Google API Disclosure

Google Daten nur für den verbundenen Arbeitskontext.

MarketingOS nutzt Google-API-Daten nur, wenn ein Nutzer sein Google-Konto ausdrücklich verbindet.

Genau acht inkrementell angefragte Scopes

Jede sichtbare Funktionsgruppe fordert nur ihren exakten Scope an: gsc.read nutzt webmasters.readonly, gsc.sitemaps.manage nutzt webmasters, ga4.read nutzt analytics.readonly, ga4.measurement.manage nutzt analytics.edit, gtm.read nutzt tagmanager.readonly, gtm.workspace.edit nutzt tagmanager.edit.containers, gtm.version.create nutzt tagmanager.edit.containerversions und gtm.version.publish nutzt tagmanager.publish. Bereits gewährte Scopes werden nicht erneut angefragt; eine Schreibfunktion scheitert geschlossen, wenn ihre Lesevoraussetzung fehlt. Nach Autorisierung dürfen die drei Read-Gruppen laufen; die fünf Write-Gruppen sind nie autonom.

Datenarten und Nutzen

GSC liefert Property-, Sitemap- und URL-Inspection-Rohdaten sowie aggregierte Suchanalyse nach Suchanfrage und Seite mit Klicks, Impressionen, CTR und Position. GA4 liefert Konto-, Property-, Datenstream- und Key-Event-Metadaten sowie aggregierte Berichte zu Landingpages, Kanälen, Nutzern, Sitzungen, Ereignissen und Key Events, aber keine Ereignisrohdaten auf Nutzerebene. GTM liefert Konfigurationsdaten zu Konten, Containern, Workspaces, Tags, Triggern, Variablen und Versionen. MarketingOS nutzt diese Daten nur im verbundenen Workspace für Diagnose, Priorisierung, sichtbare Setup-Pläne, freigegebene Ausführung, Receipts und Post-Change-Messung.

Kontrollierte Writes

GSC-Sitemap-Aktionen, GA4-Admin-Änderungen und GTM-Änderungen brauchen eine exakte Vorschau von Ziel und Payload, eine einmalige Freigabe, höchstens einen Provider-Versuch, ein Receipt, einen technischen Provider-Postcheck und Rollback, wo unterstützt, sonst eine ausdrückliche Recovery. Eine geänderte Vorschau hebt die Freigabe auf. Das Erstellen einer GTM-Version und GTM Publish bleiben getrennte Aktionen; Publish erfordert eine zweite, eigene Freigabe. Allgemeine CMS-, Bing- und andere Writes bleiben ohne eigenen Connectorvertrag geschlossen. MarketingOS verwaltet keine Anzeigen und gibt kein Werbebudget aus.

Managed Broker Boundary und Schutz

Der Standardpfad verwendet den Managed Connector auf app.scilipoti.de. Google Access- und Refresh-Tokens verbleiben dort im AES-256-GCM-verschlüsselten persistenten Proxy-Zustand; der Master-Key ist ausschließlich für die Proxy-Serviceidentität lesbar. Tokens werden nie an die Browseroberfläche, den Local Agent, OpenClaw oder Hermes Agents oder ein Modell ausgegeben. Der Connector akzeptiert nur mandanten- und workspacegebundene signierte Anfragen sowie Google-Operationen aus einer festen Allowlist namentlich benannter Operationen; Token-Felder werden aus Antworten ausgeschlossen.

Optionale Modellübertragung und Einwilligung

Die Modellübertragung ist standardmäßig aus. Nur der Workspace-Owner kann separat einwilligen und die Freigabe jederzeit für neue Anfragen sofort deaktivieren. Solange diese Einwilligung aktiv ist, darf MarketingOS für aktuell oder später verbundene Google Search Console (GSC)-, Google Analytics 4 (GA4)- und Google Tag Manager (GTM)-Connectoren dieses Workspace ausschließlich folgende Google-API-Daten und daraus abgeleitete Daten übertragen: GSC Property-, Sitemap- und URL-Inspection-Daten sowie aggregierte Search Analytics; GA4 Account-, Property-, Data-Stream- und Key-Event-Metadaten sowie aggregierte Reports, niemals user-level raw events; GTM Account-, Container-, Workspace-, Tag-, Trigger-, Variable- und Version-Konfiguration; und die daraus abgeleiteten Workspace-Artefakttypen Goal Metric, Plan, Evidence einschließlich Diagnostics, Claim, Action, Execution Receipt, Observation, Outcome und Connector, soweit sie für die sichtbare workspacebezogene MarketingOS-Analyse, Priorisierung, Empfehlungen und Entwürfe nötig sind. Workspace Context und Goals sind nicht übertragungsfähige lokale Steuerdaten. Ausschließlicher Empfänger ist der in den Google-Berechtigungen mit exakter Provider-Origin, Modell-ID und Descriptor-Digest angezeigte Controlled OpenClaw Modellpfad; Hermes Direct ist für diese Übertragung nicht zugelassen. Der Modellanbieter verarbeitet übertragene Daten nach seinem eigenen Vertrag und seinen Datenschutzhinweisen. Google Tokens und Credentials werden nicht übertragen. Jede Provider-Anfrage mit Google-abgeleiteten Daten braucht unmittelbar vor der Übertragung eine aktuelle einmalige Autorisierung; nach Deaktivierung werden neue und wiederholte Anfragen geschlossen abgelehnt. Gewinnt die Deaktivierung vor diesem Autorisierungs-Commit, findet keine Übertragung statt. Eine davor einmalig autorisierte und dauerhaft für die unmittelbar folgende Provider-Übergabe festgeschriebene Anfrage kann im sichtbaren Draining-Zustand noch übertragen und abgeschlossen werden. Die Einwilligung gilt bis zum Widerruf nur für diese geschlossene Liste von Datenarten und Zwecken. Neue Datenarten oder Nutzungen brauchen eine neue Offenlegung und Einwilligung. MarketingOS kann bereits beim Modellanbieter gespeicherte Kopien nicht selbst löschen; dafür gelten dessen Lösch- und Aufbewahrungsfunktionen. MarketingOS nutzt die Daten nicht für MarketingOS-Werbung, Verkauf oder allgemeines Modelltraining.

Review-Status

Der Managed Google Connector wird ausschließlich auf einer dedizierten Reviewer-Infrastruktur live validiert und ist kein Kundenrelease. Google Review und die allgemeine Kundenfreigabe bleiben offen. Dieser Stand belegt weder Google-Freigabe noch allgemeine Kundenverfügbarkeit.

Limited Use und Ausschlüsse

Die Nutzung und Übertragung von Informationen aus Google-APIs hält die Google API Services User Data Policy einschließlich der Limited-Use-Anforderungen ein. Abgesehen von der separat eingewilligten, oben beschriebenen Übertragung an den in den Google-Berechtigungen exakt gebundenen Controlled OpenClaw Modellpfad verkauft MarketingOS Google-Nutzerdaten nicht, nutzt sie nicht für Werbung, überträgt sie nicht an andere oder sachfremde Dritte, trainiert damit keine allgemeinen KI-Modelle und greift nicht auf Gmail oder Drive zu.

Aufbewahrung, Disconnect, Widerruf und Löschung

Ein OAuth-State läuft nach zehn Minuten ab. Access- und Refresh-Tokens liegen im AES-256-GCM-verschlüsselten serverseitigen Proxy-Zustand bis zum bestätigten Provider-Widerruf oder zur lokalen Connector-Löschung. Der Proxy speichert keine rohen Google-API-Antworten dauerhaft. Verschlüsselte operative Sicherungen der Reviewer-Installation verfallen innerhalb von sieben Tagen. Disconnect deaktiviert die Ausführung, behält aber Credential-Envelope und Verbindungsdatensatz und widerruft Googles Einwilligung nicht. Provider-Widerruf deaktiviert zuerst, fordert den Widerruf bei Google an und löscht nach bestätigtem Ergebnis das Credential-Envelope; der Nutzer kann Googles Kontoberechtigung zusätzlich unter https://myaccount.google.com/permissions prüfen oder entfernen. Lokale Löschung widerruft Google aber nicht: Eine digestgebundene Inventarvorschau muss bestätigt werden, bevor Credential-Envelope oder Managed-Binding, Google-Rohdaten sowie ausschließlich oder gemischt daraus abgeleitete Goal Metrics, Plans, Evidence, Claims, Actions, Execution Receipts, Observations und Outcomes gelöscht werden. Die bereinigte Connector-Hülle bleibt für eine Neueinrichtung. Payloadfreie Guardian- und Audit-Metadaten bleiben als Integritäts- und Löschbeleg für die Lebensdauer des Workspace erhalten: Workspace- und Artefakt-IDs, Typen, Versionen, Content-Hashes, Scope-, Disclosure- und Provider-Digests, Zeitpunkte, Ereigniszustände sowie das minimale Lösch-Receipt; sie enthalten keine Google-Payloads oder Tokens. Die lokale Google-Datenlöschung löscht keine Google-abgeleiteten Inhalte, die bereits in OpenClaw-Transkripten oder im OpenClaw-Workspace-Zustand gespeichert wurden. Diese Runtime-Kopie muss separat über die root-authentifizierten OpenClaw-Lifecycle-Lösch- oder Runtime-Kontrollen gelöscht werden; nach Deaktivierung der Modellfreigabe oder lokaler Löschung bleibt sie für jeden neuen Provider-Egress gesperrt. Die Reviewer-Alpha besitzt dafür keine automatische 400-Tage-Löschung. Die lokale Google-Datenlöschung ist keine vollständige Workspace-Löschung; eine vollständige MarketingOS-Workspace-Löschanfrage geht an den Datenschutzkontakt. Offene OAuth-States werden durch die geänderte Autorisierungsepoche sofort ungültig und laufen spätestens nach zehn Minuten ab. Spätere kundenseitig erzeugte lokale Sicherungen und bereits beim Modellanbieter gespeicherte Kopien bleiben unter Kontrolle des jeweiligen Betreibers und werden nicht automatisch gelöscht. Unklare Widerrufsergebnisse werden sicher gesperrt und nicht blind wiederholt.

Kontakt

Fragen zur Google-API-Datennutzung gehen an francesco@scilipoti.de.