des Kunden – erst nachdem der Kunde einen Lead in 99insights manuell als qualifiziert bewertet hat. Übermittelt werden Click-ID, Zeitpunkt und der vom Kunden eingetragene Wert; bei aktivierten Enhanced Conversions zusätzlich die E-Mail-Adresse des Leads ausschließlich als SHA-256-Hash.
Die von Google erhaltenen Zugriffs- und Aktualisierungs-Token speichern wir verschlüsselt. Wir verwenden die über Google-APIs erhaltenen Daten ausschließlich, um die oben beschriebenen Funktionen für den jeweiligen Kunden bereitzustellen. Wir verkaufen diese Daten nicht, nutzen sie nicht für Werbung, geben sie nicht an Dritte weiter (außer an Google selbst im Rahmen des Conversion-Uploads) und lassen sie nicht von Menschen einsehen, außer mit ausdrücklicher Zustimmung des Kunden, zur Fehlerbehebung oder wenn gesetzlich vorgeschrieben. Wir verwenden die über Google-APIs erhaltenen Daten nicht, um allgemeine KI- oder ML-Modelle zu entwickeln, zu verbessern oder zu trainieren.
Schutz der Daten: Wir schützen die über Google-APIs erhaltenen Daten mit folgenden Maßnahmen: Alle Verbindungen zu unserer Plattform laufen ausschließlich verschlüsselt über HTTPS (TLS 1.2 oder höher, HSTS aktiviert); unverschlüsselte Aufrufe werden auf HTTPS umgeleitet. Zugriffs- und Aktualisierungs-Token von Google werden mit einem symmetrischen Verfahren (Fernet) verschlüsselt gespeichert; die Schlüssel liegen getrennt von den Daten in der Server-Konfiguration. Datenbank und interne Dienste sind nicht aus dem Internet erreichbar, öffentlich erreichbar ist nur der Webserver. Zugriffe sind kundengetrennt: Jeder Kunde sieht ausschließlich die Daten seines eigenen Kontos. Kundenpasswörter speichern wir nur als bcrypt-Hash, Anmeldeversuche sind begrenzt. E-Mail-Adressen von Leads übermitteln wir an Google ausschließlich als SHA-256-Hash. In Server-Protokollen speichern wir keine Inhalte aus Formularen, keine E-Mail-Adressen und keine Telefonnummern. Der Server steht bei Hetzner in Deutschland (Nürnberg). Eine Firewall lässt nur SSH-, HTTP- und HTTPS-Zugriffe zu, wiederholt fehlgeschlagene SSH-Anmeldungen werden automatisch gesperrt. Sicherheitsupdates des Betriebssystems werden automatisch eingespielt.
Aufbewahrung und Löschung: Die Google-Token löschen wir, sobald der Kunde die Verbindung trennt. E-Mail-Adressen und Click-IDs in Conversion-Datensätzen entfernen wir automatisch nach 91 Tagen, Telefonnummern und Aufnahme-Links von Anrufen nach 30 Tagen. Kunden können ihr Konto und die zugehörigen Daten jederzeit unter Einstellungen → Allgemein, Abschnitt „DSGVO — Deine Daten“ löschen lassen.
Die Nutzung und Übertragung von Informationen, die 99insights von Google-APIs erhält, an andere Apps erfolgt gemäß der Google API Services User Data Policy, einschließlich der Anforderungen zur eingeschränkten Nutzung („Limited Use“).
Kunden können die Verbindung jederzeit im Dashboard unter „Verbindungen“ trennen oder den Zugriff in ihrem Google-Konto unter myaccount.google.com/permissions widerrufen. Nach dem Trennen löschen wir die gespeicherten Token.
Microsoft Advertising API (Berechtigung „msads.manage“): Wir lesen die Kunden- und Konto-Kennungen sowie die Namen der Werbekonten, auf die das verbundene Microsoft-Konto Zugriff hat, und die Offline-Conversion-Ziele des ausgewählten Kontos samt Conversion-Zahlen. Wir legen dort die von 99insights benötigten Offline-Conversion-Ziele an, übermitteln Offline-Conversions in das eigene Microsoft-Advertising-Konto des Kunden – erst nachdem der Kunde einen Lead in 99insights manuell als qualifiziert bewertet hat – und können bereits übermittelte Conversions auf Wunsch des Kunden zurückziehen oder korrigieren. Übermittelt werden Click-ID (MSCLKID), Zeitpunkt und der vom Kunden eingetragene Wert. Wir erstellen, ändern oder löschen keine Kampagnen, Budgets oder Gebote. Zusätzlich fragen wir die Standard-Berechtigungen „openid“ und „offline_access“ an (Anmeldung und Aktualisierungs-Token); Name oder E-Mail-Adresse des Microsoft-Kontos lesen wir nicht. Zugriffs- und Aktualisierungs-Token speichern wir verschlüsselt und löschen sie, sobald der Kunde die Verbindung trennt. Wir verkaufen diese Daten nicht, nutzen sie nicht für Werbung und geben sie nicht an Dritte weiter (außer an Microsoft selbst im Rahmen des Conversion-Uploads).
Customers may connect their own Google Ads or Microsoft Advertising account to 99insights via OAuth. We only receive the permissions the customer explicitly grants in the consent screen:
• Google Ads API ("adwords" scope): we read the list of ad accounts the connected Google account can access and the conversion actions of the selected account and their conversion counts, create the conversion actions 99insights needs, and retract or correct previously sent conversions at the customer's request. If the customer starts the import of Google Ads lead forms, we read the submissions of these forms (e.g. name, email address, phone number) and store them as leads in the customer's account. If the customer switches on the optional campaign analysis, we read, read-only, the cost, clicks, impressions and conversions of the customer's enabled campaigns for the last 30 days, to show how much of their ad spend relates to leads they marked as unqualified. We do not create, edit or delete campaigns, budgets, bids or billing settings.
• Google Data Manager API ("datamanager" scope): we send offline conversions to the customer's own Google Ads account, only after the customer has manually qualified a lead in 99insights. We send the click ID, timestamp and the value entered by the customer; if Enhanced Conversions are enabled, additionally the lead's email address as a SHA-256 hash only.
Access and refresh tokens received from Google are stored encrypted. We use data received from Google APIs solely to provide the features described above to the respective customer. We do not sell this data, do not use it for advertising, do not transfer it to third parties (except to Google itself as part of the conversion upload), and do not allow humans to read it unless the customer has given explicit consent, it is necessary for troubleshooting, or it is required by law. We do not use data received from Google APIs to develop, improve or train generalized AI or ML models.
Protection of data: We protect data received from Google APIs with the following measures: All connections to our platform use HTTPS only (TLS 1.2 or higher, HSTS enabled); unencrypted requests are redirected to HTTPS. Access and refresh tokens received from Google are stored encrypted using a symmetric scheme (Fernet); the keys are kept in the server configuration, separate from the data. The database and internal services are not reachable from the internet; only the web server is publicly reachable. Access is separated by customer: each customer can only see the data of their own account. Customer passwords are stored only as bcrypt hashes, and login attempts are rate-limited. We send the e-mail addresses of leads to Google only as a SHA-256 hash. Our server logs do not contain form contents, e-mail addresses or telephone numbers. The server is hosted by Hetzner in Germany (Nuremberg). A firewall allows only SSH, HTTP and HTTPS traffic, and repeated failed SSH logins are blocked automatically. Security updates of the operating system are installed automatically.
Retention and deletion: We delete the Google tokens as soon as the customer disconnects. E-mail addresses and click IDs in conversion records are removed automatically after 91 days, telephone numbers and recording links of calls after 30 days. Customers can have their account and associated data deleted at any time under Einstellungen → Allgemein, Abschnitt „DSGVO — Deine Daten“ (Settings → General, section “DSGVO — Deine Daten”).
99insights' use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.
Customers can disconnect at any time in the dashboard under "Verbindungen" or revoke access in their Google account at myaccount.google.com/permissions. After disconnecting, we delete the stored tokens.
Microsoft Advertising API ("msads.manage" permission): we read the customer and account identifiers and the names of the ad accounts the connected Microsoft account can access, and the offline conversion goals of the selected account with their conversion counts. We create the offline conversion goals 99insights needs, send offline conversions to the customer's own Microsoft Advertising account – only after the customer has manually qualified a lead in 99insights – and retract or correct previously sent conversions at the customer's request. We send the click ID (MSCLKID), timestamp and the value entered by the customer. We do not create, edit or delete campaigns, budgets or bids. We also request the standard permissions "openid" and "offline_access" (sign-in and refresh token); we do not read the name or e-mail address of the Microsoft account. Access and refresh tokens are stored encrypted and deleted when the customer disconnects. We do not sell this data, do not use it for advertising and do not transfer it to third parties (except to Microsoft itself as part of the conversion upload).
E-Mail-Adressen und Click-IDs in Conversion-Datensätzen entfernen wir automatisch nach 91 Tagen, Telefonnummern und Aufnahme-Links von Anrufen nach 30 Tagen. Nicht personenbezogene Kennzahlen (Zeitpunkt, Status, Wert) bleiben für Abrechnung und Auswertung erhalten. Der Freitext von Formularen wird nicht automatisch gelöscht. Account-Daten werden nach Kündigung des Vertrags zuzüglich der gesetzlichen Aufbewahrungsfristen gelöscht (HGB: 6 Jahre, AO: 10 Jahre).
Wir verwenden ausschließlich technisch notwendige Session-Cookies für die Authentifizierung (Login-Session). Es werden keine Tracking-Cookies oder Analyse-Cookies eingesetzt.
Beim Aufruf unserer Webseiten werden automatisch Informationen in Serverlogfiles gespeichert (IP-Adresse, Zeitstempel, aufgerufene URL, Browsertyp). Diese Daten werden in regelmäßigen Abständen automatisch überschrieben, spätestens nach sechs Monaten, und nicht mit anderen personenbezogenen Daten zusammengeführt.
Sie haben das Recht auf:
• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Widerspruch (Art. 21 DSGVO)
• Datenportabilität (Art. 20 DSGVO)
Datenexport und Kontolöschung sind jederzeit unter Einstellungen → Allgemein, Abschnitt „DSGVO — Deine Daten“ möglich. Für weitere Anfragen wenden Sie sich an: kontakt@carlosiebert.de
Sie haben das Recht, sich bei der zuständigen Datenschutzaufsichtsbehörde zu beschweren. Zuständige Aufsichtsbehörde für unser Unternehmen ist die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg (LDA Brandenburg), Stahnsdorfer Damm 77, 14532 Kleinmachnow.
Stand: Oktober 2026 · CS1 Online Marketing GmbH