Tugus

Wie wir deine Daten schützen

Vertrauen ist die Grundlage einer Tracking-Plattform. Auf dieser Seite findest du eine Übersicht der wichtigsten Maßnahmen, die Tugus zum Schutz personenbezogener Daten ergreift.

Detaillierte technische und organisatorische Maßnahmen (TOMs) im Sinne von Art. 32 DSGVO stellen wir Vertragspartnern auf Anfrage zur Verfügung.

Hosting & Datenstandort

  • Vollständig in Deutschland: Alle Server stehen in einem ISO-27001-zertifizierten Rechenzentrum der Netcup GmbH in Nürnberg.
  • Keine Drittstaaten-Übermittlung der Kerndaten: Account-Daten, Konfigurationen, gespeicherte Events und Backups bleiben innerhalb der EU.
  • Marketing-Integrationen: Eine Weiterleitung an Plattformen außerhalb der EU erfolgt nur dann, wenn du als Kunde dies aktiv konfigurierst. Siehe Subprocessor-Liste.

Datenschutz by Design

  • PII werden gehashed: E-Mail-Adressen, Telefonnummern und Namen werden vor der Speicherung kryptographisch gehashed.
  • Consent-Mode-v2-konform: Granulare Einwilligungs-Signale werden pro Event berücksichtigt. Ohne Einwilligung werden nur anonymisierte Signale übertragen.
  • Datenminimierung: Es werden nur Daten verarbeitet, die zur Auftragserfüllung notwendig sind.
  • DSGVO-Tools im Dashboard: Datenexport (Art. 20), Löschanfragen (Art. 17) und Account-Löschung jederzeit möglich.

Verschlüsselung

  • In-Transit: Alle Verbindungen (HTTPS, SMTP, Webhooks) werden mit aktueller TLS-Verschlüsselung geschützt.
  • At-Rest: Datenbank-Volumes und Backups liegen auf verschlüsseltem Storage.
  • Credentials: API-Zugangsdaten zu Marketing-Plattformen werden verschlüsselt gespeichert.
  • Passwörter: Werden mit modernem Hashing-Verfahren (bcrypt) gespeichert — niemals im Klartext.

Auftragsverarbeitung nach Art. 28 DSGVO

  • AVV mit allen Subunternehmern: Wir setzen ausschließlich Subprocessor ein, die DSGVO-konform arbeiten.
  • Verarbeitung nur auf Weisung: Daten werden nur an Plattformen weitergeleitet, die du aktiv aktivierst.
  • Transparente Subprocessor-Liste: Öffentlich einsehbar, Änderungen werden vorab kommuniziert.
  • Datenfluss-Beschreibung: Siehe Datenfluss.

Zugriff & Mandantentrennung

  • Strikte Mandantentrennung: Daten verschiedener Kunden sind technisch und logisch voneinander getrennt.
  • Rollenbasierte Zugriffsrechte (RBAC): Granulare Berechtigungen pro Property — Owner, Admin, Editor, Viewer.
  • API-Keys: Konfigurierbare Scopes und Ablaufdaten. Keys werden nur einmal angezeigt und danach als Hash gespeichert.

Vorfallsbehandlung

  • Meldung nach Art. 33 DSGVO: Bei einer Datenschutzverletzung informieren wir betroffene Kunden innerhalb von 24 Stunden nach Kenntnisnahme.
  • Monitoring: Kontinuierliche Überwachung der Event-Pipeline mit automatischer Anomalie-Erkennung.

Compliance & Audits

Auf Anfrage stellen wir Vertragspartnern detaillierte technische und organisatorische Maßnahmen (TOMs) sowie weitere Compliance-Dokumente zur Verfügung. Bei berechtigtem Interesse (z.B. Audit-Anforderung im Rahmen einer Geschäftsbeziehung) ermöglichen wir die Durchführung von Security-Audits in Absprache.

Kontakt: hello@tugus.io