Woopra
Woopra ist eine US-amerikanische Customer-Journey-Analytics-Plattform, die Webanalyse, Produktanalyse und Kundenprofile in einem Werkzeug vereint. Sie verfolgt individuelles Nutzerverhalten über Web, Mobil und SaaS und baut in Echtzeit identifizierte Kundenprofile auf. Da die Daten zu Woopra Inc. in die USA übertragen werden und die Plattform identifizierte Personen verfolgt, erfordert ein Einsatz für EU-Traffic eine ausdrückliche Einwilligung nach DSGVO und ePrivacy-Richtlinie sowie eine Schrems-II-Uebermittlungsbewertung.
Was macht Woopra?
Was ist Woopra
Woopra ist eine Customer-Journey-Analytics-Plattform der Woopra Inc. mit Sitz in San Francisco. Sie kombiniert Webanalyse, Mobile-Analytics und Product-Analytics und verknüpft jedes erfasste Event mit einem identifizierten Kundenprofil statt mit einer anonymen Sitzung. Marketing-, Vertriebs- und Produktteams nutzen Woopra, um individuelle Nutzerwege vom Erstbesuch über Kauf bis hin zur Bindung nachzuvollziehen.
Das Tracking erfolgt über einen JavaScript-Snippet (woopra.com Tracker), mobile SDKs und direkte REST-API-Aufrufe aus Backend-Services. Jeder Nutzer wird über eine E-Mail-Adresse oder eine andere stabile ID identifiziert, mit individuellen Eigenschaften versehen und um sämtliche nachfolgenden Verhaltensereignisse angereichert.
Welche Daten erfasst Woopra
Client-seitig verarbeitet Woopra die IP-Adresse (Geolokalisierung, Missbrauchsschutz), den User-Agent, die Bildschirmgröße, Referrer, aktuelle URL, Seitentitel und vollständige Event-Payloads (Klicks, Formularabsendungen, eigene track-Aufrufe). Server-seitig erhält es alle Daten, die Sie über die REST-API übermitteln: E-Mails, Namen, Account-IDs, Tarifinformationen und beliebige Custom Traits.
Diese Identifier werden über den wooTracker-Cookie (1 Jahr Laufzeit) sowie über Woopra Connect korreliert, das anonyme Browser-Sitzungen nach dem Login mit identifizierten Konten zusammenführt.
DSGVO, ePrivacy und Schrems II
Woopra ist in den USA Verantwortlicher für eigene Zwecke und Auftragsverarbeiter für Kundendaten. Der Transfer von EU-Daten in die USA wird durch Standardvertragsklauseln abgesichert. Nach dem Schrems-II-Urteil (EuGH C-311/18) reichen SCC allein nicht aus: ein dokumentiertes Transfer Impact Assessment ist Pflicht, unter Berücksichtigung der Zugriffsrechte nach FISA Section 702 und Executive Order 12333.
Auf Cookie-Ebene ist wooTracker nicht unbedingt erforderlich und fällt unter Art. 5(3) ePrivacy: vor dem Setzen ist eine Einwilligung erforderlich. Da Woopra identifizierte personenbezogene Daten verarbeitet, ist die Einwilligung auch die sicherste Art. 6 DSGVO-Rechtsgrundlage. Berechtigtes Interesse ist riskant: die EDPB und mehrere europäische DPAs lehnen es für grenzueberschreitendes Verhaltens-Tracking ab.
Einwilligungsanforderungen
Laden Sie das Woopra-Skript erst, wenn der Besucher die Analytik- oder Marketing-Kategorie in Ihrer Consent-Management-Plattform akzeptiert hat. Der Banner muss Woopra namentlich nennen, den US-Transfer erwähnen und auf die Datenschutzerklärung von Woopra verlinken.
Für Server-Side-Tracking dürfen Sie keine identifizierten Events für EU-Nutzer senden, die die Einwilligung verweigert haben: Nutzen Sie die Woopra-API nur für Nutzer mit ausdrücklicher Zustimmung. Propagieren Sie das Consent-Signal zwischen CMP, Anwendungs-Backend und Woopra-API.
Datentransfers und Auftragsverarbeitung
Schließen Sie das Woopra Data Processing Addendum und die EU-SCC (Module 2 und 3, Verantwortlicher zu Auftragsverarbeiter). Dokumentieren Sie den Transfer im Verzeichnis von Verarbeitungstätigkeiten und führen Sie eine TIA durch. Wenden Sie zusätzliche Massnahmen an: pseudonymisieren Sie E-Mails wenn möglich, beschränken Sie die übermittelten Eigenschaften und aktivieren Sie die IP-Kuerzelung.
Listen Sie alle Unterauftragsverarbeiter von Woopra (insbesondere AWS US) in Ihrer Datenschutzerklärung. Definieren Sie eine ausdrückliche Loeschfrist, da Woopra Profile standardmäßig unbegrenzt aufbewahrt.
Praktische Compliance-Checkliste
Granulares Consent für Woopra einrichten (Kategorie Analytik oder Marketing). woopra.js erst nach Einwilligung laden. IP-Anonymisierung im Woopra-Konto aktivieren. Rechtsgrundlage (Einwilligung) und Drittlandtransfer in der Datenschutzerklärung dokumentieren. Produkt- und Marketingteams schulen, keine besonderen Datenkategorien (Gesundheit, Religion, sexuelle Orientierung, Biometrie) in Woopra-Traits zu übertragen.
Bei sensiblen Branchen oder hohem Traffic EU-Alternativen prüfen: Matomo, Piwik PRO, Plausible, Fathom oder Mixpanel mit EU-Residenz. Begründung in der DSFA dokumentieren, insbesondere wenn Woopra zum Profiling im Sinne von Art. 22 DSGVO genutzt wird.
Woopra und die DSGVO
Woopra ist als „Analyse“ eingestuft. Auf einer Website für Besucher aus der EU darf der Dienst erst nach deren Einwilligung laden und muss in Ihrer Cookie-Richtlinie aufgeführt sein.
- Rechtsgrundlage
- Consent (Art. 6(1)(a) GDPR) is the only safe basis for setting tracking cookies and processing personal data through Woopra in the EU
- Risikostufe
- high
- Anwendbare Vorschriften
- GDPR, ePrivacy Directive, CCPA/CPRA, LGPD
Datenschutz-Folgenabschätzung (DSFA)
Woopra ist darauf ausgelegt, identifizierte Profile aufzubauen und einen persistenten Besucher-ID-Cookie (wooTracker) mit E-Mail-Adressen, Account-IDs und Produktereignissen zu verknüpfen. Wesentliche DSFA-Aspekte: (1) systematisches Verhaltens-Tracking über Web- und Produkt-Sitzungen mit Cross-Device-Stitching fällt unter die EDPB-Leitlinien zu automatisierten Entscheidungen und Profiling; (2) der Datentransfer in die USA löst Schrems-II-Anforderungen aus: SCC allein reichen nicht, eine Transfer Impact Assessment und zusätzliche Maßnahmen (Verschlüsselung, Pseudonymisierung) sind erforderlich; (3) die Plattform speichert standardmäßig E-Mails, Telefonnummern und vollständige Event-Payloads über Jahre, die Aufbewahrungsdauer ist gemäß Art. 5(1)(e) DSGVO zu prüfen; (4) Integrationen mit HubSpot, Marketo und Salesforce teilen diese Identifier weiter; (5) bei Einsatz in Gesundheit oder Finanzen können besondere Datenkategorien nach Art. 9 DSGVO anfallen, was eine zusätzliche Rechtsgrundlage erfordert; (6) der wooTracker-Cookie (1 Jahr) wird auf der gesamten Domain geteilt und ermöglicht eine langfristige Wiedererkennung.
Beispieltext für Ihr Banner
Wir nutzen Woopra (Woopra Inc., USA) für Customer-Journey-Analytik. Mit Ihrer Einwilligung setzt Woopra Cookies und erfasst Verhaltensdaten (Seiten, Events, Klicks, Kontoinformationen) zum Aufbau eines Kundenprofils, das auf Woopra-Servern in den USA unter SCC verarbeitet wird. Sie können dieses Tracking jederzeit ablehnen, ohne den Zugang zu unseren Diensten zu verlieren.
Was Woopra setzt und kontaktiert
- Tracking-Methode
- JavaScript tag (woopra tracker) and REST API
- Serverstandort
- United States (Woopra Inc., infrastructure on AWS US East)
- Datenübermittlung außerhalb der EU
- All data collected by Woopra is transferred to Woopra Inc. servers in the United States, hosted on AWS infrastructure. The transfer is governed by Standard Contractual Clauses (SCCs) under Art. 46(2)(c) GDPR, supplemented by Woopra Data Processing Addendum. As a US controller subject to FISA 702 and Executive Order 12333, a Transfer Impact Assessment is required.
Gesetzte Cookies (4)
| Name | Typ | Laufzeit | Zweck |
|---|---|---|---|
| wooTracker | Analytics | 1 year | Persistent visitor identifier. Used to recognise returning visitors and stitch sessions to a single customer profile in Woopra. |
| wooSession | Analytics | Session | Identifies the current browsing session and ties it to the persistent visitor ID. |
| wooLabel | Analytics | 1 year | Stores the user provided identifier (typically an email address) after sign in, so Woopra can link anonymous and authenticated sessions. |
| wooId | Analytics | 1 year | Backup identifier used when wooTracker is blocked or cleared. |
Kontaktierte Drittanbieter-Domains (5)
woopra.comwww.woopra.comstatic.woopra.comapi.woopra.comapp.woopra.com
Häufige Fragen zu Woopra
Ihre Frage ist nicht dabei? Schreiben Sie uns, wir antworten schnell.
Welche Cookies setzt Woopra?
Der Haupt-First-Party-Cookie ist wooTracker (Besucher-ID, 1 Jahr Laufzeit), der wiederkehrende Besucher erkennt und Sitzungen zu einem Profil zusammenführt. Weitere Hilfs-Cookies wie wooSession, wooLabel oder wooId können vorkommen, ebenso localStorage-Einträge mit dem Besucher-Identifier und Queue-Events. Keiner davon ist für die Website selbst unbedingt erforderlich.
Ist eine Einwilligung für Woopra erforderlich?
Ja, bei jedem Einsatz mit EU-Traffic. Der wooTracker-Cookie und das JavaScript-Tracking sind nach Art. 5(3) ePrivacy und EDPB-Leitlinien 5/2020 nicht unbedingt erforderlich. Vor jedem Cookie und jedem identifizierten Event ist eine vorherige, informierte und granulare Einwilligung nötig. Auch Server-Side-Calls müssen für identifizierte EU-Nutzer durch Consent gesteuert sein.
Welche Rechtsgrundlage gilt für die Woopra-Verarbeitung?
Einwilligung (Art. 6(1)(a) DSGVO) ist angesichts der breiten Verhaltensdaten, der identifizierten Profilbildung und des systematischen US-Transfers die einzig sichere Grundlage. Berechtigtes Interesse wurde von mehreren europäischen Aufsichtsbehörden in vergleichbaren Fällen abgelehnt (Google Analytics Entscheidungen der oesterreichischen DPA und der CNIL 2022).
Überträgt Woopra Daten in die USA?
Ja. Alle Daten werden auf Woopra-Infrastruktur in den USA (AWS) verarbeitet. Übermittlungen stützen sich auf EU-SCC (Module 2 und 3) plus DPA. Eine Transfer Impact Assessment nach Schrems II ist verpflichtend, zusätzliche Maßnahmen (Verschlüsselung, Pseudonymisierung, eingeschränkte Property-Übermittlung) werden dringend empfohlen.
Brauche ich eine DSFA für Woopra?
In den meisten Fällen ja. Woopra führt eine systematische Überwachung von Personen in großem Maßstab durch, kombiniert mit Drittlandtransfers in ein Land ohne Angemessenheit für Analytik-Anbieter, sodass die EDPB-Kriterien für eine DSFA-Pflicht typischerweise erfüllt sind. Die DSFA muss Rechtsgrundlage, TIA, Aufbewahrung, Profilinhalt und Betroffenenrechte dokumentieren.
Wie binde ich Woopra rechtskonform ein?
AV-Vertrag unterzeichnen. Woopra in die Liste der Unterauftragsverarbeiter aufnehmen. Skript erst nach Einwilligung laden. IP-Anonymisierung aktivieren und unnötige Datenfelder deaktivieren. Drittlandtransfer und Rechtsgrundlage in der Datenschutzerklärung dokumentieren. Opt-out anbieten, Do-Not-Track und Global Privacy Control respektieren. Server-Side-Tracking nur nach Consent.
Welche Alternativen zu Woopra gibt es?
Für EU-freundliche Customer-Analytics: Matomo (self-hosted oder EU-Cloud), Piwik PRO (Deutschland), Mixpanel mit EU-Residenz, Heap mit EU-Speicherung, Posthog (self-hosted, EU-Cloud), Segment mit EU-Cluster. Für reine Webanalyse: Plausible, Fathom, Simple Analytics. Mixpanel mit EU-Residenz ist die direkteste Alternative für Product Analytics.
Wie aktualisiere ich meine Cookie-Erklärung?
Listen Sie den wooTracker-Cookie mit Name, Anbieter (Woopra Inc., USA), Zweck (Besucheridentifikation und Customer Journey Analytics), Laufzeit (1 Jahr) und Kategorie (Analytik oder Marketing). Erwähnen Sie den US-Transfer, den Einsatz von SCC und verlinken Sie die Woopra-Datenschutzerklärung. Bieten Sie einen Opt-out-Schalter, der das Tracking sofort stoppt und auf Wunsch eine Profilloeschung anfordert.
Machen Sie Ihre Website noch heute konform.
Kostenlos bis 25.000 Sitzungen pro Monat. Keine Kreditkarte, keine Bindung.