No-Sale-Versprechen

TL;DR: CookieVault wird deine Daten niemals verkaufen, vermieten, verleasen, für kontextübergreifende Werbung teilen oder anderweitig monetarisieren. Dies ist eine dauerhafte, durchsetzbare Zusage, die jeden Nutzer und jede Datenkategorie abdeckt — keine vorübergehende Marketing-Zeile — und sie bindet jeden zukünftigen Erwerber.

Das No-Sale-Versprechen ist CookieVaults dauerhafte, öffentliche Zusage, Nutzerdaten niemals zu verkaufen, zu vermieten, zu verleasen, für kontextübergreifende Werbung zu teilen oder anderweitig gegen Gegenwert zu monetarisieren. Es existiert, weil der Bereich Browser-Erweiterungen und Cookie-Tools eine lange Geschichte von Produkten kennt, die übernommen und still in Datensammel-Vehikel verwandelt wurden — ein datenschutz-zentriertes Produkt muss daher klar und dauerhaft sagen, dass es das nicht tun wird.

Geltungsbereich des Versprechens

Kurz gesagt: Das Versprechen umfasst jeden Nutzer (Free, Pro, Team) und jede Datenkategorie, die wir berühren — die E-Mail- und Abrechnungs-IDs, die wir lesen können, und die verschlüsselten Blobs, die wir nicht lesen können. Es gibt keine Ausnahmen für “anonymisierte”, “aggregierte” oder “de-identifizierte” Daten.

Alles, was das Versprechen abdeckt:

• Cookie-Inhalte — bereits Ende-zu-Ende-verschlüsselt und unabhängig davon nie verkauft oder geteilt
• Konto-E-Mail — nie verkauft, vermietet oder zu Werbezwecken geteilt
• Abrechnungs-Kennungen — die Paddle-Kunden-ID und zugehörige Metadaten
• Support-Korrespondenz — nie ausgewertet oder monetarisiert
• Aggregierte Analytics — cookielos und ausschließlich aggregiert und auch in zusammengefasster Form nie verkauft
• Jedes “de-identifizierte” Derivat — ausdrücklich erfasst, weil De-Identifikation die übliche Schlupftür ist

Es gibt keine Sternchen-Ausnahme für “anonymisierte” Daten, weil die Re-Identifikation vermeintlich anonymer Datensätze gut dokumentiert ist und wir uns nicht auf diese Fiktion stützen werden.

Was “sale” bedeutet

Kurz gesagt: Wir übernehmen die weite CCPA-Definition — jede Offenlegung personenbezogener Daten an Dritte gegen Geld oder anderen wertvollen Gegenwert — und schließen ausdrücklich die indirekten Arrangements ein (Lizenzierung, Lookalike-Audiences, Werbe-Bidding, Kohortenverkäufe), mit denen Unternehmen Daten monetarisieren, ohne es Verkauf zu nennen.

Wir verwenden den bewusst weiten Rahmen des CCPA, der einen “sale” so definiert, dass er das Freigeben, Offenlegen oder anderweitige Übermitteln personenbezogener Daten gegen “monetary or other valuable consideration” umfasst.¹ Die CPRA-Änderung hat separat “sharing” für kontextübergreifende verhaltensbasierte Werbung hinzugefügt, und unser Versprechen erfasst auch das.²

Erlaubte Offenlegungen

Kurz gesagt: Genau drei, und keine davon ist ein Verkauf: Paddle für die Abrechnung, Cloudflare für Hosting und Transit und rechtliche Zwangsmaßnahmen durch eine gültige gerichtliche Anordnung. Wir erhalten für keine davon einen Gegenwert, und wir treten überbordenden Forderungen entgegen.

Die vollständige Liste der Offenlegungen, die wir vornehmen:

1. Paddle — zur Abwicklung von Zahlungen und Steuern als unser Merchant of Record
2. Cloudflare — zum Hosting des Dienstes und Transport deiner verschlüsselten Daten
3. Rechtliche Zwangsmaßnahmen — nur unter einer gültigen Vorladung oder gerichtlichen Anordnung und nur im Mindestumfang

Keine davon ist ein Verkauf: Wir erhalten keinen Gegenwert, die Empfänger sind Dienstleister, die vertraglich oder gerichtlich gebunden sind, und die verschlüsselten Blobs bleiben sowohl im Transit als auch in der Ablage unlesbar. Wir verpflichten uns zu einem Transparenzbericht, der etwaige erzwungene Offenlegungen zusammenfasst.

Wie das durchsetzbar ist

Kurz gesagt: Eine erklärte No-Sale-Zusage ist nach dem CCPA durch Regulierungsbehörden durchsetzbar, und sie falsch darzustellen, ist eine unlautere Geschäftspraktik. Wir verstärken das mit einer PGP-signierten Erklärung im Git-Archiv, der Integration in die verbindlichen Nutzungsbedingungen und einer Change-of-Control-Klausel, die jeden Erwerber bindet.

Der Durchsetzbarkeits-Stack, stärkste rechtliche Ebene zuerst:

• Gesetzlich — nach CCPA/CPRA ist eine No-Sale-Erklärung durch die California Privacy Protection Agency und den Attorney General durchsetzbar, und sie falsch darzustellen, ist eine unlautere Geschäftspraktik¹
• Vertraglich — das Versprechen ist in die verbindlichen Nutzungsbedingungen eingebettet und damit Teil deiner Vereinbarung mit uns
• Bindet Nachfolger — eine Change-of-Control-Klausel trägt das Versprechen auf jeden Erwerber über, sodass ein Verkauf des Unternehmens nicht still und leise einen Verkauf deiner Daten ermöglichen kann
• Kryptografische Provenienz — eine PGP-signierte Kopie des Versprechens wird in der öffentlichen Git-Historie archiviert, zeitgestempelt und manipulationssicher

Siehe auch

• Datenschutzerklärung — was wir erheben und niemals erheben
• Sicherheit — die Ende-zu-Ende-Verschlüsselung hinter diesen Zusagen
• Nutzungsbedingungen — wo das Versprechen vertraglich verbindlich wird
• Über uns — warum wir uns durch Abonnements finanzieren, nicht durch Daten