Geschrieben für Datenschutzbeauftragte und Einkauf. Die Seite ersetzt weder den AVV noch eine rechtliche Bewertung.
- Betreiber
- SecondMay DesignBilligheim, deutsches Recht
- Hosting
- IONOS SERechenzentren in Deutschland
- Klickstatistik
- ohne IP-AdresseLöschung nach 6 oder 12 Monaten
- Unterauftragnehmer
- vier benanntTabelle weiter unten
Datenschutz und Sicherheit bei 7pxl: Kurzfassung für die Akte
Kurz gesagt
7pxl ist ein Dienst für Kurzlinks, QR-Codes und Barcodes, betrieben von SecondMay Design in Billigheim auf Servern der IONOS SE in Deutschland. Beim Aufruf eines Kurzlinks speichern wir Zeitpunkt, Ort bis zur Stadt, Gerät, Browser, Sprache, Herkunft und UTM-Parameter. Die IP-Adresse steht nicht in der Statistik. Klick- und Scandaten werden je nach Tarif nach 6 Monaten oder 1 Jahr automatisch gelöscht, nicht an Dritte weitergegeben und nicht in Länder außerhalb der EU übermittelt.
Die Seite ist als Prüfunterlage aufgebaut. Sie trennt drei Arten von Daten, nennt die beteiligten Unternehmen, ordnet die Schutzmaßnahmen den Zielen aus Art. 32 DSGVO zu und beschreibt, wie Sie einen Teil der Angaben selbst nachmessen. Am Ende steht, was wir ausdrücklich nicht zusagen.
Für die Klick- und Scandaten der Besucher sind Sie Verantwortlicher und wir Ihr Auftragsverarbeiter. Darauf bezieht sich der Vertrag nach Art. 28 DSGVO, den Sie bei uns anfordern können. Welche Pflichten daraus auf Ihrer Seite entstehen, erklärt der Ratgeber DSGVO und Kurzlinks. Die Funktionen des Dienstes beschreibt die Produktseite zum URL-Shortener.
Drei Datenarten: Kontodaten, Klick- und Scandaten, Zahlungsdaten
Die drei Arten betreffen unterschiedliche Personen und haben unterschiedliche Fristen. Wer sie vermischt, kommt zu falschen Schlüssen, etwa bei der Frage nach IP-Adressen.
| Datenart | Betroffene | Zweck | Speicherort | Aufbewahrung |
|---|---|---|---|---|
| Kontodaten | Kontoinhaber und Teammitglieder | Anmeldung, Betrieb des Kontos, Schutz vor Missbrauch | Server bei IONOS in Deutschland | solange das Konto besteht |
| Klick- und Scandaten | Besucher Ihrer Kurzlinks und dynamischen QR-Codes | Weiterleitung, Statistik für den Kontoinhaber | Server bei IONOS in Deutschland | Starter 6 Monate, Pro, Premium und Unlimited 1 Jahr, danach automatische Löschung |
| Zahlungsdaten | Kontoinhaber mit bezahltem Tarif | Abrechnung des Tarifs | Zahlungsabwicklung bei Stripe, Rechnung im Konto | nicht Gegenstand dieser Seite |
Fristen für Kontodaten nach dem Ende eines Kontos und für Rechnungen nennt diese Seite nicht. Fragen Sie sie zusammen mit dem AVV an.
Kontodaten des Kunden
| Angabe | Verwendung |
|---|---|
| E-Mail-Adresse und Passwort | Anmeldung. An die Adresse gehen auch Team-Einladungen und, falls eingerichtet, Statistikberichte je Link (wöchentlich oder monatlich). |
| Zweiter Faktor | Optionale Zwei-Faktor-Anmeldung |
| Inhalte des Kontos | Kurzlinks mit Zieladressen, QR-Codes, Barcodes, Projekte und eigene Domains. Diese Inhalte legen Sie selbst an. |
| Teams | Einladungen, Mitglieder und deren Rechte |
| Anmeldeprotokoll | Anmeldungen am Konto werden mit IP-Adresse protokolliert. Zweck ist der Schutz vor Missbrauch. |
| Rechnungen | Nach jeder Zahlung im Konto unter „Zahlungen“ abrufbar |
Das Anmeldeprotokoll betrifft ausschließlich Personen, die sich bei 7pxl anmelden. Besucher Ihrer Kurzlinks melden sich nirgends an und tauchen dort nicht auf.
Klick- und Scandaten der Besucher
Diese Daten entstehen, wenn jemand einen Kurzlink aufruft oder einen dynamischen QR-Code scannt. Ein dynamischer Code ist ein QR-Code, der auf einen Kurzlink zeigt, deshalb gilt für Scans dasselbe wie für Klicks. Ein statischer QR-Code trägt seinen Inhalt in sich. Wird er gescannt, erfährt 7pxl davon nichts.
| Feld | Beispielwert | Quelle |
|---|---|---|
| Zeitpunkt | 04.10.2026, 14:02 Uhr | Server |
| Kontinent, Land, Stadt | Europa, Deutschland, Stuttgart | aus der IP-Adresse abgeleitet über eine Datenbank, die lokal auf dem Server liegt |
| Gerätetyp | Smartphone | Angaben des Browsers |
| Betriebssystem | iOS | Angaben des Browsers |
| Browser | Safari | Angaben des Browsers |
| Browsersprache | de | Angaben des Browsers |
| Verweisende Website | www.beispiel.de | Referrer, sofern der Browser ihn sendet |
| utm_source, utm_medium, utm_campaign | flyer, print, herbst-2026 | von Ihnen am Link eingetragen |
| Kennzeichen „erster Aufruf“ | ja oder nein | beim Aufruf vergeben |
| IP-Adresse | kein Feld | wird nicht in der Statistik gespeichert |
Für die Ortsableitung wird kein externer Dienst gefragt. Bekannte Suchmaschinen-Bots zählen wir standardmäßig nicht mit. Im kostenlosen Tarif gibt es keine ausführliche Statistik.
Zahlungsdaten
| Punkt | Angabe |
|---|---|
| Zahlungsarten | Kreditkarte, PayPal, Überweisung |
| Abwicklung | Stripe |
| Was 7pxl von Stripe erhält | nur die Bestätigung, dass ein Tarif bezahlt wurde |
| Was Stripe nicht erhält | Klick- und Scandaten |
| Sichtbarkeit im Team | Mitglieder sehen weder Zahlungsdaten noch Rechnungen noch Kontoeinstellungen des Hauptkontos |
Im kostenlosen Tarif fällt keine Zahlung an. Wo und wie lange Stripe Zahlungsdaten verarbeitet, steht in den Unterlagen von Stripe. Wir treffen dazu hier keine Aussage.
Unterauftragnehmer von 7pxl
| Unternehmen | Aufgabe | Anmerkung |
|---|---|---|
| IONOS SE | Hosting | Rechenzentren in Deutschland, geo-redundant über mehrere physisch getrennte Standorte. Die Rechenzentren sind nach ISO 27001 zertifiziert. Das Zertifikat gehört IONOS, nicht 7pxl. |
| Acronis | Datensicherung | Schweizer Hersteller. Die Backups sind verschlüsselt. |
| Stripe | Zahlungsabwicklung | Betrifft nur Kontoinhaber mit bezahltem Tarif. Klick- und Scandaten gehen nicht an Stripe. |
| Nelpx GmbH, Weissach im Tal | Technische Absicherung und Sicherheitsüberwachung | im Impressum genannt |
Klick- und Scandaten verkaufen wir nicht und geben sie nicht an Dritte weiter. Für die Ortsbestimmung brauchen wir keinen zusätzlichen Empfänger, sie läuft auf dem eigenen Server.
Lassen Sie sich die Liste mit dem AVV bestätigen und gleichen Sie sie mit dieser Tabelle ab. Weicht etwas ab, gilt der Vertrag.
Technische und organisatorische Maßnahmen nach Art. 32 DSGVO
Art. 32 DSGVO verlangt Maßnahmen, die Vertraulichkeit, Integrität und Verfügbarkeit sichern und Daten nach einem Zwischenfall wiederherstellbar machen. Die Tabelle ordnet zu, was es bei 7pxl gibt und wer die Maßnahme erbringt. Sie nennt nur, was wir belegen können.
| Schutzziel | Maßnahme | Erbracht durch |
|---|---|---|
| Vertraulichkeit | Zutrittskontrolle und Firewall im Rechenzentrum | IONOS SE |
| TLS (HTTPS) auf allen Verbindungen | 7pxl | |
| Verschlüsselte Backups | 7pxl mit Acronis | |
| Optionale Zwei-Faktor-Anmeldung, Rechte je Teammitglied | 7pxl stellt bereit, Sie schalten ein | |
| Keine IP-Adresse in der Statistik, Ortsableitung ohne externen Dienst | 7pxl | |
| Integrität | Rechte für Erstellen, Bearbeiten und Löschen getrennt vergeben, je Bereich | 7pxl stellt bereit, Sie vergeben |
| Sicherheitsüberwachung | Nelpx GmbH | |
| Weiterleitung ohne Skripte von Werbenetzwerken oder Analysediensten | 7pxl | |
| Verfügbarkeit | Betrieb über mehrere physisch getrennte Standorte | IONOS SE |
| DDoS-Abwehr | IONOS SE | |
| Überwachung rund um die Uhr | IONOS SE | |
| Wiederherstellbarkeit | Datensicherung mit Acronis | 7pxl mit Acronis |
Die Bereiche der Rechtevergabe sind Kurzlinks, QR-Codes, Barcodes, Projekte und eigene Domains. Lesen dürfen Mitglieder immer. Einzelheiten stehen auf der Seite Teams.
Was Sie im Konto selbst einstellen sollten
Ein Teil der Sicherheit liegt bei Ihnen. Sechs Einstellungen und Regeln, die wir jedem Konto empfehlen:
- Zwei-Faktor-Anmeldung einschalten. Sie ist optional und deshalb nicht von selbst aktiv. Schalten Sie sie für das Hauptkonto ein und bitten Sie Teammitglieder, dasselbe in ihren Konten zu tun.
- Teams statt Passwort-Weitergabe. Jede Person arbeitet mit eigenem Konto in den Ressourcen des Hauptkontos. Das Recht zu löschen brauchen die wenigsten. Verlässt jemand die Abteilung, entfernen Sie das Mitglied, ohne ein Passwort ändern zu müssen.
- Eigene Domain verwenden (ab Pro). Besucher sehen dann Ihre Adresse statt unserer. Außerdem bleiben Ihre Links von uns unabhängig: Über den DNS-Eintrag entscheiden Sie, welcher Dienst antwortet.
- Keine Personendaten in Zieladressen und UTM-Feldern. Zieladressen liegen im Konto im Klartext, UTM-Werte landen in der Statistik. Eine Kundennummer im Pfad oder eine Empfänger-Kennung als Kampagnenname macht aus einer Zählung eine Beobachtung.
- Statistik zurücksetzen, wenn der Zweck entfällt. Die automatische Löschung greift nach 6 Monaten oder 1 Jahr. Brauchen Sie die Zahlen einer Aktion schon früher nicht mehr, setzen Sie die Statistik des Links zurück.
- Exporte befristen. CSV-, JSON- und PDF-Dateien verlassen unser System. Für sie gilt die Löschfrist, die Sie in Ihrem Verzeichnis festgelegt haben.
| Tarif | Preis im Monat | Aufbewahrung der Statistik | Eigene Domains | Teams / Mitglieder je Team |
|---|---|---|---|---|
| Kostenlos | 0 € | keine ausführliche Statistik | 0 | 0 / 0 |
| Starter | 10 € | 6 Monate | 0 | 1 / 3 |
| Pro | 29 € | 1 Jahr | 3 | 10 / 20 |
| Premium | 149 € | 1 Jahr | 15 | 30 / 400 |
| Unlimited | auf Anfrage | 1 Jahr | unbegrenzt | unbegrenzt |
Preise inklusive Mehrwertsteuer. Passwortschutz für Links, der Warnhinweis vor sensiblen Inhalten, das Verbergen der Ziel-URL und die Steuerung der Indexierung durch Suchmaschinen sind ab Starter enthalten.
So prüfen Sie die Angaben selbst nach
Was beim Aufruf eines Kurzlinks im Browser geschieht, können Sie mit Bordmitteln nachmessen. Dafür reicht ein kostenloses Konto.
-
Testlink anlegen
Kürzen Sie eine Adresse, deren Verhalten Sie kennen, zum Beispiel Ihre eigene Startseite. Im kostenlosen Tarif sind Passwortschutz, Warnhinweis, Zielregeln und App-Öffnung nicht enthalten. Der Test zeigt deshalb den Grundablauf ohne Zwischenseiten.
-
Entwicklerwerkzeuge öffnen
Drücken Sie im Browser F12 und wählen Sie den Reiter „Netzwerk“. Schalten Sie ein, dass das Protokoll beim Seitenwechsel erhalten bleibt. Rufen Sie dann den Kurzlink auf.
-
Die ersten beiden Zeilen lesen
Zeile eins ist der Kurzlink mit dem Statuscode 301. In den Antwort-Kopfzeilen steht unter
locationIhre Zieladresse. Zeile zwei ist bereits das Ziel. Dazwischen liegt eine einzige Weiterleitung, ohne Zwischenstation und ohne Anfrage an fremde Server. Alles, was danach geladen wird, gehört zur Zielseite. -
Statistik gegenlesen
Ab Starter erscheint der Testaufruf nach wenigen Sekunden in der Auswertung „Einträge“. Exportieren Sie die Statistik als CSV und sehen Sie die Spalten durch. Sie sollten den Feldern aus der Tabelle oben entsprechen.
Was dieser Test nicht zeigt
Von außen sehen Sie, was der Browser sendet und empfängt. Was der Server intern speichert, lässt sich so nicht prüfen. Dafür gibt es den AVV und die Statistik-Ansicht im Konto. Wer Links mit Passwort, Warnhinweis oder Zielregeln einsetzt, sieht im Netzwerk-Reiter einen anderen Ablauf, weil diese Funktionen eine Seite oder eine Entscheidung vor das Ziel schalten.
So läuft die AVV-Anforderung ab
-
Anfragen
Schreiben Sie über das Kontaktformular oder an info@7pxl.de. Nennen Sie Firma, Anschrift und die Person, die unterzeichnet. Die Anfrage ist auch vor Vertragsschluss möglich.
-
Mit dieser Seite abgleichen
Prüfen Sie im Vertrag vier Punkte gegen die Angaben hier: Unterauftragnehmer, Datenkategorien, Löschfristen und Maßnahmen.
-
Offene Punkte nachfragen
Diese Seite beantwortet nicht alles. Offen bleiben hier die Fristen für Kontodaten und Anmeldeprotokoll, der Rhythmus und der Speicherort der Backups sowie Protokolle auf Ebene der Infrastruktur. Stellen Sie diese Fragen schriftlich, damit die Antworten in Ihre Akte gehen.
-
Unterzeichnen und ablegen
Tragen Sie das Datum des Vertrags in Ihr Verarbeitungsverzeichnis ein. Einen Beispiel-Eintrag finden Sie im Ratgeber unter Verarbeitungsverzeichnis.
Was wir nicht zusagen
Eine Prüfunterlage ist nur so viel wert wie ihre Genauigkeit. Deshalb hier die Punkte, an denen die Antwort „nein“ oder „nur eingeschränkt“ lautet.
- Eigene Zertifikate
- 7pxl führt kein eigenes Sicherheitszertifikat. Nach ISO 27001 zertifiziert sind die Rechenzentren des Betreibers IONOS.
- IP-Adressen
- Die Aussage „keine IP-Adresse“ gilt für die Klick- und Scanstatistik. Während der Weiterleitung wird die IP-Adresse verarbeitet, sonst käme keine Antwort beim Besucher an. Anmeldungen von Kontoinhabern werden mit IP-Adresse protokolliert.
- Verfügbarkeit
- Wir nennen keine Prozentzahl. Belegen können wir den Betrieb über mehrere getrennte Standorte, die DDoS-Abwehr und die Überwachung rund um die Uhr durch IONOS.
- Konformität Ihres Einsatzes
- Ob Ihre Verarbeitung der DSGVO genügt, hängt auch von Rechtsgrundlage, Datenschutzerklärung und dem Inhalt Ihrer Links ab. Das können wir nicht für Sie zusichern.
- Zielseiten
- Was nach der Weiterleitung geschieht, liegt außerhalb von 7pxl. Führt ein Kurzlink auf eine Seite mit eingebetteten Werbe- oder Analysediensten, ändert der Kurzlink daran nichts.
- Rechtsberatung
- Diese Seite beschreibt Technik und Abläufe. Die rechtliche Bewertung trifft Ihr Datenschutzbeauftragter.
Häufige Fragen aus der Datenschutzprüfung
An welchen Stellen verarbeitet 7pxl IP-Adressen?
An zwei Stellen. Beim Aufruf eines Kurzlinks wird die IP-Adresse für die Antwort und für die Ableitung von Land und Stadt verwendet, aber nicht in der Statistik gespeichert. Bei der Anmeldung eines Kontoinhabers wird sie zum Schutz vor Missbrauch protokolliert.
Ist 7pxl nach ISO 27001 zertifiziert?
Nein. Das Zertifikat nach ISO 27001 haben die Rechenzentren der IONOS SE, in denen 7pxl betrieben wird. 7pxl selbst führt kein eigenes Zertifikat.
Welche Unterauftragnehmer setzt 7pxl ein?
Vier: IONOS SE für das Hosting in Deutschland, Acronis für die verschlüsselte Datensicherung, Stripe für die Zahlungsabwicklung und die Nelpx GmbH für technische Absicherung und Sicherheitsüberwachung. Klick- und Scandaten gehen nicht an Stripe.
Werden Klickdaten in die USA übermittelt?
Nein. Klick- und Scandaten übermitteln wir nicht in Länder außerhalb der EU. Der Betreiber ist ein deutsches Unternehmen ohne US-Mutter oder US-Tochter, die Server stehen in Deutschland.
Wie lange speichert 7pxl Klick- und Scandaten?
Im Tarif Starter 6 Monate, in Pro, Premium und Unlimited 1 Jahr. Danach werden die Einträge automatisch gelöscht. Der kostenlose Tarif hat keine ausführliche Statistik.
Lassen sich Klickdaten vor Ablauf der Frist löschen?
Ja. Die Statistik eines Links können Sie zurücksetzen. Das bietet sich an, wenn eine Aktion beendet ist und die Zahlen nicht mehr gebraucht werden.
Erfährt 7pxl, wenn jemand einen statischen QR-Code scannt?
Nein. Bei einem statischen Code steckt der Inhalt im Code selbst, der Scan führt nicht über unsere Server. Nur dynamische Codes zeigen auf einen 7pxl-Kurzlink und erzeugen damit Scandaten.
Sehen Teammitglieder Rechnungen oder Zahlungsdaten?
Nein. Mitglieder arbeiten in den Kurzlinks, QR-Codes, Barcodes, Projekten und Domains des Hauptkontos, soweit sie dafür Rechte haben. Zahlungsdaten, Rechnungen und Kontoeinstellungen des Hauptkontos bleiben ihnen verborgen.
Weiterlesen
Unterlagen für Ihre Prüfung
Fordern Sie den AVV an und schicken Sie Ihre offenen Fragen gleich mit. Das geht auch vor Vertragsschluss.