Datenschutz & kryptografische Datenminimierung

Analytics House läuft zu 100 % auf Cloudflare Workers und Cloudflare D1. Es ist so konstruiert, dass personenbezogene Daten vor der Speicherung im Arbeitsspeicher am Edge entfernt werden und tägliche Salts kryptografisch vernichtet werden, sobald die aggregierten Rollups abgeschlossen sind.

Wird nie gespeichert

Keine Cookies und keine Einträge im Browserspeicher Ihrer Besucher. Besuche werden auf dem Server zusammengefasst.
Weder die IP-Adresse des Clients noch der rohe User-Agent-String werden jemals auf Datenträger oder in Logs geschrieben.
Keine Query-Strings oder Fragmente von URLs (nur Pfade) und von der verweisenden Seite nur der Hostname.
Anfragen mit Sec-GPC: 1 (Global Privacy Control) oder DNT: 1 (Do Not Track) werden standardmäßig mit 204 No Content verworfen.

Der Tracker setzt nie Cookies und schreibt nie in den Browserspeicher des Besuchers. Besuche werden stattdessen auf unseren Servern zusammengefasst. Das Einzige, was er liest, ist ein Opt-out-Flag (ea_ignore in localStorage), das ein Besucher selbst setzt, um zu widersprechen. Einwilligungsregeln gelten für jede Speicherung auf dem Gerät und jeden Zugriff darauf, nicht nur für Cookies:

Vereinigtes Königreich. Seit dem 5. Februar 2026 erlauben die Privacy and Electronic Communications Regulations (in der durch den Data (Use and Access) Act 2025 geänderten Fassung), ohne Einwilligung Informationen auf einem Gerät zu speichern oder auszulesen, wenn der einzige Zweck darin besteht, Statistiken über die Nutzung Ihrer Website zu erheben, um sie zu verbessern, die Informationen nicht für andere Zwecke weitergegeben werden und Besucher klar darüber informiert werden und eine einfache, kostenlose Möglichkeit zum Widerspruch erhalten. Analytics House verwendet Ihre Daten für keine anderen Zwecke. Um sich auf diese Ausnahme zu stützen, erwähnen Sie Analytics House in Ihrer Datenschutzerklärung und bieten Sie das unten beschriebene Opt-out an.
Europäische Union. Die ePrivacy-Vorschriften kennen keine entsprechende Ausnahme für Analysezwecke. Da der Tracker nichts speichert, geht es vor allem um die Abfrage des Opt-out-Flags; klären Sie mit Ihrer Rechtsberatung, ob Ihre Konfiguration eine Einwilligung erfordert.
Überall. Sie benötigen weiterhin eine Rechtsgrundlage nach der DSGVO (meist berechtigte Interessen) und eine Datenschutzerklärung, die Analytics House nennt. Unser Auftragsverarbeitungsvertrag regelt die Bedingungen zwischen Verantwortlichem und Auftragsverarbeiter.

Opt-out anbieten. Browser, die Global Privacy Control oder Do Not Track senden, werden nie erfasst. Sie können Ihrer Datenschutzerklärung außerdem einen Opt-out-Link hinzufügen; er setzt im Browser des Besuchers ein Flag, das der Tracker prüft, bevor er etwas sendet:

<a href="#" onclick="localStorage.setItem('ea_ignore','1');this.textContent='You are opted out';return false">
  Opt out of website statistics
</a>

Dieser Abschnitt enthält allgemeine Informationen als Entscheidungshilfe und ist keine Rechtsberatung.

Kurzlebiger Tages-Salt & kryptografische Löschung

Für jeden UTC-Tag wird über crypto.getRandomValues() ein neuer zufälliger 256-Bit-Salt erzeugt und in D1 unter salt:YYYY-MM-DD gespeichert.
Besucher- und Sitzungskennungen sind Einweg-Hashes der Form SHA-256(daily_salt | day | project_id | ip | ua), gekürzt auf 64 Bit. Der geheime Salt ist der Schlüssel: Ohne ihn lässt sich der Hash nicht aus einer IP-Adresse neu berechnen.
Wenn der alle 15 Minuten laufende Cron Trigger einen abgeschlossenen UTC-Tag in rollup_day und rollup_dim festschreibt, löscht shredExpiredSalts() den Salt dieses Tages endgültig aus D1. Ohne ihn lassen sich frühere Besucher-IDs praktisch nicht mehr auf IP-Adressen zurückführen oder tageübergreifend miteinander verknüpfen.

Automatische Bereinigung personenbezogener Daten am Edge

URL-Pfadsegmente mit E-Mail-Adressen ([email]), UUIDs ([uuid]), JWTs ([jwt]), IPv4-Adressen ([ip]) oder geheimen Tokens mit hoher Entropie ([token]) werden vor der Speicherung automatisch unkenntlich gemacht.
Eigenschaften benutzerdefinierter Ereignisse werden bereinigt: Sensible Schlüssel (email, password, token, secret, ssn, phone, api_key usw.) und eingebettete personenbezogene Werte (einschließlich per Luhn-Prüfung validierter Kreditkartennummern) werden durch [REDACTED] ersetzt.
user_id-Werte, die wie E-Mail-Adressen oder UUIDs aussehen (oder alle user_id-Werte, wenn strict_privacy aktiviert ist), werden mit dem Tages-Salt gehasht.

Modus „Keine Rohdaten-Historie“ & k-Anonymität

Modus „Keine Rohdaten-Historie“ (ephemeral_raw): Löscht die Rohzeilen in events für einen UTC-Tag sofort, sobald dessen aggregierte Rollup-Tabellen festgeschrieben sind.
k-Anonymität (k_anonymity): Unterdrückt jede Aufschlüsselungszeile nach Region oder Stadt mit weniger als k eindeutigen Besuchern (einstellbar von 2 bis 100).
First-Party-Worker-Proxy ohne IP-Weitergabe: Für jedes Projekt steht in den Projekteinstellungen ein sofort einsetzbares Cloudflare-Worker-Skript bereit, das die IP-Adressen der Besucher am Edge Ihrer eigenen Domain entfernt und einen opaken X-EA-Visitor-Relay-Digest weiterleitet.

Live-Manifest zur Datenschutzprüfung

Fragen Sie GET /projects/:id/privacy ab (oder GET /public/:token/privacy für geteilte Dashboards), um den aktuellen Salt-Status, Subresource-Integrity-Hashes (sha384) und die aktiven Datenschutzgarantien des Projekts in Echtzeit zu prüfen.