OneSignal
OneSignal ist eine der am weitesten verbreiteten Plattformen für Web- und Mobile-Push-Nachrichten und wird aus den USA betrieben. Sie registriert einen Service Worker auf Ihrer Website für Push-Nachrichten und erfasst Abonnement-Tokens, Geräte-Metadaten und IP-Adressen auf AWS-US-Infrastruktur. Das Push-Abo und die zugehörigen Cookies erfordern eine ausdrückliche Einwilligung zusätzlich zum nativen Browser-Prompt.
Was macht OneSignal?
Was ist OneSignal?
OneSignal ist eine 2014 in San Mateo (Kalifornien) gegründete Customer-Engagement-Plattform. Es zählt zu den am weitesten verbreiteten Lösungen für Web-Push, Mobile-Push, In-App-Messaging, E-Mail und SMS und wird auf über einer Million Websites und Apps eingesetzt. Das Web-SDK registriert einen Service Worker auf der Publisher-Domain, um Push-Nachrichten zu verarbeiten.
Cookies und erfasste Daten
OneSignal speichert eine Push-Abonnement-ID, die OneSignal Player-ID und einen Geräte-Datensatz (Browser, OS, Land, Sprache, IP-Adresse). Auf der Publisher-Site wird ein Service Worker (OneSignalSDKWorker.js) registriert und der localStorage für die Player-ID genutzt. Mobile-SDKs erfassen Installations- und Nutzungsereignisse. Tags und Segmente können beliebige vom Publisher angehängte Attribute enthalten.
DSGVO und ePrivacy: Auswirkungen
Web-Push gilt nach Auffassung der meisten EU-Aufsichtsbehörden als nicht notwendiger Tracker, daher dürfen das OneSignal-SDK und der Service Worker erst nach Einwilligung gemäß Art. 5(3) ePrivacy geladen werden. Der native Browser-Push-Prompt ist eine zusätzliche, aber unzureichende Einwilligung, da er die zur Registrierung erforderliche vorherige Speicherung und Verarbeitung nicht abdeckt. Marketing-Nachrichten selbst stützen sich auf Einwilligung (Art. 6(1)(a) DSGVO).
Datenübermittlungen und Hosting
OneSignal hostet die Hauptinfrastruktur auf AWS US. Abonnement-Tokens, Geräte-Datensätze, IP-Adressen und Engagement-Events werden in den USA verarbeitet. Übermittlungen stützen sich auf die Zertifizierung im Data Privacy Framework EU-US (sofern anwendbar) sowie auf Standardvertragsklauseln im OneSignal-DPA. Enterprise-Pläne können regionale Residenz-Optionen bieten.
Praktische Compliance-Schritte
Schließen Sie den OneSignal-DPA aus dem Dashboard ab. Blockieren Sie das OneSignal-SDK über Ihre CMP und laden Sie es erst nach explizitem Opt-in. Verwenden Sie einen eigenen Soft-Prompt vor der nativen Browser-Anfrage und erläutern Sie den Zweck transparent. Nehmen Sie OneSignal in die Datenschutzerklärung auf, mit Hinweis auf US-Übermittlung, SCC- und DPF-Grundlage sowie erfasste Datenkategorien. Bieten Sie einen klaren Abmeldeweg in den Nachrichten und in den OneSignal-Einstellungen.
OneSignal und die DSGVO
OneSignal ist als „Marketing“ eingestuft. Auf einer Website für Besucher aus der EU darf der Dienst erst nach deren Einwilligung laden und muss in Ihrer Cookie-Richtlinie aufgeführt sein.
- Rechtsgrundlage
- Consent (Art. 6(1)(a) GDPR) for the push subscription, the marketing notifications and the related cookies on the website. Browser native push prompts also require an unambiguous user opt in. Consent must be granular and reversible.
- Risikostufe
- medium
- Anwendbare Vorschriften
- GDPR, ePrivacy Directive 2002/58/EC, CAN-SPAM, CCPA, EU US Data Privacy Framework
Datenschutz-Folgenabschätzung (DSFA)
Eine DSFA wird für OneSignal-Implementierungen mit großer Abonnentenbasis, Verhaltens-Segmentierung und cross-device-Identifikation empfohlen, da persistente Identifier und ein US-Transfer involviert sind.
Beispieltext für Ihr Banner
Wir nutzen OneSignal (OneSignal Inc., USA) für Push-Nachrichten. Mit der Annahme stimmen Sie der Registrierung eines Push-Abos, den zugehörigen Identifikatoren und der Übermittlung Ihrer Daten in die USA unter geeigneten Garantien zu.
Was OneSignal setzt und kontaktiert
- Tracking-Methode
- web push notification SDK and mobile push SDK; service worker registration on the website domain, push subscription tokens managed by the OneSignal backend
- Serverstandort
- United States (OneSignal Inc., San Mateo, California; primary processing on AWS US, with regional edge nodes)
- Cookieloser Modus verfügbar
- Ja
- Datenübermittlung außerhalb der EU
- OneSignal Inc. is a US company. Push subscription tokens, device metadata, in app activity and IP addresses are processed on AWS US infrastructure. Transfers rely on the EU US Data Privacy Framework certification (where applicable) and on Standard Contractual Clauses included in the OneSignal DPA. Some EU customers can request data residency options on Enterprise plans.
Gesetzte Cookies (2)
| Name | Typ | Laufzeit | Zweck |
|---|---|---|---|
| onesignal-pageview-count | first_party | Persistent (localStorage) | Tracks the number of pageviews so OneSignal can trigger a soft prompt after a configured threshold. |
| onesignal-notification-prompt | first_party | Persistent (localStorage) | Records whether the user has dismissed the soft prompt to avoid repeated prompting. |
Kontaktierte Drittanbieter-Domains (4)
cdn.onesignal.comapi.onesignal.comonesignal.comimages.onesignal.com
Häufige Fragen zu OneSignal
Ihre Frage ist nicht dabei? Schreiben Sie uns, wir antworten schnell.
Welche Identifier setzt OneSignal?
OneSignal speichert eine Push-Abonnement-ID und die OneSignal Player-ID im localStorage der Publisher-Domain, registriert einen Service Worker (OneSignalSDKWorker.js) und sendet einen Geräte-Datensatz (Browser, OS, Land, Sprache, IP) an das Backend. Optionale Pageview- und Prompt-Zähler werden zusätzlich im localStorage abgelegt.
Brauche ich eine Einwilligung für OneSignal?
Ja. Die meisten EU-Aufsichtsbehörden bewerten Web-Push als nicht strikt notwendigen Tracker. Das OneSignal-SDK und der Service Worker dürfen daher erst nach Einwilligung gemäß Art. 5(3) ePrivacy geladen werden. Der native Browser-Push-Prompt ist eine zusätzliche, aber unzureichende Einwilligung, weil er die vorherige Speicherung und Registrierung nicht abdeckt.
Was ist die Rechtsgrundlage für OneSignal?
Einwilligung (Art. 6(1)(a) DSGVO) für das Push-Abo, die zugehörigen Identifier und die Marketing-Nachrichten. Der Opt-in muss granular und ebenso leicht widerrufbar wie erteilbar sein. Die Planung und Analyse der Nachrichten im OneSignal-Backend ist Auftragsverarbeitung nach Art. 28.
Übermittelt OneSignal Daten in Drittländer?
Ja. OneSignal Inc. ist ein US-Unternehmen und betreibt seine Hauptinfrastruktur auf AWS US. Abonnement-Tokens, Geräte-Datensätze, IP-Adressen und Engagement-Events werden in den USA verarbeitet. Übermittlungen stützen sich auf die Data-Privacy-Framework-Zertifizierung (sofern anwendbar) und auf Standardvertragsklauseln im OneSignal-DPA.
Brauche ich eine DSFA für OneSignal?
Eine DSFA wird für OneSignal-Implementierungen mit großer Abonnentenbasis, Verhaltens-Segmentierung und cross-device-Identifikation empfohlen, da persistente Identifier und ein US-Transfer involviert sind.
Wie integriere ich OneSignal rechtskonform?
Schließen Sie den OneSignal-DPA ab. Blockieren Sie das SDK über Ihre CMP und laden Sie es erst nach explizitem Opt-in. Nutzen Sie einen eigenen Soft-Prompt mit Zweckbeschreibung vor der nativen Browser-Anfrage. Nehmen Sie OneSignal in die Datenschutzerklärung auf, mit Hinweis auf US-Transfer, SCC- und DPF-Grundlage sowie erfasste Datenkategorien. Bieten Sie einen klaren Abmeldeweg in den Nachrichten.
Welche Alternativen zu OneSignal in der EU gibt es?
EU-basierte Alternativen sind WonderPush (Frankreich), Pushwoosh (EU-Datenresidenz verfügbar), Sendmunk (Deutschland) sowie das selbst gehostete Mautic mit Web-Push-Erweiterung. Im Mobile-Bereich kann Firebase Cloud Messaging in EU-Regionen für transaktionale Nachrichten dienen; für Marketing wirft es jedoch ähnliche Übermittlungsfragen auf.
Wie aktualisiere ich meine Datenschutzerklärung für OneSignal?
Geben Sie an, dass OneSignal (OneSignal Inc., USA) Auftragsverarbeiter für Push-Nachrichten und Engagement ist. Beschreiben Sie den Service Worker, die Player-ID, den Geräte-Datensatz, die IP-Verarbeitung und die Kampagnen-Analyse. Nennen Sie den US-Transfer mit SCC- und DPF-Grundlage und stellen Sie einen Ein-Klick-Abmeldelink oder eine Abmeldeseite bereit.
Machen Sie Ihre Website noch heute konform.
Kostenlos bis 25.000 Sitzungen pro Monat. Keine Kreditkarte, keine Bindung.