Loslegen
← Wählen Sie den Blickwinkel, der zu Ihrem Team passt
Für Compliance-getriebene Teams

Der Shortener, gegen den Ihr DPO nichts einwenden wird.

Sie messen DSAR-Durchlaufzeit, SOC 2-Evidence-Frische und wie viele Vendor-Fragen ein Sales-Zyklus kostet. Elido ist der Shortener, den Ihr DPO nicht zurückweist.

Kostenlos startenVertrieb kontaktieren
  • EU-Standard-Region für jeden Workspace
  • Audit-Log in der Anwendung append-only und hash-verkettet
  • 13 Unterauftragsverarbeiter, alle öffentlich gelistet mit Standort + Zweck
  • DSAR-API mit 30-Tage-SLA (5 Tage Expressbearbeitung bei Business)
Where data is processed
no region selection yet
  • EU regioneu · primary origin
    EU residency · default

    Primary database, analytics store and backups are hosted here (Hetzner, Germany and Finland).

  • US Eastus-east · redirect edge
    Edge node

    Redirect node in Ashburn. Processes visitor requests and IP addresses; no per-workspace region selection.

  • Asia-Pacificapac · redirect edge
    Edge node

    Redirect node in Singapore. Processes visitor requests and IP addresses; no per-workspace region selection.

No cross-region replication for hot dataaudit · clicks · backups
13
Sub-Auftragsverarbeiter
EU
Hosting der Primärdaten
<30d
DSAR SLA
730 T
Audit-Aufbewahrung

Append-Only-Audit-Log

Jede Zustandsänderung. Akteur, IP, Vorher/Nachher-Diff, Quelle.

Die Anwendung hängt nur an die Audit-Tabelle an, und jeder Eintrag ist mit dem vorherigen per Hash verkettet, sodass Manipulationen erkennbar sind. Dies ist auf Anwendungsebene umgesetzt, keine Einschränkung über Datenbankberechtigungen. Die Aufbewahrung beträgt standardmäßig 730 Tage und ist pro Workspace konfigurierbar.

  • Akteur-Identität
    Nutzer-ID oder Service-Principal, plus Quell-IP und Request-ID
  • Vorher/Nachher-Diff
    Strukturierter JSON-Diff der geänderten Zeile - nicht nur eine Text-Log-Zeile
  • SIEM-Firehose
    HMAC-signierter Webhook zu Splunk / Datadog / ELK in Echtzeit
  • Manipulationssicher
    Hash-verkettete Einträge mit einem Endpunkt zur Verifizierung der Kette
Sicherheitsübersicht →
Audit entry · evt_8c41a7
domain.claim · ws_8a2f
Timestamp (UTC)
2026-05-08T11:42:18Z
Source IP
203.0.113.42 · DE
Source
dashboard · req_a4f9c1
  {    "domain": "go.acme.eu",-   "status": "pending_dns",+   "status": "verified",-   "tls_mode": "none",+   "tls_mode": "on_demand",+   "verified_at": "2026-05-08T11:42:18Z",    "workspace_id": "ws_8a2f"  }
Event type
domain.claim
Diff lines
+3 / -2
Retention
730 days (default)
Append-only · enforced by database GRANTStreamed to SIEM

Betroffenenanfragen

DSAR, kein Support-Ticket. API-Aufruf, signiertes Bundle, SLA-Uhr.

Sie erhalten eine Anfrage von Ihrem Endnutzer. Sie leiten sie über das Dashboard oder die API als Controller-im-Auftrag-des-Betroffenen-Anfrage weiter - Elido authentifiziert den Controller (Sie), nicht den Betroffenen. Das Bundle ist ein signiertes ZIP: Identitätseintrag, Links, Audit-Log-Einträge, wo der Betroffene Akteur ist, Abrechnungsbelege, wenn der Betroffene Workspace-Inhaber ist. Standard-SLA: 30 Tage; Business-Express gibt innerhalb von 5 Werktagen zurück.

  1. Step 1

    Subject request

    End user → controller (you)

    Subject contacts you. You authenticate them in your own product, not in Elido.

  2. Step 2

    DSAR API call

    POST /v1/dsar

    Forward as a controller-on-behalf request with subject email + request type (export / erase).

  3. Step 3

    Workspace bundle

    signed zip · JSON + CSV

    Identity, links, audit-log entries where subject is actor, billing if owner, anonymised click metadata.

  4. Step 4

    SLA

    30 days · 5 days expedited

    Standard SLA on every plan; Business expedited tier returns inside 5 business days.

DPA lesen →DSAR-Endpunkt-Referenz → API

Dreizehn Unterauftragsverarbeiter, öffentlich gelistet

Hosting, Edge, Backups, E-Mail, Zahlungen, Chat, KI, SSO, CAPTCHA, URL-Prüfungen. Dreizehn Anbieter. Das ist die Liste.

Die vollständige namentliche Liste mit Anbieterstandort, Verarbeitungszweck, Datenkategorien und DPA-Referenz-URL liegt unter /legal/subprocessors. Das Hinzufügen oder Ersetzen eines Sub-Prozessors löst eine 30-Tage-Benachrichtigung an jeden Workspace-Admin per In-App-Banner und E-Mail aus, bevor die Verarbeitung beginnt, damit Kunden Einspruch erheben können.

Sub-processor fan-out · workspace data flow
13 vendors · public list
Your workspace
ws_xxxx
EU region (default)
  • Compute & hostingISO 27001
    Primary app + edge infrastructure
    EU · Germany + Finland
  • Edge computeISO 27001 · SOC 2
    Redirect edge nodes
    US + APAC
  • Email deliverySOC 2 Type II
    Transactional email
    EU (opt-out for EU-only)
  • PaymentsPCI DSS L1
    Card acquiring
    EU
  • CDN + WAFISO 27001 · SOC 2
    Marketing proxy (not redirect path)
    Global · EU routing
Adding a vendor triggers a 30-day customer notice/legal/subprocessors
Vollständige Sub-Prozessor-Liste ansehen →Trust Center → Postur & Incidents

Was Sie in die Beschaffungsunterlage schreiben können

  • EU-Standard-Region für jeden Workspace
  • Audit-Log in der Anwendung append-only und hash-verkettet
  • 13 Unterauftragsverarbeiter, alle öffentlich gelistet mit Standort + Zweck
  • DSAR-API mit 30-Tage-SLA (5 Tage Expressbearbeitung bei Business)
  • SOC 2 in Vorbereitung, ISO 27001 nicht zertifiziert
  • HIPAA-fähiger BAA auf Business+ mit bereits verdrahteten Sicherheitsvorkehrungen

Wie Compliance im Produkt aussieht

Die meisten Kurz-URL-Dienste beantworten Compliance-Fragen mit einem Einseiter und einem Fragebogen zur Lieferantenbewertung. Die folgenden Funktionen sind tatsächlich im Code implementiert, keine leeren Versprechen in einer Präsentation.

Data residency
01

Primärdaten in der EU gehostet

Die primäre Datenbank, der Analytics-Speicher, die Link-Metadaten und die Backups werden in der EU gehostet (Hetzner, Deutschland und Finnland). Unser Redirect-Netzwerk läuft zusätzlich bei Hetzner Ashburn (USA) und OVH Singapur, daher werden Besucheranfragen, IP-Adressen, User-Agents und Referrer dort verarbeitet, und diese Knoten können gecachte oder replizierte Kopien von Link-Daten halten. Eine Regionsauswahl pro Workspace gibt es noch nicht: Jeder Workspace wird von derselben Infrastruktur bedient. Backups werden vor dem Hochladen verschlüsselt.

Audit trail
02

Append-only Log jeder Zustandsänderung

Workspace-Einstellungen, Ausgabe und Rotation von API-Schlüsseln, Mitgliedereinladungen und Rollenänderungen, Custom-Domain-Zuordnungen, Branding-Änderungen, Tarifwechsel sowie Erstellen, Ändern und Löschen von Links - jede zustandsändernde Mutation landet im Audit-Log mit Akteur, UTC-Zeitstempel, Vorher/Nachher-JSON-Diff, Quell-IP und Request-ID. Die Aufbewahrung beträgt standardmäßig 730 Tage und ist pro Workspace konfigurierbar. Ereignisse lassen sich per signiertem Webhook an ein SIEM (Splunk, Datadog, ELK) streamen. Die Anwendung hängt nur an die Audit-Tabelle an, und jeder Eintrag ist per Hash mit dem vorherigen verkettet, sodass Manipulation über einen Verifizierungs-Endpoint erkennbar ist. Das ist eine Schutzmaßnahme auf Anwendungsebene, keine Datenbank-Berechtigungsbeschränkung.

Sub-processor transparency
03

Dreizehn Anbieter, alle öffentlich gelistet

Wir setzen dreizehn Unterauftragsverarbeiter ein, und die Liste wird vollständig veröffentlicht: Hosting und Datenbank (EU - Deutschland + Finnland, plus ein US-Edge-Knoten), Redirect-Edge (USA und Singapur), verschlüsselte Backups, Transaktions-E-Mails, Zahlungen (Paddle außerhalb der Ukraine, monobank in der Ukraine), Live-Chat, KI-Funktionen, Enterprise-SSO, CAPTCHA und DNS/Proxy, URL-Reputationsprüfungen und ein Offline-Geolokalisierungsdatensatz. Die vollständige Liste mit Namen, Standort des Anbieters und Verarbeitungszweck finden Sie unter /legal/subprocessors. Das Hinzufügen oder Ersetzen eines Unterauftragsverarbeiters löst vor Beginn der Verarbeitung eine 30-tägige Vorankündigung per In-App-Banner und E-Mail an jeden Workspace-Admin aus, sodass Kunden widersprechen können.

DSAR & Betroffenenrechte
04

Export und Löschung via API, nicht per Support-Ticket

Die DSAR-API liefert ein Paket pro betroffener Person als JSON plus CSV in einem signierten Zip: Identitätsdatensatz, die Links der Person, Audit-Log-Einträge, bei denen die Person Akteur ist, sowie Rechnungsbelege und Tarifhistorie für Workspace-Inhaber. Eine Löschanfrage anonymisiert den Kontodatensatz (E-Mail und Name), beendet Sitzungen und entfernt die Login-Identität; Abrechnungsdaten bleiben erhalten, wo das Gesetz es verlangt. Klickereignisse von Besuchern von Kurzlinks (einschließlich IP-Adressen) sind noch nicht automatisch enthalten; senden Sie uns den Kurzlink, dann bearbeiten wir den Fall einzeln. Die Standardbearbeitungszeit beträgt 30 Tage.

Compliance posture
05

SOC 2 in Vorbereitung, HIPAA-ready

SOC 2 ist in Vorbereitung: Es wurde kein Audit-Bericht ausgestellt, und wir beanspruchen keine Zertifizierung. ISO 27001 ist nicht zertifiziert. Das Kontrollset, das wir vorbereiten, umfasst Zugriffsüberprüfungen, Change-Management-Tickets, regelmäßige Schwachstellenscans, Incident-Übungen und Lieferantenbewertungen. HIPAA-ready auf Business+ bedeutet, dass wir einen BAA unterzeichnen, der Elido als Business Associate abdeckt, mit umgesetzten Schutzmaßnahmen: Verschlüsselung im Ruhezustand und bei der Übertragung, der Append-only-Audit-Trail, RBAC, eingeschränkte API-Schlüssel und ein dokumentiertes 72-Stunden-Verfahren zur Meldung von Datenpannen. HIPAA selbst ist eine branchenweite Selbstattestierung - der BAA plus Schutzmaßnahmen ist das, was Auditoren verlangen. Änderungen am Sicherheitsstatus erscheinen am Tag der Auslieferung im /changelog.

Stack, den Sie nachweisen werden

  • EU-Residenz
  • GDPR DPA
  • SOC 2 (in Vorbereitung)
  • ISO 27001 (geplant)
  • Audit Log + SIEM Firehose
  • DSAR API

Was Ihr DPO misst

Anzahl Subprozessoren
13, öffentlich gelistet
DSAR-Antwort
Unter 30 Tagen
Audit Log Retention
730 Tage Standard

Was sich ändert, wenn Compliance der Käufer ist

Wenn Ihr Datenschutzbeauftragter den Anbieter prüft, sind dies die Fragen, die er stellen wird. Ehrliche Antworten über drei Optionen hinweg.

FunktionElidoBitly EnterpriseGenerischer Kurz-URL-Dienst
Standard-DatenresidenzEU-Region für jeden WorkspaceUS-Standard; EU-Opt-in für EnterpriseRegion hängt vom Tarif ab
Abhängigkeit von DPF / Schrems IIPrimärdaten in der EU; US-Edge-Knoten und US-Unterauftragsverarbeiter aufgeführtDPF-gelistet; verlässt sich auf TransfermechanismenGemischt; hängt von Sub-Auftragsverarbeitern ab
Anzahl der Sub-Auftragsverarbeiter5, alle öffentlich gelistet20+ über alle Tarife hinwegNicht veröffentlicht
DPA-UnterzeichnungAuf Anfrage erhältlichManuelle Gegenzeichnung auf AnfrageAuf Anfrage, nur kostenpflichtige Tarife
Audit-Log-Aufbewahrung730 Tage Standard, konfigurierbar1 Jahr Standard30-90 Tage
Audit-Log → SIEM-StreamingWebhook-Firehose, EchtzeitNur täglicher ExportManueller Download
Erfüllung von DSAR-AnfragenAPI; <30 T. Standard, <5 T. beschleunigtSupport-Ticket; 30 T.Support-Ticket; SLA variiert
BAA / HIPAA-UnterstützungJa auf Business+Enterprise-Add-onNein
SOC 2 / ISO 27001SOC 2 in Vorbereitung; ISO 27001 nicht zertifiziertBeide, etabliertKeines von beiden

Häufige Fragen aus dem Einkauf

Wo genau werden unsere Daten gespeichert?

In der EU: primäre Datenbank, Analytics-Speicher, Link-Metadaten und Backups. Redirect-Knoten laufen zusätzlich in den USA (Ashburn) und in Singapur und verarbeiten dort Besucheranfragen. Eine Regionsauswahl pro Workspace gibt es noch nicht.

Fallen Sie in den Bereich von SOC 2 / ISO 27001?

SOC 2 ist in Vorbereitung, es wurde kein Bericht ausgestellt. ISO 27001 ist nicht zertifiziert. Wir beanspruchen keines von beiden. Das Trust Center unter /trust zeigt den aktuellen Stand.

Unterzeichnen Sie ein DPA?

Auf Anfrage unter [email protected] erhältlich; EU-SCCs sind enthalten. Der AVV verweist auf unsere Liste der Unterauftragsverarbeiter unter /legal/subprocessors als lebendes Dokument; Änderungen kündigen wir 30 Tage vorher an. Wenn Sie Änderungswünsche haben, sprechen Sie uns an.

Wie viele Sub-Auftragsverarbeiter sind beteiligt?

Dreizehn, nicht alle in der EU: Hosting und Datenbank (Hetzner, DE/FI, plus ein US-Edge-Knoten in Ashburn), Redirect-Edge (OVH, Singapur), verschlüsselte Backups (Backblaze), Transaktions-E-Mail, Zahlungen (Paddle außerhalb der Ukraine, monobank in der Ukraine, Coinbase Commerce nur falls aktiviert), Live-Chat, KI-Funktionen, Enterprise-SSO, CAPTCHA und DNS/Proxy, URL-Reputationsprüfung und ein Offline-Geolokationsdatensatz. Die vollständige namentliche Liste mit Standort und Zweck je Anbieter steht unter /legal/subprocessors. Das Hinzufügen eines Unterauftragsverarbeiters löst eine 30-tägige Kundenbenachrichtigung aus.

Können wir HSM / KMS für Verschlüsselungs-Keys selbst mitbringen?

Nicht im Multi-Tenant-SaaS: Kundenverwaltete Schlüssel sind noch nicht verfügbar. Datenbank-Backups werden verschlüsselt, bevor sie unsere Server verlassen. Self-Hosting ist per Vertrag verfügbar (Enterprise); kontaktieren Sie [email protected].

Wie sieht die SLA für die Benachrichtigung bei Datenschutzverletzungen aus?

Bestätigte Verletzungen des Schutzes personenbezogener Daten: 24 Stunden Kundenbenachrichtigung, 72 Stunden Behördenbenachrichtigung (GDPR Art. 33). Die Benachrichtigung umfasst den aktuellen Kenntnisstand; wir warten nicht auf die vollständige Forensik. Der Prozess ist in unserem Trust Center unter /trust/incident-response beschrieben.

Erfüllen Sie DSAR-Anfragen von Endnutzern (betroffenen Personen), nicht nur von uns als Kunde?

Wir handeln auf Anweisung des Verantwortlichen (Sie als Kunde). Endnutzer kontaktieren Sie; Sie leiten die Anfrage über das Dashboard oder die API weiter und wir führen sie aus. Wir akzeptieren DSAR-Anfragen nicht direkt von Endnutzern, da wir keine Möglichkeit hätten, sie als Betroffene Ihres Workspaces zu authentifizieren – diese Authentifizierung liegt bei Ihnen.

Kann das Audit-Log von einem Elido-Admin manipuliert werden?

Nicht über das Produkt. Die Anwendung hängt nur an die Audit-Tabelle an, und jeder Eintrag ist per Hash mit dem vorherigen verkettet, sodass Manipulation über den Verifizierungs-Endpoint erkennbar ist. Das ist eine Schutzmaßnahme auf Anwendungsebene, keine Datenbank-Berechtigungsbeschränkung: Wer direkten Datenbankzugriff hätte, könnte Zeilen ändern, aber die Kette würde nicht mehr verifizieren. Das Löschen nach Ablauf der Aufbewahrungsfrist (standardmäßig 730 Tage) erfolgt automatisch und schreibt ein Meta-Ereignis 'retention purge'.

Haben Sie eine öffentliche security.txt / Coordinated-Disclosure-Richtlinie?

Ja - security.txt unter /.well-known/security.txt; Richtlinie zur koordinierten Offenlegung unter /trust/disclosure. Schwachstellen melden Sie an [email protected]. Ein bezahltes HackerOne-Bug-Bounty-Programm wird gerade aufgebaut und ist noch nicht live.

Was passiert bei Vertragsende? Wie bekommen wir unsere Daten heraus?

Vollständiger Datenexport jederzeit über die API oder eine einmalige Support-Anfrage. JSON + CSV-Bundle mit Links, Click-Events (roh oder aggregiert, nach Ihrer Wahl), Audit-Log, Mitgliedern, Einstellungen, Branding. Nach Vertragsende halten wir die Daten für 30 Tage zwecks Wiederherstellung nach versehentlicher Kündigung bereit, danach erfolgt ein Hard-Purge aus Primärsystemen, Replikaten und Backups. Wir können eine schriftliche Löschbestätigung ausstellen, falls Ihr DPA dies erfordert.

Leseliste für DPOs

Trust Center

Sub-Prozessoren, DPA, security.txt - die öffentliche Version jeder Aussage auf dieser Seite.

Auftragsverarbeitungsvertrag

GDPR-AVV auf Anfrage erhältlich. Standard-EU-SCCs inbegriffen.

Sub-Prozessoren

Dreizehn Anbieter, öffentliche Liste mit Standort und Zweck pro Zeile.

Sicherheit

Verschlüsselung, Zugangskontrolle, Sicherheitslücken-Offenlegung, Incident-Response-Zeitpläne.

SCIM & SSO

WorkOS-verwaltetes SAML / OIDC + SCIM-Verzeichnissynchronisation; Deprovisioning innerhalb von Minuten.

API & SDKs

DSAR-Endpunkte, Audit-Log-Streaming, gescopte API-Keys - typisiert für TS / Py / Go.

Nicht sicher, welcher Winkel passt?

Die meisten Teams beginnen als eins und wachsen in alle vier hinein. Unser Vertriebsteam kann in 20 Minuten Ihren spezifischen Stack durchgehen.

Kostenlos startenVertrieb kontaktieren