Nutzt Ihre Website Drittanbieter-Dienste? Werden Sie in wenigen Minuten DSGVO-konform.
FlowConsent testenmobileCta.note
Roistat ist eine End to End Marketinganalyse Plattform der Moskauer Roistat OOO. Sie kombiniert Webanalyse, dynamisches Call Tracking, Formularverfolgung und CRM Integration, um jeden Lead und jede Bestellung einer Marketingquelle zuzuordnen. Roistat setzt persistente Cookies, tauscht angezeigte Rufnummern besucherbezogen aus und exportiert personenbezogene Daten an Server in Russland. Für europäische Einsätze bedeutet das einen Hochrisiko Transfer in ein Land ohne EU Angemessenheitsbeschluss und verlangt ausdrückliche Einwilligung sowie zusätzliche Schutzmassnahmen.
Roistat ist eine End to End Marketinganalyse Plattform der Roistat OOO mit Sitz in Moskau. Performance Marketing Teams nutzen sie, um jeden Formular Lead, jeden Anruf und jede Bestellung einem konkreten Werbekanal, einer Kampagne, einem Keyword und einer Anzeige zuzuordnen. Roistat verbindet einen JavaScript Tracker auf der Website, dynamisches Call Tracking mit besucherbezogenem Austausch der Telefonnummer, Anbindungen an CRM Systeme und Werbeplattformen sowie ein zentrales Dashboard mit ROI , CPL und Umsatzkennzahlen je Kanal.
Ursprünglich für den russischen und GUS Markt konzipiert, wird Roistat weiterhin von europäischen Unternehmen genutzt, die in diesen Märkten aktiv sind. Aus DSGVO Sicht ist der Kernpunkt, dass Produktionsdaten auf Infrastrukturen in der Russischen Föderation verarbeitet werden, einem Land ohne Angemessenheitsbeschluss und mit weitreichenden staatlichen Überwachungsbefugnissen.
Roistat setzt persistente First Party Cookies wie roistat_visit, roistat_first_visit, roistat_visit_cookies_v2 und roistat_visit_id (typischerweise 12 Monate), um denselben Besucher über Sitzungen hinweg zu erkennen. Erfasst werden IP Adresse, Browser Fingerprint, Referrer, Landingpage, vollständige URL Parameter (utm, gclid, fbclid, yclid), Interaktionsereignisse und Formularsendungen. Das dynamische Call Tracking liest das Besucher Cookie, ersetzt die angezeigte Telefonnummer durch eine dem Besuch zugewiesene Nummer und protokolliert Anrufer ID, Dauer, Aufzeichnung (sofern aktiviert) und Quellkampagne.
CRM Integrationen übertragen Lead Identifikatoren, Deal Status, Umsatz und Kontaktdaten in das Roistat Warehouse. Serverseitige Konnektoren exportieren ausserdem Werbeausgaben, Click IDs und Conversions. All das konzentriert sich auf Roistat Infrastruktur in Russland.
Lesen und Schreiben von Cookies zu Analyse oder Marketingzwecken löst Artikel 5 Absatz 3 der ePrivacy Richtlinie und Paragraph 25 TDDDG aus: erforderlich ist eine vorherige, informierte und freiwillige Einwilligung; Ausnahmen sind eng und treffen für Roistat nicht zu. Darüber hinaus verarbeitet Roistat personenbezogene Daten im Sinne von Artikel 4 DSGVO (IP, persistente Kennung, Telefonnummer, Sprachaufzeichnung, CRM Identität); der Händler benötigt zusätzlich eine gültige Rechtsgrundlage nach Artikel 6. Die DSK und die CNIL halten dynamisches Call Tracking ausdrücklich für einwilligungspflichtig und prüfen Verhältnismässigkeit.
Get GDPR compliant in 10 minutes
Free plan available · No credit card required
In der Praxis ist die einzige tragfähige Rechtsgrundlage für Roistat auf einer europäischen Website die Einwilligung nach Artikel 6 Absatz 1 lit. a DSGVO, kombiniert mit der ePrivacy Cookie Einwilligung. Angesichts des Zielstaats (Russland) und des Umfangs der Verarbeitung (Analyse, Call Tracking, CRM Anreicherung) wird eine ausdrückliche Einwilligung empfohlen. Das Script darf nicht vor dem Opt In laden, die dynamische Tracking Nummer darf die statische Nummer erst nach Einwilligung ersetzen, und die Ablehnung muss laut EDSA Leitlinien 03/2022 ebenso einfach sein wie die Annahme.
Russland verfügt über keinen Angemessenheitsbeschluss. Jeder Transfer von EWR Daten an Roistat Infrastruktur stützt sich daher auf Garantien nach Artikel 46 DSGVO, in der Praxis die EU Standardvertragsklauseln mit ergänzenden Massnahmen, und auf ein Transfer Impact Assessment gemäss EDSA Empfehlungen 01/2020. Das TIA muss das russische Föderalgesetz 152 FZ, das technische SORM Abhörregime, die weitreichenden Befugnisse des FSB und die seit 2022 ausgesetzte Beziehung Russland Europarat berücksichtigen, mit der ein effektiver EMRK Rechtsweg entfallen ist. DSK und EDSA haben signalisiert, dass reine SCC ohne starke Zusatzmassnahmen für Russland kaum genügen. Sanktionsrecht kann zudem die Vertragsfähigkeit beschränken.
DSFA durchführen und dokumentieren. SCC mit Roistat OOO unterzeichnen, ergänzende Massnahmen festhalten (Verschlüsselung in Transit, Pseudonymisierung, vertragliche Begrenzung von Behördenoffenlegungen über bindende Anordnungen hinaus, Datenminimierung, kurze Aufbewahrung, Anrufaufzeichnung standardmässig deaktiviert). Das Roistat Tag und den dynamischen Nummerntausch bis zur Einwilligung blockieren. Russland Transfer prominent in der Datenschutzerklärung offenlegen. Anbindungen auf bestimmte Formulare beschränken. Sanktionsrisiken juristisch prüfen. Für reine EU Operationen den Ersatz durch in der EU gehostete Call Tracking und Attribution Tools erwägen.
Websites using Roistat must obtain user consent under GDPR regulations.
DPIA considerations
Eine DSFA nach Artikel 35 DSGVO ist dringend zu empfehlen und in der Regel verpflichtend, da Roistat umfangreiches Verhaltenstracking mit dynamischem Call Tracking, CRM Anreicherung und geräteübergreifendem Profiling verknüpft und personenbezogene Daten nach Russland überträgt, einem Land ohne EU Angemessenheitsbeschluss. Die DSFA muss Datenkategorien (IP, vollständige URL, Click ID, persistentes Besucher Cookie, zugewiesene Rufnummer, Anrufaufzeichnungen sofern aktiviert, CRM Identifikatoren), Verarbeitungszwecke, Aufbewahrungsfristen, Transfermechanismus, ergänzende technische und organisatorische Massnahmen (Verschlüsselung, Pseudonymisierung, vertragliche Beschränkungen behördlicher Zugriffe), Restrisiko und Rechtsgrundlage (fast immer ausdrückliche Einwilligung) beschreiben. EU gehostete Alternativen prüfen.
Sample consent text
Wir nutzen Roistat, eine in Russland von der Roistat OOO betriebene Marketinganalyse und Call Tracking Plattform, um die Wirkung unserer Werbung auf Besuche, Anrufe und Bestellungen zu messen. Mit Ihrer Einwilligung setzt Roistat persistente Cookies, ersetzt die angezeigte Telefonnummer durch eine Ihrem Besuch zugewiesene Tracking Nummer, protokolliert Anruf Metadaten und überträgt Ihre Interaktionen an Roistat Server in der Russischen Föderation. Russland verfügt über keinen EU Angemessenheitsbeschluss; Transfers stützen sich auf EU Standardvertragsklauseln mit ergänzenden Massnahmen. Sie können ablehnen, ohne die Website zu verlieren.
Third-party domains contacted
roistat.comcloud.roistat.comcdn.roistat.comapi.roistat.comCookies placed
| Name | Type | Duration | Purpose |
|---|---|---|---|
| roistat_visit | Persistent | 12 months | Persistent first party identifier that ties every page view, form submission and inbound phone call to the same visit and visitor for marketing attribution and ROI calculation in the Roistat warehouse. |
| roistat_visit_id | Persistent | 12 months | Unique numeric identifier of the current visit. Used by the dynamic call tracking module to assign and recall the phone number swapped on the page. |
| roistat_first_visit | Persistent | 12 months | Records the source, medium, campaign, content and term of the first observed visit. Enables first touch attribution alongside last touch. |
| roistat_visit_cookies_v2 | Persistent | 12 months | Stores the click identifiers (gclid, yclid, fbclid) and full set of UTM parameters captured at the start of the visit, used for cross channel attribution. |
| roistat_marker | Local Storage | Until cleared | Local storage marker written by the Roistat JavaScript bundle to detect repeat visitors when cookies are blocked and to coordinate the dynamic phone number swap. |
Roistat erhebt Analyse-Daten — Sie benötigen rechtlich ein Cookie-Banner. Testen Sie FlowConsent kostenlos.
Roistat setzt persistente First Party Cookies wie roistat_visit, roistat_first_visit, roistat_visit_cookies_v2 und roistat_visit_id (typischerweise 12 Monate), um denselben Besucher über Sitzungen und Kanäle hinweg zu erkennen. Erfasst werden IP Adresse, Browser Fingerprint, Referrer, vollständige URL Parameter (utm, gclid, fbclid, yclid), Seitenaktionen und Formularsendungen. Das dynamische Call Tracking Modul liest das Besucher Cookie, ersetzt die angezeigte Telefonnummer durch eine dem Besuch zugewiesene Nummer und protokolliert Anrufer ID, Dauer, Aufzeichnung (sofern aktiviert) und zugeordnete Kampagne. CRM Integrationen übertragen Lead Identifikatoren, Deal Status und Umsatz in das Roistat Warehouse, das in Russland gehostet wird.
Ja. Roistat setzt persistente Cookies und liest Kennungen vom Endgerät zu Analyse und Marketingzwecken, die nicht unbedingt erforderlich sind. Artikel 5 Absatz 3 der ePrivacy Richtlinie und Paragraph 25 TDDDG verlangen eine vorherige, informierte und freiwillige Einwilligung. Der dynamische Rufnummerntausch und die CRM Anreicherung erweitern die Verarbeitung um verhaltens und kontaktbezogene Daten und erfordern zusätzlich eine Rechtsgrundlage nach Artikel 6 DSGVO. Das Roistat Script darf erst nach Opt In durch eine konforme CMP laden; die angezeigte Telefonnummer darf erst danach getauscht werden. Die Ablehnung muss laut EDSA Leitlinien 03/2022 ebenso einfach sein wie die Annahme.
Auf einer europäischen Website ist die einzige tragfähige Rechtsgrundlage die Einwilligung nach Artikel 6 Absatz 1 lit. a DSGVO, kombiniert mit der ePrivacy Einwilligung für Cookies und Identifier. Das berechtigte Interesse nach Artikel 6 Absatz 1 lit. f ist nicht angemessen, da die Verarbeitung eingriffsintensiv ist (persistente sitzungsübergreifende Kennung, dynamischer Rufnummerntausch, Sprachaufzeichnung, CRM Anreicherung) und Daten in ein Drittland ohne Angemessenheitsbeschluss übertragen werden. Die Aufsichtsbehörden erwarten eine ausdrückliche Einwilligung, die spezifisch Analyse, Call Tracking und internationalen Transfer umfasst, mit granularer Ablehnungsoption.
Ja, und dies ist die zentrale Datenschutzfrage. Die Roistat OOO betreibt ihre Produktionsinfrastruktur aus der Russischen Föderation. Russland verfügt über keinen Angemessenheitsbeschluss; der Überwachungsrahmen (insbesondere Föderalgesetz 152 FZ, das technische SORM Abhörregime und die weitreichenden Ermittlungsbefugnisse des FSB) und die 2022 ausgesetzte Beziehung zum Europarat entziehen Betroffenen aus der EU einen wirksamen Rechtsweg. Transfers müssen sich auf Garantien nach Artikel 46 DSGVO stützen, in der Praxis die EU Standardvertragsklauseln mit zusätzlichen technischen und organisatorischen Massnahmen, und auf eine ausführliche Transfer Impact Assessment nach EDSA Empfehlungen 01/2020.
Ja. Eine DSFA nach Artikel 35 DSGVO ist dringend zu empfehlen und in der Regel verpflichtend, da Roistat mehrere Hochrisiko Kriterien erfüllt: umfangreiches Verhaltenstracking, persistente sitzungsübergreifende Kennung, dynamisches Call Tracking, das einen Sprachkanal in Echtzeit eingreift, CRM Identitäts Anreicherung sowie Transfer in ein Land ohne Angemessenheitsbeschluss. Die DSFA muss Datenkategorien, Aufbewahrung, Transfermechanismus, angewandte ergänzende Massnahmen (Verschlüsselung, Pseudonymisierung, vertragliche Beschränkungen), das Restrisiko nach Massnahmen und die gewählte Rechtsgrundlage beschreiben und ist bei Hinzufügung von Anrufaufzeichnung oder sensiblen Formularen zu überarbeiten.
SCC mit Roistat OOO unterzeichnen und ergänzende Massnahmen dokumentieren (Verschlüsselung in Transit, pseudonymisierte Besucher Kennung, vertragliche Begrenzung von Behördenoffenlegungen über bindende Anordnungen hinaus, minimierte Aufbewahrung, Anrufaufzeichnung standardmässig aus). DSFA durchführen und Kurzfassung veröffentlichen. Tracking Tag und dynamischen Rufnummerntausch erst nach Opt In durch eine konforme CMP laden. Russland Transfer prominent in der Datenschutzerklärung offenlegen. Die ausgerollten Module einschränken (Call Tracking nur auf relevanten Seiten, ohne Aufzeichnung, ohne zusätzliches Profiling). Roistat in die Vendor Liste der CMP aufnehmen. Sanktionsrisiken juristisch prüfen.
In der EU gehostete Attributions und Call Tracking Plattformen reduzieren sowohl die Einwilligungsfriktion als auch das Transferrisiko. Zu prüfen: Dialogtech, Phonexa, CallRail (mit EU Residenzoption), native Attribution von HubSpot oder Salesforce, Matomo plus europäischer Call Tracking Anbieter (Mediahawk, Infinity, FreeSpee, Magnetic North), Adobe Analytics mit EU Servern, Piwik PRO, Mixpanel mit EU Residenz. Alle benötigen Einwilligung für nicht notwendige Cookies, operieren aber überwiegend aus dem EWR oder unter Angemessenheitsbeschluss, was die Transfer Impact Assessment und die Datenschutzerklärung vereinfacht.
Im Cookie Hinweis die First Party Cookies von Roistat namentlich mit Dauer und Kategorie aufführen (Analyse, Marketing, Call Tracking) und sie in der CMP dem Roistat Zweck zuordnen. In der Datenschutzerklärung Roistat OOO als Datenimporteur in Russland und als Auftragsverarbeiter benennen, die Rechtsgrundlage (Einwilligung) angeben, Datenkategorien aufführen (IP, persistente Kennung, Telefon, Anruf Metadaten, CRM Identität), Zielland nennen, auf SCC und ergänzende Massnahmen verlinken, die Aufbewahrungsdauer angeben und Wege zum Widerruf sowie zur Wahrnehmung von Betroffenenrechten bereitstellen. Nach jeder Konfigurationsänderung erneut auditieren.