Der Shortener, gegen den Ihr DPO nichts einwenden wird.
Sie messen DSAR-Durchlaufzeit, SOC 2-Evidence-Frische und wie viele Vendor-Fragen ein Sales-Zyklus kostet. Elido ist der Shortener, den Ihr DPO nicht zurückweist.
- EU-Standard-Region für jeden Workspace
- Append-only-Audit-Log, auf Datenbank-GRANT-Ebene durchgesetzt
- 5 Sub-Prozessoren, alle öffentlich mit Standort und Zweck gelistet
- DSAR-API mit 30-Tage-SLA (5 Tage Expressbearbeitung bei Business)
- EU regioneu · primary originEU residency · default
Default for every workspace. Audit log, clicks, backups stay in-region. No DPF or Schrems II reliance.
- US Eastus-east · opt-in regionOpt-in
Workspace creation only. Irreversible. For US-resident customers who want US data path.
- Asia-Pacificapac · opt-in regionBusiness+ · opt-in
Workspace creation only. Irreversible. APAC residency for Business and Enterprise plans.
Append-Only-Audit-Log
Jede Zustandsänderung. Akteur, IP, Vorher/Nachher-Diff, Quelle.
Append-only wird auf Datenbankebene durchgesetzt: Die Audit-Tabelle gewährt Anwendungsrollen nur INSERT und SELECT, kein UPDATE oder DELETE. Selbst unsere eigenen Admins können die Historie nicht umschreiben, ohne eine Migration, die in der Änderungskontrolle auftaucht. Aufbewahrung: 90 Tage auf Pro, 7 Jahre auf Business - deckt SOX, MiFID II und HIPAA ohne Add-on ab.
- Akteur-IdentitätNutzer-ID oder Service-Principal, plus Quell-IP und Request-ID
- Vorher/Nachher-DiffStrukturierter JSON-Diff der geänderten Zeile - nicht nur eine Text-Log-Zeile
- SIEM-FirehoseHMAC-signierter Webhook zu Splunk / Datadog / ELK in Echtzeit
- ManipulationssicherDatenbank-GRANT-Durchsetzung; kein UPDATE / DELETE für App-Rollen
{ "domain": "go.acme.eu",- "status": "pending_dns",+ "status": "verified",- "tls_mode": "none",+ "tls_mode": "on_demand",+ "verified_at": "2026-05-08T11:42:18Z", "workspace_id": "ws_8a2f" }Betroffenenanfragen
DSAR, kein Support-Ticket. API-Aufruf, signiertes Bundle, SLA-Uhr.
Sie erhalten eine Anfrage von Ihrem Endnutzer. Sie leiten sie über das Dashboard oder die API als Controller-im-Auftrag-des-Betroffenen-Anfrage weiter - Elido authentifiziert den Controller (Sie), nicht den Betroffenen. Das Bundle ist ein signiertes ZIP: Identitätseintrag, Links, Audit-Log-Einträge, wo der Betroffene Akteur ist, Abrechnungsbelege, wenn der Betroffene Workspace-Inhaber ist. Standard-SLA: 30 Tage; Business-Express gibt innerhalb von 5 Werktagen zurück.
- Step 1
Subject request
End user → controller (you)Subject contacts you. You authenticate them in your own product, not in Elido.
- Step 2
DSAR API call
POST /v1/dsarForward as a controller-on-behalf request with subject email + request type (export / erase).
- Step 3
Workspace bundle
signed zip · JSON + CSVIdentity, links, audit-log entries where subject is actor, billing if owner, anonymised click metadata.
- Step 4
SLA
30 days · 5 days expeditedStandard SLA on every plan; Business expedited tier returns inside 5 business days.
Fünf Sub-Prozessoren, öffentlich gelistet
Compute, Edge, E-Mail, Zahlungen, WAF. Fünf Anbieter, alle EU-first. Das ist die Liste.
Die vollständige namentliche Liste mit Anbieterstandort, Verarbeitungszweck, Datenkategorien und DPA-Referenz-URL liegt unter /legal/subprocessors. Das Hinzufügen oder Ersetzen eines Sub-Prozessors löst eine 30-Tage-Benachrichtigung an jeden Workspace-Admin per In-App-Banner und E-Mail aus, bevor die Verarbeitung beginnt, damit Kunden Einspruch erheben können.
- Compute & hostingISO 27001Primary app + edge infrastructureEU · Germany + Finland
- Edge computeISO 27001 · SOC 2Business region pinsEU + APAC
- Email deliverySOC 2 Type IITransactional emailEU (opt-out for EU-only)
- PaymentsPCI DSS L1Card acquiringEU
- CDN + WAFISO 27001 · SOC 2Marketing proxy (not redirect path)Global · EU routing
Was Sie in die Beschaffungsunterlage schreiben können
- EU-Standard-Region für jeden Workspace
- Append-only-Audit-Log, auf Datenbank-GRANT-Ebene durchgesetzt
- 5 Sub-Prozessoren, alle öffentlich mit Standort und Zweck gelistet
- DSAR-API mit 30-Tage-SLA (5 Tage Expressbearbeitung bei Business)
- ISO 27001 erreicht · SOC 2 Typ II läuft (H2 2026)
- HIPAA-fähiger BAA auf Business+ mit bereits verdrahteten Sicherheitsvorkehrungen
Wie Compliance im Produkt aussieht
Die meisten Kurz-URL-Dienste beantworten Compliance-Fragen mit einem Einseiter und einem Fragebogen zur Lieferantenbewertung. Die folgenden Funktionen sind tatsächlich im Code implementiert, keine leeren Versprechen in einer Präsentation.
EU-Standard, Region pro Workspace festgelegt
Die EU-Region ist die Standardregion für jeden neuen Workspace. Click-Events, Link-Metadaten, Audit-Logs, Exporte – alles bleibt in der EU-Region, sofern ein Administrator den Workspace bei der Erstellung nicht auf US East oder Asien-Pazifik festlegt. Es gibt keine regionsübergreifende Replikation für heiße Daten; Backups sind at rest verschlüsselt und werden in derselben Region wie die Quelle gespeichert. Das DPF (Data Privacy Framework) ist nicht Teil unserer Compliance-Strategie – wir verlassen uns nicht auf US-EU-Transfermechanismen, da wir keine Daten übertragen.
Append-only Log jeder Zustandsänderung
Workspace-Einstellungen, API-Key-Ausstellung und -Rotation, Mitgliedereinladungen und Rollenänderungen, Custom-Domain-Ansprüche, Branding-Bearbeitungen, Erstellen/Aktualisieren/Löschen von Links – jede Mutation landet im Audit-Log mit Akteur, Zeitstempel, Vorher-Nachher-Diff und Quell-IP. Protokolle werden bei Pro 90 Tage und bei Business 7 Jahre lang aufbewahrt; beide Tiers können den Firehose in Echtzeit via Webhook an ein SIEM (Splunk, Datadog, ELK) streamen. Manipulationen werden durch die append-only Einschränkung auf Datenbankebene verhindert; das Log ist abfragbar, aber selbst für Admins nicht editierbar.
Fünf Anbieter, alle öffentlich gelistet
Wir nutzen genau fünf Sub-Auftragsverarbeiter, und die Liste ist vollständig veröffentlicht: Compute + Hosting (EU – Deutschland + Finnland, ISO 27001), Edge-Compute für Business-Region-Pins (EU + APAC POPs, ISO 27001), transaktionale E-Mails (Opt-out für reine EU-Workspaces, bei denen der Verkehr auf Workspace-Ebene deaktiviert wird), Zahlungen (EU) und ein Proxy + WAF, der nur auf Marketing-Oberflächen verwendet wird (nicht auf dem Redirect-Hot-Path). Die vollständige namentliche Liste mit Anbieterstandort, Verarbeitungszweck, Datenkategorien und DPA-Referenz-URL finden Sie unter /legal/subprocessors; Aktualisierungen lösen eine 30-tägige Kundenbenachrichtigung aus. Wir fügen Sub-Auftragsverarbeiter nicht heimlich hinzu; die Liste wird jedes Quartal überprüft.
Export und Löschung via API, nicht per Support-Ticket
Der Datenexport pro Nutzer liefert ein JSON + CSV-Bundle, das Identität, erstellte Links, dem Betroffenen zuzuordnende Audit-Log-Einträge und Click-Event-Metadaten (normalerweise keine – Clicks werden beim Ingest anonymisiert, sofern der Workspace nicht explizit PII-Tracking aktiviert) umfasst. Die Löschung erfolgt als Soft-Delete mit einem 30-Tage-Fenster zur Wiederherstellung nach versehentlichem Löschen, gefolgt von einem Hard-Purge aus Primärdatenbank, Replikaten und Backups. Die SLA beträgt 30 Tage ab Anfrage; der Business-Expedited-Tier erledigt dies in 5 Werktagen.
SOC 2 Type II, ISO 27001, HIPAA-fähig
Das SOC 2 Type II Audit ist im Gange (Ziel: H2 2026); die Kontrollen und Nachweise sind bereits vorhanden – wir warten lediglich auf das Audit-Zeitfenster. ISO 27001 ist erreicht. HIPAA-ready bedeutet, dass wir ein BAA auf Business+ unterzeichnen und die technischen Sicherheitsvorkehrungen (Verschlüsselung, Audit-Trail, Zugriffskontrollen, Verfahren zur Benachrichtigung bei Datenschutzverletzungen) implementiert haben; die Zertifizierung erfolgt branchenspezifisch, nicht als einzelner Stempel im SOC-Stil. Der Vertrauensstatus ist unter /trust dokumentiert, Aktualisierungen erscheinen im /changelog.
Stack, den Sie nachweisen werden
- EU-Residenz
- GDPR DPA
- SOC 2 Type II (in Bearbeitung)
- ISO 27001
- Audit Log + SIEM Firehose
- DSAR API
Was Ihr DPO misst
- Anzahl Subprozessoren
- 5, nur EU standardmäßig
- DSAR-Antwort
- Unter 30 Tagen
- Audit Log Retention
- 7 Jahre auf Business
Compliance-Teams, die darauf setzen
Namen sind vorerst Platzhalter – echte Kundennamen werden hier erscheinen, sobald Fallstudien veröffentlicht werden.
“Wir mussten Bitly verlassen, als unser Prüfer die US-Sub-Auftragsverarbeiterliste bemängelte. Elidos EU-only Standard passierte den Einkauf in zwei Wochen; zuvor kamen wir beim vorherigen Anbieter nicht über 'zeigen Sie mir das DPA' hinaus.”
“Das BAA auf Business machte den Unterschied. Zudem streamt das Audit-Log direkt in unser Datadog SIEM – wir mussten keine eigene Synchronisierungsschicht schreiben.”
“Schrems II disqualifizierte vier Kurz-URL-Dienste, die wir evaluiert haben. Elido war der einzige, dessen Antwort auf 'Wo liegen die Daten?' lautete: 'In dem Land, das Sie angegeben haben'. Das ist der entscheidende Punkt.”
Was sich ändert, wenn Compliance der Käufer ist
Wenn Ihr Datenschutzbeauftragter den Anbieter prüft, sind dies die Fragen, die er stellen wird. Ehrliche Antworten über drei Optionen hinweg.
| Funktion | Elido | Bitly Enterprise | Generischer Kurz-URL-Dienst |
|---|---|---|---|
| Standard-Datenresidenz | EU-Region für jeden Workspace | US-Standard; EU-Opt-in für Enterprise | Region hängt vom Tarif ab |
| Abhängigkeit von DPF / Schrems II | Keine – kein US-Datenpfad | DPF-gelistet; verlässt sich auf Transfermechanismen | Gemischt; hängt von Sub-Auftragsverarbeitern ab |
| Anzahl der Sub-Auftragsverarbeiter | 5, alle öffentlich gelistet | 20+ über alle Tarife hinweg | Nicht veröffentlicht |
| DPA-Unterzeichnung | Vorgezeichnet, zum Download | Manuelle Gegenzeichnung auf Anfrage | Auf Anfrage, nur kostenpflichtige Tarife |
| Audit-Log-Aufbewahrung | 7 Jahre auf Business | 1 Jahr Standard | 30-90 Tage |
| Audit-Log → SIEM-Streaming | Webhook-Firehose, Echtzeit | Nur täglicher Export | Manueller Download |
| Erfüllung von DSAR-Anfragen | API; <30 T. Standard, <5 T. beschleunigt | Support-Ticket; 30 T. | Support-Ticket; SLA variiert |
| BAA / HIPAA-Unterstützung | Ja auf Business+ | Enterprise-Add-on | Nein |
| SOC 2 / ISO 27001 | ISO 27001; SOC 2 Type II in Arbeit | Beide, etabliert | Keines von beiden |
Häufige Fragen aus dem Einkauf
Wo genau werden unsere Daten gespeichert?
Standardmäßig in der EU-Region. Die Datenbank, der Analysespeicher (Clickstream), der In-Memory-Hot-Cache, der Objektspeicher (Assets) und Backups befinden sich alle in der EU-Region. Es werden keine Daten nach US oder APAC repliziert, es sei denn, ein Administrator legt den Workspace bei der Erstellung explizit auf US East oder Asien-Pazifik fest – dies ist eine bewusste, irreversible Entscheidung (Workspaces migrieren nicht zwischen Regionen).
Fallen Sie in den Bereich von SOC 2 / ISO 27001?
ISO 27001 ist erreicht. Das SOC 2 Type II Audit läuft mit Zieltermin H2 2026 – die Kontrollen und Nachweise sind bereits in Betrieb, der Audit-Zeitraum ist der zeitkritische Faktor. Wir teilen heute Type-1-Nachweise auf Anfrage unter NDA; Type-2-Berichte werden veröffentlicht, sobald sie fertig sind. Das Trust Center unter /trust verfolgt den aktuellen Status.
Unterzeichnen Sie ein DPA?
Vorgezeichnet und zum Download unter /legal/dpa verfügbar. Das DPA verweist auf unsere Liste der Sub-Auftragsverarbeiter unter /legal/subprocessors als dynamisches Dokument; Änderungen an Sub-Auftragsverarbeitern werden 30 Tage im Voraus angekündigt. Wenn Sie Anpassungen (Redlines) benötigen, ist dies Gegenstand von Vertragsgesprächen für Business+; die Standards werden von EU-Datenschutzbeauftragten in der Regel ohne Änderungen akzeptiert.
Wie viele Sub-Auftragsverarbeiter sind beteiligt?
Fünf, überwiegend EU-basiert: Compute + Hosting (EU), Edge-Compute für Nicht-EU-Kunden (EU + APAC), transaktionale E-Mails (Opt-out für EU-only), Zahlungen (EU) und ein Proxy + WAF (global). Standorte und Verwendungszweck für jeden sind in der vollständigen namentlichen Liste unter /legal/subprocessors aufgeführt. Das Hinzufügen eines Sub-Auftragsverarbeiters löst eine 30-tägige Kundenbenachrichtigung aus; wir führen sie nicht stillschweigend ein.
Können wir HSM / KMS für Verschlüsselungs-Keys selbst mitbringen?
Ja, in der Self-hosted-Edition. SaaS Elido verschlüsselt at rest mit AWS KMS (pro Region) und in transit mit TLS 1.3; wir unterstützen derzeit kein kundenseitig verwaltetes KMS im mandantenfähigen SaaS. Mit Self-host (Helm-Chart, Apache 2.0 lizenziert) können Sie auf Ihr eigenes KMS / Vault / HSM verweisen.
Wie sieht die SLA für die Benachrichtigung bei Datenschutzverletzungen aus?
Bestätigte Verletzungen des Schutzes personenbezogener Daten: 24 Stunden Kundenbenachrichtigung, 72 Stunden Behördenbenachrichtigung (GDPR Art. 33). Die Benachrichtigung umfasst den aktuellen Kenntnisstand; wir warten nicht auf die vollständige Forensik. Der Prozess ist in unserem Trust Center unter /trust/incident-response beschrieben.
Erfüllen Sie DSAR-Anfragen von Endnutzern (betroffenen Personen), nicht nur von uns als Kunde?
Wir handeln auf Anweisung des Verantwortlichen (Sie als Kunde). Endnutzer kontaktieren Sie; Sie leiten die Anfrage über das Dashboard oder die API weiter und wir führen sie aus. Wir akzeptieren DSAR-Anfragen nicht direkt von Endnutzern, da wir keine Möglichkeit hätten, sie als Betroffene Ihres Workspaces zu authentifizieren – diese Authentifizierung liegt bei Ihnen.
Kann das Audit-Log von einem Elido-Admin manipuliert werden?
Nein. Das Log ist auf Datenbankebene append-only; selbst unsere eigenen Admins können historische Einträge nicht bearbeiten. Das Löschen alter Einträge nach Ablauf des Aufbewahrungszeitraums erfolgt automatisiert und protokolliert ein 'Retention Purge'-Meta-Event, sodass die Lücke selbst auditierbar ist. Eine Live-Manipulation würde einen Einbruch auf Datenbankebene erfordern, der unseren Anwendungscode umgeht, was das gleiche Bedrohungsmodell wie bei jeder anderen Tabellen-Korruption darstellt – abgedeckt durch RLS und unsere SOC 2-Kontrollen.
Haben Sie eine öffentliche security.txt / Coordinated-Disclosure-Richtlinie?
Ja – security.txt unter /.well-known/security.txt; Coordinated-Disclosure-Richtlinie unter /trust/disclosure. Das Bug-Bounty-Programm läuft über HackerOne (privates Programm; kontaktieren Sie [email protected] für eine Einladung, falls Sie einen nicht gemeldeten Befund haben).
Was passiert bei Vertragsende? Wie bekommen wir unsere Daten heraus?
Vollständiger Datenexport jederzeit über die API oder eine einmalige Support-Anfrage. JSON + CSV-Bundle mit Links, Click-Events (roh oder aggregiert, nach Ihrer Wahl), Audit-Log, Mitgliedern, Einstellungen, Branding. Nach Vertragsende halten wir die Daten für 30 Tage zwecks Wiederherstellung nach versehentlicher Kündigung bereit, danach erfolgt ein Hard-Purge aus Primärsystemen, Replikaten und Backups. Wir können eine schriftliche Löschbestätigung ausstellen, falls Ihr DPA dies erfordert.
Leseliste für DPOs
Sub-Prozessoren, DPA, security.txt - die öffentliche Version jeder Aussage auf dieser Seite.
Vorunterschriebener DPA zum Download. Standard-EU-SCCs, keine Verhandlung für Standardbedingungen nötig.
Fünf Anbieter, öffentliche Liste mit Standort, Zweck, DPA-Referenz pro Zeile.
Verschlüsselung, Zugangskontrolle, Sicherheitslücken-Offenlegung, Incident-Response-Zeitpläne.
WorkOS-verwaltetes SAML / OIDC + SCIM-Verzeichnissynchronisation; Deprovisioning innerhalb von Minuten.
DSAR-Endpunkte, Audit-Log-Streaming, gescopte API-Keys - typisiert für TS / Py / Go.
Nicht sicher, welcher Winkel passt?
Die meisten Teams beginnen als eins und wachsen in alle vier hinein. Unser Vertriebsteam kann in 20 Minuten Ihren spezifischen Stack durchgehen.