1. Einleitung

AuditRails Inc. („AuditRails“, „wir“, „uns“) verpflichtet sich zum Schutz Ihrer Privatsphäre. Diese Erklärung deckt zwei Datenkategorien ab: (a) Daten über Sie als Besucher oder Kunde von auditrails.io und (b) Audit-Log-Daten, die Sie als Kunde über unseren Service übermitteln.

2. Von uns erhobene Daten

2.1 Kontodaten

Wenn Sie ein Konto erstellen, erheben wir:

Name und E-Mail-Adresse
Name der Organisation
Rechnungsinformationen (verarbeitet von Stripe, wir speichern keine Kartennummern)
IP-Adresse und Browserinformationen

2.2 Audit-Log-Daten (Kundendaten)

Als Auftragsverarbeiter empfangen und speichern wir Audit-Log-Ereignisse, die von Ihren Anwendungen über unsere API übermittelt werden. Diese Daten können Aktionsnamen, Akteur-Kennungen, Ressourcen-Kennungen und von Ihnen hinzugefügte Metadaten umfassen. Wir verarbeiten diese Daten ausschließlich zur Erbringung des Service.

2.3 Nutzungsdaten

Wir erheben anonymisierte Nutzungsanalysen: besuchte Seiten, genutzte Funktionen, Umfang der API-Aufrufe. Wir verwenden datenschutzfreundliche Analysetools (kein Cross-Site-Tracking).

3. Wie wir Ihre Daten verwenden

Erbringung des Service: Verarbeitung und Speicherung von Audit-Logs, Bereitstellung von Suche und Dashboards
Kontoverwaltung: Authentifizierung, Abrechnung, Support
Serviceverbesserung: Anonymisierte Nutzungsmuster zur Verbesserung von Funktionen
Kommunikation: Service-Updates, Sicherheitshinweise, Abrechnungsmitteilungen
Einhaltung gesetzlicher Vorschriften: Beantwortung rechtmäßiger Anfragen von Behörden

4. Datenverarbeitung (DSGVO)

Wenn Sie AuditRails zur Speicherung von Audit-Logs nutzen, handeln wir als Auftragsverarbeiter im Sinne der DSGVO. Sie sind der Verantwortliche. Unsere Verarbeitungstätigkeiten unterliegen unserem Auftragsverarbeitungsvertrag (DPA), verfügbar unter auditrails.io/dpa.

Rechtsgrundlagen für unsere Verarbeitung:

Vertragserfüllung: Verarbeitung, die zur Erbringung des Service erforderlich ist
Berechtigtes Interesse: Serviceverbesserung, Sicherheit, Betrugsprävention
Einwilligung: Marketingkommunikation (nur mit Opt-in)

5. Datenweitergabe

Wir geben Daten ausschließlich weiter an:

AWS: Audit-Log-Speicher und Nachrichtenwarteschlange (S3, SQS)
Stripe: Zahlungsabwicklung
MaxMind: Geo-IP-Abfragen (nur IP-Adressen)

Wir verkaufen Ihre Daten nicht. Wir verwenden Ihre Daten nicht für Werbezwecke.

6. Datenaufbewahrung

Kontodaten: Wird aufbewahrt, solange Ihr Konto aktiv ist, plus 30 Tage nach der Löschung
Audit-Log-Daten: Wird gemäß Ihrem Abonnement-Tarif und den von Ihnen aktivierten Compliance-Frameworks aufbewahrt, siehe unsere Preisseite für aktuelle Aufbewahrungsbedingungen
Nutzungsanalysen: Wird 12 Monate lang in anonymisierter Form aufbewahrt

7. Ihre Rechte

Nach der DSGVO und geltenden Datenschutzgesetzen haben Sie das Recht auf:

Auskunft: Eine Kopie Ihrer personenbezogenen Daten anzufordern
Berichtigung: Unrichtige Daten korrigieren zu lassen
Löschung: Die Löschung Ihrer Daten zu verlangen (vorbehaltlich gesetzlicher Aufbewahrungspflichten)
Datenübertragbarkeit: Ihre Daten in einem maschinenlesbaren Format zu exportieren
Widerspruch: Der auf einem berechtigten Interesse beruhenden Verarbeitung zu widersprechen
Einschränkung: Eine Einschränkung der Verarbeitung zu verlangen

Um diese Rechte auszuüben, wenden Sie sich an privacy@auditrails.io.

8. Sicherheit

Wir schützen Ihre Daten durch:

Verschlüsselung im Ruhezustand (AES-256) und bei der Übertragung (TLS 1.3)
Hashing von API keys (SHA-256, Klartext-Keys werden niemals gespeichert)
Multi-Tenant-Datenisolierung auf jeder Ebene
WORM-Speicher (S3 Object Lock) für die Unveränderlichkeit der Audit-Logs
Zugriffskontrollen und Audit-Logging unserer eigenen Systeme

9. Internationale Datenübermittlungen

Daten werden standardmäßig in AWS US (us-east-1) verarbeitet. Enterprise-Kunden können sich für eine ausschließliche Verarbeitung in der EU (eu-west-1) entscheiden. Internationale Datenübermittlungen unterliegen den EU-Standardvertragsklauseln, die in unseren DPA aufgenommen sind.

10. Kinder

AuditRails ist ein B2B-Service, der sich nicht an Personen unter 16 Jahren richtet. Wir erheben wissentlich keine personenbezogenen Daten von Kindern.

11. Änderungen

Wir können diese Datenschutzerklärung mit einer Ankündigungsfrist von 30 Tagen aktualisieren. Wesentliche Änderungen werden Kontoinhabern per E-Mail mitgeteilt.

12. Kontakt

Datenschutzbeauftragter: privacy@auditrails.io
AuditRails Inc., Wilmington, Delaware, USA