Alles auf deinem Server
Ein Node-Prozess mit SQLite, den du selbst betreibst. Besucherdaten verlassen dein Netz nie, weil sie nirgendwo hingeschickt werden.
DADatenschutz & Compliance
Testen, ohne die
Rechtsabteilung zu fragen.
Die meisten Testing-Tools schicken deine Besucher zu einem fremden Anbieter. abdriven läuft komplett auf deinem eigenen Server, es gibt keinen Dritten, dem Daten übermittelt werden könnten.
- Selbst gehostet, kein Anbieter dazwischen
- Keine IP-Adressen, keine Profile
- Einwilligung als technischer Schalter
Der Unterschied
Nicht „datenschutzfreundlich".
Sondern ohne Dritte.
Andere Anbieter erklären, wie sorgfältig sie mit deinen Besucherdaten umgehen. Bei abdriven gibt es diese Übermittlung technisch nicht: Snippet, Auswertung und Datenbank liegen auf deiner Infrastruktur.
Auslieferung über deine Domain
Das Snippet lädt von einer Subdomain deiner Website, etwa t.deine-domain.de. Für den Browser ist das kein Drittanbieter-Request.
Keine IP-Adressen
abdriven speichert keine IP-Adressen, keine Namen, keine E-Mail-Adressen und verknüpft nichts über Websites hinweg.
Einwilligung, die wirklich greift
Mit data-consent="required" passiert vor der Zustimmung nichts: keine Kennung, kein Ereignis, keine Anfrage.
Ergebnisse nur aggregiert
Auswertungen, Reports und Exporte enthalten Summen und Raten, keine Einzelbesucher, keine Ereignisliste.
Widerruf, der aufräumt
SplitTest.revoke() stoppt die Messung, entfernt eingespielte Änderungen und löscht die lokalen Besucherdaten dieser Website.
Ehrlich gesagt
Was abdriven speichert ,
und was nicht.
Ein A/B-Test braucht genau eine Sache dauerhaft: die Information, welche Variante dieser Browser gesehen hat. Sonst sieht derselbe Besucher beim nächsten Klick etwas anderes und das Ergebnis ist wertlos.
- Gespeichert: eine anonyme, im Browser erzeugte Kennung, die Zuordnung zur Variante und aggregierte Zähler.
- Die Zuordnung selbst ist ein gesalzener Hash aus Experiment und Kennung, aus der Datenbank lässt sich kein Besucher rekonstruieren.
- Nicht gespeichert: IP-Adresse, User-Agent im Klartext, Formularinhalte, Seiteninhalte, Mausbewegungen.
- Segmente (Gerät, Quelle, neu/wiederkehrend) werden einmal beim ersten Kontakt festgehalten, ohne Kennung daneben.
- Browser ohne nutzbaren lokalen Speicher nehmen gar nicht erst teil.
Im Unternehmen
Was die IT hören
will.
Zugriffe, Schlüssel und Änderungen sind nachvollziehbar, nicht, weil es gut klingt, sondern weil ein Audit danach fragt.
- Änderungsprotokoll: wer wann welches Experiment gestartet, angehalten oder umkonfiguriert hat.
- Rollen je Ebene. Agentur, Kunde, Website, mit reinen Lese-Zugängen für alle, die nur Ergebnisse brauchen.
- API-Token sind auf Websites begrenzt, laufen nach 30, 90 oder 365 Tagen ab und werden nur als SHA-256-Hash gespeichert.
- Geteilte Report-Links laufen ab, lassen sich einzeln zurückziehen und liegen ebenfalls nur als Hash vor.
- Passwörter als gesalzener scrypt-Hash, Sitzungen als HttpOnly-Cookies, bei HTTPS zusätzlich Secure.
Ehrlich gesagt
Was heute noch nicht dabei ist
- Zwei-Faktor-Anmeldung und Single Sign-on gibt es noch nicht. Wer das für die Freigabe braucht, sollte vorher mit uns sprechen.
- Einladungen und Passwort-Wiederherstellung per E-Mail fehlen; Zugänge werden von einem Administrator eingerichtet und die Zugangsdaten über euren eigenen sicheren Weg übergeben.
- Gespeicherte Geheimnisse wie Webhook-Signaturen liegen unverschlüsselt in der Datenbank, schütze die Datei entsprechend.
- Dieser Text ist keine Rechtsberatung. Ob und wie du eine Einwilligung einholst, entscheidet ihr mit euren eigenen Verantwortlichen.
Folgt
Schon geplant
Gebaut ist davon noch nichts. Es steht hier, damit du weißt, worauf du dich verlassen kannst, und worauf noch nicht.
Zwei-Faktor-Anmeldung und SSO Folgt
Anmeldung per TOTP-App und Single Sign-on über SAML für Unternehmen mit eigener Identitätsverwaltung.
Einladungen per E-Mail Folgt
Zugänge per Einladungslink statt per Passwortübergabe, inklusive Passwort-Wiederherstellung.
Verschlüsselte Geheimnisse Folgt
Webhook-Signaturen und andere gespeicherte Schlüssel verschlüsselt in der Datenbank.
Aufbewahrungsfristen Folgt
Einstellbare Löschfristen für Rohdaten je Website, mit automatischem Aufräumen.
AV-Vertrag als Vorlage Folgt
Vorlage für die Auftragsverarbeitung, falls abdriven für euch betrieben wird statt bei euch.
FAQ
Datenschutz & Compliance
Brauche ich für A/B-Tests eine Cookie-Einwilligung?
Das hängt von eurem Aufbau und eurer Rechtsauffassung ab. abdriven ist für beide Wege gebaut: Mit data-consent="required" bleibt es still, bis euer Consent-Manager SplitTest.consent() aufruft. Ihr könnt das Snippet auch erst nach der Einwilligung laden.
Wo liegen die Daten?
Dort, wo du abdriven betreibst. Es gibt keine Übermittlung an uns, weil die Software auf deinem Server läuft und ihre Datenbank dort liegt.
Kann ich abdriven in sensiblen Bereichen abschalten?
Ja. Experimente laufen nur auf den Seitenpfaden, die du freigibst. Kundenkonto, Checkout oder interne Bereiche bleiben außen vor, wenn du sie nicht targetierst.
Was passiert, wenn ein Besucher widerruft?
SplitTest.revoke() beendet die Messung, macht eingespielte Änderungen rückgängig und löscht die lokalen Daten dieser Website. Bereits gezählte anonyme Summen bleiben bestehen, weil sie keinem Besucher zuzuordnen sind.
Produkt
Weiter im Produkt
Mach die nächste Änderung zu einer informierten
Weniger raten.
Öfter wissen.
Eine Frage ist ein guter Anfang.