Datenschutz · DSGVO · Schrems II · 2026

DSGVO bei 7pxl: wie unsere Plattform Daten wirklich verarbeitet.

Diese Seite ist die vollständige technische Antwort auf eine einfache Frage: Welche Daten verarbeitet 7pxl überhaupt, wohin fließen sie – und wohin nicht? Wir beschreiben die Mechanik im Detail, benennen klar, was die Plattform nicht tut, und nennen jede Quelle, an der sich das unabhängig überprüfen lässt.

01 — Was 7pxl ausdrücklich nicht tut

Datenschutz beginnt mit dem, was unterlassen wird

Eine seriöse Datenschutzbewertung lässt sich nicht über Werbeversprechen führen, sondern über belegbare Abwesenheiten. Im Klartext und für die Akten:

• Keine Pixel-Integration für Meta/Facebook, Google oder andere Werbenetzwerke. Diese Funktion existiert im Produkt nicht und ist über keine versteckte Schnittstelle aktivierbar.
• Keine serverseitige Übertragung von Klick-, Scan- oder Metadaten an US-Anbieter. Es existiert keine Backend-Pipeline, kein Server-to-Server-Forwarding und keine Schnittstelle in Drittländer.
• Keine Drittanbieter-Trackingskripte auf den Weiterleitungsseiten. Wenn ein 7pxl-Kurzlink aufgerufen wird, werden keine Skripte externer Analytics-, Werbe- oder Profilingdienste geladen.
• Kein Verkauf, kein Tausch, keine kommerzielle Weitergabe von Nutzungsdaten. Weder aggregiert, noch anonymisiert, noch in sonst einer Form.
• Keine Tracking-Cookies für personenbezogenes Verhalten. Statistiken werden ohne Cookies erhoben, die einzelne Personen wiedererkennen würden.
• Kein Tracking ohne Wissen des Linkbetreibers. Es gibt keine versteckten Telemetrie-Endpunkte, die hinter den Kulissen Daten an Dritte schicken.

Diese Liste ist nicht das Ergebnis eines Compliance-Workshops. Sie ist eine Folge der Architektur: Wenn der Personenbezug bereits im Aufrufmoment entfernt wird, gibt es auf den nachgelagerten Schichten nichts, was sich übertragen, verkaufen oder weiterleiten ließe.

02 — Was 7pxl tatsächlich tut

Funktionen, die seriöses Marketing braucht – datenschutzkonform umgesetzt

Datenschutz darf keine Funktionsarmut sein. Genau deshalb gibt es die Plattform: messbare Kampagnen ohne den üblichen Datenschutz-Kompromiss. Das sind die Bausteine:

• Snapshot-Technologie zur sofortigen Anonymisierung. IP-Adressen werden ausschließlich im flüchtigen Arbeitsspeicher gehalten und unmittelbar durch eine anonymisierte Ziffernfolge ersetzt. Auf persistenten Speichermedien existiert zu keinem Zeitpunkt eine personenbezogene IP.
• Aggregierte, anonyme Statistiken. Die Plattform zählt Klicks und Scans, segmentiert nach Land, Gerät, Sprache und Zeit. Ohne Profilbildung, ohne Personen-Tracking.
• Hosting in Deutschland auf ISO-zertifizierten Servern. Keine Übertragung in Drittländer als Bestandteil des Normalbetriebs.
• TLS-Verschlüsselung auf allen Verbindungen. Standard moderner Webdienste, ohne Ausnahmen.
• Auftragsverarbeitungsvertrag (AVV) nach DSGVO. Anwendbares deutsches Recht, klare Regelungen zu Datenhaltung, Rückgabe und Löschung.
• Eigene Domains und White-Label-Betrieb. Kunden können die Plattform vollständig unter eigener Marke und Domain betreiben.
• Volle Exportierbarkeit der eigenen Daten. Keine Bindung über Formate oder Preisliste – wer wechseln will, kann wechseln.

03 — Schrems II

Warum die Architektur für Schrems II nicht der kritische Punkt ist

Das Schrems-II-Urteil von 2020 hat den damaligen Privacy Shield gekippt, weil ein angemessenes Schutzniveau für personenbezogene Daten beim Transfer in die USA nicht garantiert war. Was geblieben ist: jede Übermittlung personenbezogener Daten in die USA muss einzeln geprüft, begründet und mit Zusatzmaßnahmen abgesichert werden. Für die meisten Unternehmen bedeutet das in der Praxis eine Erklärlast bei jedem US-Anbieter im Stack.

Für 7pxl stellt sich diese Frage aus zwei Gründen anders.

Die Verarbeitung findet in Deutschland statt

Server, Anbieter und Jurisdiktion sind deutsch. Der US CLOUD Act, der US-Unternehmen unabhängig vom Serverstandort zur Datenherausgabe an US-Behörden verpflichtet, hat hier keinen Anknüpfungspunkt. Es gibt weder eine US-Mutter noch eine US-Tochter, die in diesen Anwendungsbereich fallen würde.

Es existiert kaum etwas, das transferiert werden könnte

Schrems II schützt personenbezogene Daten vor Zugriffen außerhalb der EU. Wo personenbezogene Daten gar nicht persistent existieren, läuft diese Frage materiell ins Leere. Die Snapshot-Mechanik sorgt dafür, dass jenseits der Millisekunden-Verarbeitung schlicht keine personenbezogenen Daten in den Systemen liegen – ob auf deutschen oder irgendwelchen anderen Servern.

Den breiteren Kontext zu CLOUD Act, EU Data Act und NIS2 vertieft der Pillar Digitale Souveränität im Marketing.

04 — Mechanik

Was technisch passiert, Schritt für Schritt

Damit nichts Interpretationsspielraum bleibt – die drei Hauptprozesse der Plattform in Reihenfolge:

Beim Aufruf eines Kurzlinks

1. Der Browser des Aufrufenden sendet eine HTTP-Anfrage an die 7pxl-Server in Deutschland. Die IP-Adresse ist – wie bei jeder Webanfrage – Teil dieser Anfrage.
2. Im selben Verarbeitungsschritt wird die IP im Arbeitsspeicher in eine anonymisierte Ziffernfolge umgewandelt. Diese Umwandlung ist nicht rückführbar.
3. Auf Basis der anonymisierten Information werden Statistik-Felder aktualisiert (Land, Gerätetyp, Sprache, Zeitpunkt). Es entsteht kein Eintrag, der mit einer Person verknüpfbar wäre.
4. Der Aufrufende wird per HTTP-Weiterleitung an die hinterlegte Ziel-URL geschickt. Was anschließend auf der Zielseite geschieht, liegt im Verantwortungsbereich des Zielanbieters.

Beim Generieren eines QR-Codes

1. Die Eingabedaten (Text, URL, vCard, WiFi-Konfiguration etc.) werden im Browser oder Server zu einer Grafik verarbeitet.
2. Statische QR-Codes enthalten die Daten direkt im Code und kommunizieren beim späteren Scannen mit keinem 7pxl-Server.
3. Dynamische QR-Codes verweisen technisch auf einen Kurzlink. Beim Scannen greift der oben beschriebene Prozess.

In den Statistiken

Sichtbar werden aggregierte Zahlen pro Kurzlink und Kampagne: Gesamtklicks und -scans, Verteilung nach Land, Gerätetyp, Sprache und Zeitverlauf. Keine Liste einzelner Aufrufe, keine IP-Adressen, keine Sitzungsprofile. UTM-Parameter, die Sie selbst an Ihre Links anhängen, werden mit ausgewertet – sie sind Teil der von Ihnen kontrollierten URL und kein Tracking-Mechanismus der Plattform.

Datenschutz lässt sich nicht behaupten, nur belegen. Diese Plattform ist so gebaut, dass die Belege öffentlich und prüfbar bleiben.

05 — Verifikation

Wie sich die Angaben dieser Seite unabhängig prüfen lassen

Sie müssen nichts glauben – Sie können nachsehen. Sechs Wege, ohne Zugang zu unseren Systemen:

• Datenschutzerklärung: das formale Dokument auf 7pxl.de/page/datenschutzerklaerung. Hier sind die einzelnen Verarbeitungsvorgänge im Detail beschrieben.
• DSGVO-Statement: der ausführliche Hintergrund zum Privacy-by-Design-Ansatz im Beitrag DSGVO-Statement.
• Netzwerk-Analyse: Öffnen Sie einen 7pxl-Kurzlink in einem Browser und beobachten Sie über die Entwickler-Tools, welche Ressourcen geladen werden. Sie werden keine Drittanbieter-Trackingskripte finden.
• TLS-Konfiguration: mit Standard-Tools wie SSL Labs lässt sich die TLS-Einrichtung und das Zertifikat extern prüfen.
• Statusseite: Verfügbarkeitsmetriken und Vorfallhistorie sind öffentlich einsehbar unter peaknode.de/7pxl-systemstatus.
• AVV: der Auftragsverarbeitungsvertrag kann vor Vertragsabschluss angefragt werden. Inhalt und Bedingungen sind nicht hinter einer NDA versteckt.

Wer noch tiefer in den juristisch-strategischen Rahmen einsteigen will, findet ihn in Digitale Souveränität im Marketing – inklusive einer 5-Schichten-Bewertung für jede Marketing-Infrastruktur.

Häufige Fragen