DSGVO-konforme Authentifizierung für Ihr Produkt
DSGVO-konforme Authentifizierung bedeutet, dass der Teil Ihres Produkts, der Benutzer anmeldet, ihre personenbezogenen Daten so behandelt, wie die Verordnung es verlangt: Er speichert sie dort, wo Sie es zugesagt haben, und er erlaubt Ihnen, sie herauszugeben oder zu löschen, wenn ein Benutzer darum bittet. Die Skycloak Platform ist so geplant, dass die Anmeldung Ihnen diese Möglichkeiten gibt, ohne dass Ihr Team sie selbst entwickeln muss.
Was die DSGVO von einem Anmeldesystem verlangt
Ein Anmeldesystem hält einige der persönlichsten Daten Ihres Produkts: Namen, Kontaktdaten, Passwort-Hashes und eine Aufzeichnung, wann und wo sich jede Person angemeldet hat. Nach der DSGVO sind Sie für diese Daten verantwortlich, und das Unternehmen, das Ihre Anmeldung betreibt, ist Ihr Auftragsverarbeiter. Sein Vertrag, seine Standorte und die Unternehmen, auf die es sich stützt, werden damit Teil Ihrer eigenen Compliance.
Kein Produkt macht Sie allein konform, denn Compliance hängt davon ab, wie Ihr ganzes Produkt personenbezogene Daten nutzt. Ein Anmeldeanbieter kann Ihnen aber die Mittel geben, die die Verordnung erwartet: die Wahl des Speicherorts, einen Weg, einem Benutzer seine Daten herauszugeben, einen Weg, sie zu löschen, und eine klare Liste aller, die sonst Zugriff darauf haben.
Wo die Daten Ihrer Benutzer liegen
Für die Plattform ist geplant, dass jeder Mandant in den USA oder in der Europäischen Union läuft und seine Region bei der Anlage festgelegt wird. Ein Mandant in der EU-Region soll seine Benutzer, ihre Zugangsdaten und ihre Anmeldeaufzeichnungen in der EU halten, in einer Datenbank, die in Deutschland läuft.
In diesem Entwurf trägt jeder Datensatz seine Region, und keine Daten werden über Regionen hinweg zusammengeführt. Die Konsole, mit der Sie Ihre Mandanten verwalten werden, enthält keine Daten von Endbenutzern, und die Anmeldung in einer Region funktioniert weiter, auch wenn die Konsole nicht erreichbar ist.
Export, Löschung und Verträge
Die für die Plattform geplante Management-API umfasst Ihre Benutzer, sodass eine Anfrage auf Auskunft oder Löschung der Daten einer Person aus Ihren eigenen Support-Werkzeugen bearbeitet werden kann statt von Hand. Der Export eines Mandanten soll innerhalb der Grenzen genau dieses Mandanten laufen und kann nie die Daten eines anderen Kunden lesen.
Skycloak schließt einen Auftragsverarbeitungsvertrag mit Standardvertragsklauseln für internationale Übermittlungen, und seine Seite zu Unterauftragsverarbeitern nennt jedes Unternehmen, das in seinem Auftrag Daten verarbeitet. Wir bezeichnen eine Funktion der Plattform erst als verfügbar, wenn sie ausgeliefert ist; in einer Demo sehen Sie, was Sie heute nutzen können.
Häufige Fragen
Kann ich einen Mandanten später von der US-Region in die EU-Region verlegen?
Nein. Auf der geplanten Plattform wird die Region eines Mandanten bei seiner Anlage festgelegt. Wählen Sie die EU-Region also von Anfang an für Benutzer, deren Daten in der EU bleiben sollen. Ein Arbeitsbereich kann mehrere Mandanten enthalten, sodass Sie je Region einen betreiben können, wenn Ihre Benutzer auf beide verteilt sind.
Macht ein Mandant in der EU mein Produkt DSGVO-konform?
Er deckt ab, wo Anmeldedaten gespeichert und verarbeitet werden, und das ist nur ein Teil der Compliance. Ihre Rechtsgrundlage, Ihre Datenschutzerklärung und der übrige Umgang Ihres Produkts mit Daten bleiben als Verantwortlicher Ihre Aufgabe.
Sehen Sie sich die Skycloak Platform selbst an
Buchen Sie eine Demo, und wir zeigen Ihnen die Plattform mit Blick auf Ihre eigenen Anmeldeabläufe.