Datenschutzerklärung von VisitLead
Diese deutsche Fassung dient der Information. Bei Abweichungen ist die englische Fassung massgebend.
Fassung vom 13. November 2026.
1. Wer wir sind
Die Quantum Liquid LLC, Gesellschaft nach dem Recht von Wyoming, 30 N Gould St, Ste R, Sheridan, WY 82801, Vereinigte Staaten von Amerika, betreibt den Dienst VisitLead («VisitLead» oder «der Dienst»). Kontakt für alle Fragen zu Personendaten: hello@visitlead.io.
VisitLead hilft einem Unternehmen (dem «Kunden») zu erfahren, welche Unternehmen seine Website besuchen, und benachrichtigt es, wenn ein Kontakt, den es bereits kennt, auf seine Website zurückkehrt. VisitLead identifiziert niemals eine unbekannte Person, kauft keine Daten über Personen und verkauft keine Daten.
Diese Erklärung gilt im Hinblick auf das Schweizer Bundesgesetz über den Datenschutz (revDSG, nDSG), die Datenschutz-Grundverordnung (DSGVO) für Personen in der Europäischen Union, im EWR oder im Vereinigten Königreich (UK GDPR) sowie die Datenschutzgesetze der US-Bundesstaaten, insbesondere den California Consumer Privacy Act in der durch den CPRA geänderten Fassung (CCPA).
2. Zwei verschiedene Rollen
VisitLead bearbeitet Daten in zwei Rollen, und diese Erklärung unterscheidet sie durchgehend:
| Daten | Rolle der Quantum Liquid LLC | Wer entscheidet |
|---|---|---|
| Kundenkonten: Personen, die sich bei VisitLead anmelden, Abonnemente, Einstellungen, E-Mails des Dienstes | Verantwortlicher | Quantum Liquid LLC |
| Globale Widerspruchsliste der Seite /optout | Verantwortlicher | Quantum Liquid LLC |
| Besuche der Website eines Kunden: Seitenaufrufe, über das Netz erkanntes Unternehmen, dem Kunden bekannte Kontakte und deren Rückkehr | Auftragsverarbeiter («service provider» im Sinne des CCPA) | Der Kunde als Verantwortlicher |
Für die Besucher der Website eines Kunden ist der Kunde der Verantwortliche: Er bindet den VisitLead-Tag ein, wählt dessen Einstellungen und informiert seine Besucher in seiner eigenen Datenschutzerklärung. VisitLead handelt nach seinen Weisungen gemäss dem Auftragsverarbeitungsvertrag (AVV), der auf visitlead.io abrufbar ist. Eine Person, welche die Website eines Kunden besucht, kann sich an den Kunden oder an VisitLead wenden; VisitLead leitet ihre Anfrage an den Kunden weiter.
3. Daten der Kunden (VisitLead als Verantwortlicher)
3.1 Konto
VisitLead verwaltet keine Passwörter. Die Anmeldung erfolgt über das Lead-Konto (ERPlead), den gemeinsamen Identitätsdienst der Lead-Anwendungen (erplead.io). VisitLead speichert die Kennung des Lead-Kontos, die E-Mail-Adresse, den Namen, die Sprache, die Organisation, die Rolle, das Abonnement und die damit verbundenen Rechte sowie die offenen Sitzungen.
3.2 Abonnement
Für ein in VisitLead abgeschlossenes Pro- oder Pro+-Abonnement speichert VisitLead die Kunden- und Abonnementsreferenz bei Stripe, das Abonnement, dessen Status und dessen Daten; die Kartendaten verbleiben bei Stripe. Ein Abonnement, das gewährt wird, weil die Organisation ein kostenpflichtiges Abonnement in einer anderen Lead-Anwendung hat, wird aus dem Lead-Konto ausgelesen (Abonnement, Herkunftsanwendung, Enddatum): Es werden keine Zahlungsdaten ausgetauscht.
3.3 Einstellungen und Integrationen
Die erfassten Websites (Name, Domain), die wichtigen Seiten, die Benachrichtigungseinstellungen, die Adresse des Slack-Webhooks oder des generischen Webhooks und dessen Geheimnis sowie die Fingerabdrücke der IP-Adressen des Teams, die der Kunde ausschliessen möchte (niemals die Adressen selbst).
3.4 E-Mails des Dienstes
Der Montags-Digest, die Benachrichtigungen und die Konto-E-Mails werden über Resend versandt. VisitLead führt ein Versandprotokoll (Fingerabdruck der Adresse, Betreff, Datum, Status) während höchstens 400 Tagen, um den Versand zu begrenzen und einen Widerspruch oder einen Bounce zu beachten.
3.5 Website visitlead.io
Die Website visitlead.io verwendet weder Reichweitenmessung durch Dritte noch Werbe-Cookies. Zur Begrenzung von Missbrauch wird ein Fingerabdruck (HMAC) der Netzkennung während höchstens zwei Stunden gespeichert; die IP-Adresse selbst wird niemals gespeichert.
4. Daten der Besucher der Websites der Kunden (VisitLead als Auftragsverarbeiter)
4.1 Was gemessen wird
Wenn eine Person eine Website besucht, die den VisitLead-Tag enthält, sendet der Tag: die Adresse der Seite (ohne ihre Parameter, ausser den Parametern utm_*), ihren Titel, die Website, von der die Person kommt (nur deren Domainname), die Bildschirmgrösse, die Sprache des Browsers und den erkannten Einwilligungsstatus.
Die IP-Adresse der Verbindung dient, nur im Arbeitsspeicher und für die Dauer der Anfrage, dazu, das Netz zu finden, von dem der Besuch stammt. Sie wird dafür an die öffentlichen Internetregister übermittelt. Für die Schweiz wird danach das Handelsregister nur mit dem Namen der Organisation abgefragt. Gehört dieses Netz einem Unternehmen, einer Schule oder einer Verwaltung, wird der Besuch dieser Organisation zugeordnet. Handelt es sich um einen Internetzugangsanbieter, einen Mobilfunkbetreiber oder einen Hosting-Anbieter, bleibt der Besuch «nicht identifiziert». Die IP-Adresse wird niemals in eine Datenbank oder in ein Protokoll geschrieben.
Um die Seiten eines Besuchs ohne Cookie zusammenzufassen, berechnet VisitLead einen Tagesfingerabdruck: einen Hashwert aus Website, IP-Adresse und Browser mit einem täglich wechselnden Geheimnis, das spätestens nach 48 Stunden gelöscht wird. Zwei verschiedene Tage können nicht miteinander verknüpft werden.
4.2 Dem Kunden bekannte Kontakte
Ein «bekannter Kontakt» ist eine Person, die der Kunde bereits kennt: Sie hat auf einen Link in einem Newsletter des Kunden geklickt, der ein VisitLead-Token enthält, sie hat ein Formular auf der Website des Kunden ausgefüllt, oder der Kunde hat sie importiert (CSV-Datei, ScanLead, Erfassung). Für einen bekannten Kontakt speichert VisitLead dessen E-Mail-Adresse, Namen, Unternehmen und Funktion, wie vom Kunden geliefert, einen Fingerabdruck der Adresse (HMAC), ein zufälliges Token für Links sowie dessen Besuche.
Wenn der Tag das Formular einer Website ausliest, übermittelt er nur die E-Mail-Adresse und die Felder für Name und Unternehmen, niemals die übrigen Felder oder ein Passwort, und nur, wenn die Regel des Landes des Besuchers dies erlaubt (§ 4.3).
4.3 Regeln nach Land des Besuchers
| Region des Besuchers | Über das Netz erkanntes Unternehmen | Erkennung eines bekannten Kontakts (Cookie _vl) |
|---|---|---|
| Europäische Union, EWR, Vereinigtes Königreich | Ja, IP nie gespeichert | Nur nach Einwilligung |
| Schweiz | Ja, IP nie gespeichert | Information und Widerspruchsmöglichkeit, oder Einwilligung je nach Einstellung des Kunden |
| Vereinigte Staaten | Ja, IP nie gespeichert | Ja, ausser bei einem Global-Privacy-Control- oder Do-Not-Track-Signal oder einem Widerspruch |
| Andere Länder | Ja, IP nie gespeichert | Wie in der Europäischen Union |
In allen Ländern verhindert ein Global-Privacy-Control- oder Do-Not-Track-Signal des Browsers jedes Cookie und jedes Auslesen von Formularen. Ein über den Link «#visitlead-optout» der Website des Kunden erklärter Widerspruch verhindert jede Übermittlung.
4.4 Was VisitLead niemals tut
- Eine unbekannte Person identifizieren, sei es über ihre IP-Adresse, ihren Browser oder eine gekaufte Datenbank.
- Die IP-Adresse eines Besuchers speichern.
- Eine Person von einer Kunden-Website zur nächsten verfolgen: Die Daten jedes Kunden bleiben in seinem Bereich.
- Besucherdaten im Sinne des CCPA verkaufen oder weitergeben oder sie für Werbung nutzen.
Die Angaben zu Unternehmensnetzen (Name der Organisation, Domain, Land, Ort) werden während 90 Tagen in einem gemeinsamen Cache gespeichert: Es handelt sich um Daten von Organisationen aus öffentlichen Registern, niemals um Daten von Personen.
5. Zwecke und Rechtsgrundlagen
| Zweck | Rechtsgrundlage |
|---|---|
| Erbringung des Dienstes für die Kunden, Einzug der Abonnemente | Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) |
| E-Mails des Dienstes (Digest, Benachrichtigungen, Konto) | Vertragserfüllung (Art. 6 Abs. 1 lit. b) |
| Begrenzung von Missbrauch, Sicherheit | Berechtigtes Interesse (Art. 6 Abs. 1 lit. f) |
| Globale Widerspruchsliste (/optout) | Rechtliche Pflicht zur Beachtung eines Widerspruchs (Art. 21 DSGVO, Art. 30 revDSG) und berechtigtes Interesse (Art. 6 Abs. 1 lit. f) |
| Messung der Besuche für einen Kunden | Auftragsverarbeitung für den Kunden (Art. 28 DSGVO, Art. 9 revDSG); der Kunde wählt seine Rechtsgrundlage: berechtigtes Interesse für das ohne Cookie erkannte Unternehmen, Einwilligung für das Cookie, wo sie erforderlich ist |
6. Aufbewahrungsdauer
- Besuche, Seitenaufrufe, Benachrichtigungen und Cookies _vl: höchstens 12 Monate, danach automatische Löschung (tägliche Aufgabe). Im Gratis-Abonnement werden dem Kunden nur die letzten 30 Tage angezeigt.
- Tagesfingerabdruck: Sein Geheimnis wird spätestens nach 48 Stunden gelöscht.
- Cache der Unternehmensnetze: 90 Tage, danach erneut abgefragt.
- Bekannte Kontakte: solange der Kunde sie behält, längstens bis zur Löschung seines Bereichs. Ein Kontakt, der widerspricht, wird markiert und nicht mehr erkannt.
- Globale Widerspruchsliste: ein Fingerabdruck der Adresse (HMAC), solange der Widerspruch gilt, ohne die Adresse selbst.
- Kontodaten: während der Nutzung des Dienstes; Löschung 30 Tage nach Ende jedes Zugangs oder auf Verlangen früher.
- Versandprotokoll der E-Mails: höchstens 400 Tage. Sitzungen: 12 Stunden.
7. Auftragsverarbeiter
| Auftragsverarbeiter | Rolle | Ort |
|---|---|---|
| Vercel Inc. | Hosting der Anwendung und des Tags | Region Frankfurt (Deutschland) |
| Neon (Databricks, Inc.) | Datenbank | AWS eu-central-1 (Frankfurt) |
| Resend | E-Mails des Dienstes | Europäische Union und Vereinigte Staaten |
| Stripe Payments Europe | Zahlung der Abonnemente | Irland und Vereinigte Staaten |
| Öffentliche Internetregister und Schweizer Handelsregister | Ermittlung des Netzes und der Organisation eines Besuchs | Je nach Register |
| Anthropic | KI-Assistent | Vereinigte Staaten |
| Slack oder das vom Kunden gewählte Tool | An die vom Kunden angegebene Adresse gesendete Signale | Je nach Tool |
8. Übermittlungen ins Ausland
Die Daten werden in Frankfurt (Europäische Union) gehostet. Die Quantum Liquid LLC hat ihren Sitz in den Vereinigten Staaten, und einige Auftragsverarbeiter können Daten ausserhalb der Schweiz und der EU/des EWR bearbeiten. Diese Übermittlungen stützen sich auf die im revDSG und in der DSGVO vorgesehenen Garantien, insbesondere die Standardvertragsklauseln der Europäischen Kommission mit dem Schweizer Zusatz, und auf das Data Privacy Framework, sofern der Empfänger danach zertifiziert ist.
9. Ihre Rechte
Jede Person kann Auskunft über ihre Daten, deren Berichtigung, Löschung, die Einschränkung der Bearbeitung und deren Übertragbarkeit verlangen sowie einer auf berechtigtem Interesse beruhenden Bearbeitung widersprechen. Einwohner Kaliforniens haben zudem das Recht zu erfahren, welche Daten bearbeitet werden, sie löschen oder berichtigen zu lassen und wegen der Ausübung dieser Rechte nicht benachteiligt zu werden; VisitLead verkauft und teilt keine Personendaten.
- Von keinem VisitLead-Kunden mehr erkannt werden: Seite https://visitlead.io/de/optout. Nach Bestätigung per E-Mail wird Ihre Adresse bei allen Kunden als widersprochen markiert und bei jedem künftigen Import abgelehnt.
- Auf einer Website nicht mehr gemessen werden: Link «#visitlead-optout» der betreffenden Website, Einstellung Global Privacy Control Ihres Browsers oder Ablehnung im Einwilligungsbanner der Website.
- Andere Anfragen: hello@visitlead.io. Bei Besuchen einer Website leiten wir die Anfrage an den betreffenden Kunden weiter und helfen ihm bei der Beantwortung.
Eine Beschwerde kann beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB, www.edoeb.admin.ch), bei der Aufsichtsbehörde des Wohnorts in der Europäischen Union oder bei der California Privacy Protection Agency eingereicht werden.
10. Cookies
Auf visitlead.io werden nur notwendige Cookies verwendet (Sitzung, Sprache, Währung, Anmeldung beim Lead-Konto). Das vom Tag auf den Websites der Kunden gesetzte Cookie _vl ist in der Cookie-Richtlinie des Tags beschrieben.
11. Sicherheit
Verschlüsselung bei der Übertragung (TLS), im Ruhezustand verschlüsselte Datenbank, Zugriff beschränkt auf die Personen, die ihn benötigen, nach Verwendungszweck getrennte Geheimnisse, Fingerabdrücke mit Schlüssel (HMAC) statt der Werte, wo immer möglich. Eine Verletzung der Datensicherheit, welche die Daten eines Kunden betrifft, wird ihm ohne unangemessene Verzögerung gemeldet.
12. Änderungen
Jede wesentliche Änderung wird auf der Website und, für die Kunden, per E-Mail oder in der Anwendung vor ihrem Inkrafttreten angekündigt.