Datenschutzerklärung

Stand: 22. Mai 2026. Version 2.

Diese Datenschutzerklärung informiert nach Art. 13 DSGVO über die Verarbeitung personenbezogener Daten beim Aufruf der Website https://trackjet.world.

1. Verantwortlicher #

TrackJet wird betrieben von Trackjet. Postanschrift: Bürgeler Straße 25, Frankfurt am Main, Deutschland. Datenschutzanfragen erreichen uns unter [email protected].

2. Welche Daten wir verarbeiten #

Daten, die Sie aktiv übermitteln

Trackingnummern, die Sie in das Suchfeld eingeben. Diese werden mit einem täglich rotierenden Salt gehasht; das Original wird nicht gespeichert.
Optionale Notizen zu Sendungen, die Sie mit „my TrackJet" speichern. Diese liegen ausschließlich im localStorage Ihres Browsers und werden nicht an unseren Server übertragen.

Automatisch verarbeitete Daten

Nur Landeskennung — wird aus dem CF-IPCountry-Header von Cloudflare ausgelesen. Ihre IP-Adresse wird nicht im Klartext gespeichert.
Gerätekategorie (mobil / desktop / tablet / bot) — nicht der vollständige User-Agent.
Referrer-Domain (z. B. „google.com") — nicht die vollständige URL.
Anonyme Session-ID — ein 16-Zeichen-Hash, serverseitig aus Verbindungs-Metadaten und einem täglich rotierenden Salt abgeleitet. Tagesübergreifend mathematisch nicht zuordenbar. Wird ausschließlich für aggregierte Statistiken verwendet.

Wenn Sie sich anmelden (Kontodaten)

Öffentliches Tracking benötigt kein Konto. Wenn Sie eines anlegen, verarbeiten wir zusätzlich die folgenden Daten — nur zur Bereitstellung der genutzten Funktionen, gemäß Art. 6 Abs. 1 lit. b DSGVO (Vertrag):

Konto: Ihre E-Mail-Adresse und einen Argon2id-Hash Ihres Passworts (niemals im Klartext), Ihre Sprache und Benachrichtigungseinstellungen.
Gespeicherte Sendungen: Trackingnummern und optionale Bezeichnungen, die Sie in Ihrem Konto speichern, auf unseren EU-Servern, um Status zu aktualisieren und Benachrichtigungen zu senden.
E-Mail-Benachrichtigungen: ein Protokoll, welche Statusänderungen wir Ihnen gemailt haben — für Zustellung und Ein-Klick-Abmeldung.
Mail-in-Tracking: die Metadaten der Carrier-Status-E-Mails, die Sie an Ihre persönliche TrackJet-Adresse weiterleiten (Absender, Betreff, erkannte Ereignisse) — nicht Ihr Postfach.
Geteilte Links: das Token und die Privacy-Lens-Feldauswahl je geteilter Sendung; ein Widerruf beendet die Auflösung.
API-Schlüssel: einen Einweg-Hash je Schlüssel (niemals das Geheimnis) plus Nutzungszähler.
Webhooks: die registrierte Endpunkt-URL und Zustellprotokolle (Status, Wiederholungen).
Passport-Exporte: bei Bedarf aus bereits vorhandenen Daten erzeugt; wir behalten keine separate Kopie.
Support-Nachrichten: den Inhalt Ihrer E-Mails an uns und unsere Antworten.

Daten, die wir NICHT verarbeiten

Ihren Namen oder Ihre E-Mail-Adresse, wenn Sie weder ein Konto anlegen noch uns schreiben
Ihre IP-Adresse im Klartext
Den vollständigen User-Agent-String
Cross-Site-Tracking-Cookies

3. Rechtsgrundlage (DSGVO Art. 6) #

Art. 6 Abs. 1 lit. f — berechtigte Interessen: Betrieb des Tracking-Routers und dessen Weiterentwicklung mittels aggregierter Statistiken. Kein Profiling auf Einzelpersonenebene.
ePrivacy Art. 5 Abs. 3 — unbedingt erforderlich: der Einsatz von localStorage für „my TrackJet" — nur weil Sie aktiv eine Sendung gespeichert haben.
Art. 6 Abs. 1 lit. a — Einwilligung: für Werbung von Drittanbietern (Google AdSense), sofern Sie diese im Cookie-Banner aktiv akzeptiert haben.

4. Ihre Rechte nach DSGVO #

Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch und Datenübertragbarkeit bezüglich aller personenbezogenen Daten, die wir über Sie gespeichert haben, sowie das Recht, sich bei einer Aufsichtsbehörde zu beschweren. Hinweis: Tracking-Nummer-Hashes sind nach 24 Stunden nicht mehr umkehrbar. Anfragen bitte an [email protected].

5. Cookies und localStorage #

Wir setzen EIN unbedingt erforderliches Cookie (tj_csrf) zur Absicherung von Formularübertragungen. Keine Tracking-Cookies. localStorage wird ausschließlich für Funktionen verwendet, die Sie aktiv nutzen: gespeicherte Sendungen in „my TrackJet" und die Dark-Mode-Voreinstellung. Sie können den localStorage jederzeit über Ihre Browser-Einstellungen oder über „Alles löschen" in /my/shipments entfernen. Eine ausführliche Liste finden Sie in der Cookie-Richtlinie.

6. Empfänger und Drittanbieter #

Cloudflare (CDN + Sicherheit): verarbeitet Verbindungs-Metadaten zur Performance- und Bot-Abwehr. Sitz: USA — Datentransfer abgesichert durch EU-US Data Privacy Framework und Standardvertragsklauseln (SCC).
Google AdSense (sofern aktiviert): wenn wir Anzeigen ausspielen (von uns gesteuerter Schalter), kann Google AdSense Cookies setzen. Anzeigen-Einstellungen verwalten Sie unter adssettings.google.com. Sitz: USA — selber Transfermechanismus.

Carrier und lizenzierte Feeds: Wenn Sie eine Sendung verfolgen, können die Trackingnummer und Ihre Anfrage an die offizielle Tracking-Oberfläche des Carriers oder an einen lizenzierten Live-Event-Feed (z. B. DHL UTAPI) übermittelt werden, damit wir Sie weiterleiten oder eine quellengekennzeichnete Timeline erstellen können. Der Carrier verarbeitet diese Daten dann nach seiner eigenen Datenschutzerklärung. TrackJet erfindet niemals Carrier-Ereignisse.

Auftragsverarbeitungsvertrag (AVV): Geschäftskunden, die als Verantwortliche handeln, können einen AVV nach Art. 28 DSGVO anfordern. Während des Early Access auf Anfrage unter [email protected]; ein Standard-AVV wird angeboten, sobald Geschäftskonten live gehen.

7. Speicherdauer #

Datenkategorie	Speicherdauer
Tracking-Nummer-Hashes	365 Tage, danach aggregiert und gelöscht.
Anonyme Session-IDs	30 Tage, danach aggregiert.
Aggregierte Statistik	unbestimmt (keine personenbezogenen Daten).
Kontodaten (E-Mail, Einstellungen)	solange Ihr Konto aktiv ist; innerhalb von 30 Tagen nach Kontolöschung gelöscht.
Gespeicherte Sendungen und ihre Ereignisse	solange gespeichert; Sendungsereignisse werden in einem rollierenden 30-Tage-Zyklus und bei Löschung der Sendung oder des Kontos entfernt.
Benachrichtigungs- und Webhook-Zustellprotokolle	90 Tage.
Mail-in-E-Mail-Metadaten	in Sendungsereignisse umgewandelt, die Rohmetadaten innerhalb von 30 Tagen verworfen.
API-Schlüssel-Hashes	bis zum Widerruf des Schlüssels; Nutzungszähler 90 Tage.
Tokens geteilter Links	bis zum Widerruf.
Support-Nachrichten	bis zu 2 Jahre, zur Bearbeitung von Rückfragen und Rechtsansprüchen.

8. Internationale Datenübermittlungen #

Unsere Server stehen in Deutschland (Frankfurt). Im Regelbetrieb verlassen Ihre Daten die EU nicht. Cloudflare und Google AdSense übermitteln aufgrund ihrer Konzernstruktur Daten in die USA; die Übermittlung ist durch das EU-US Data Privacy Framework und Standardvertragsklauseln (SCC) abgesichert.

9. Kinder #

Dieses Angebot richtet sich nicht an Kinder unter 16. Wir erheben wissentlich keine Daten von Minderjährigen.

10. Änderungen dieser Erklärung #

Wesentliche Änderungen werden über das oben angezeigte „Stand"-Datum sowie über einen 30-tägigen Banner auf dieser URL angekündigt.

11. Beschwerderecht #

Sie haben jederzeit das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig für Hessen (Sitz Frankfurt am Main): Hessischer Datenschutzbeauftragter, datenschutz.hessen.de.