Keeper Security: Zero-Knowledge-Plattform mit Einhaltung der DSGVO

Schlüsselpunkte rund um Keepers DSGVO-Konformität

Unser Engagement

Keeper entspricht der DSGVO und wir sehen uns dazu verpflichtet sicherzustellen, dass unsere Geschäftsabläufe und Produkte weiterhin den Richtlinien für unsere Kunden in der Europäischen Union entsprechen.

Der Keeper Web-Tresor, die Desktop-App, iOS/Android-Apps und Browsererweiterungen wurden durch den EU-US-Datenschutzrahmen („EU-US-DPF“), die britische Erweiterung des EU-US-DPF und den Schweiz-USA-Datenschutzrahmen („Swiss-US-DPF“) gemäß den Vorgaben des U.S. Department of Commerce zertifiziert. Keeper ist gemäß dem AICPA Service Organization Control-Framework SOC 2 Typ 2-konform. Keeper ist zudem ISO27001-zertifiziert.

Mehr Rechte für Individuen

Die Datenschutz-Grundverordnung gewährt Individuen der Europäischen Union mehr Rechte, darunter das Recht, vergessen zu werden, und das Recht, eine Kopie aller gespeicherten persönlichen Daten der eigenen Person anzufordern. Die Daten müssen in einem allgemeingültigen, maschinenlesbaren Format vorliegen und der Verantwortliche darf die Übertragung der Daten nicht behindern.

Einhaltungsverpflichtungen

Die Datenschutz-Grundverordnung (GDPR) verpflichtet Organisationen zur Implementierung von angemessenen Verfahren und Sicherheitsprotokollen, Durchführung von Datenschutzbeeinträchtigungsbewertungen, Speicherung detaillierter Berichte zu Datenaktivitäten und dem Eingehen einer schriftlichen Vereinbarung mit den Datenbereitstellern.

Verschärfte Durchsetzung

Gemäß den Bestimmungen der Datenschutz-Grundverordnung (GDPR) können Behörden gegen Organisationen abhängig von der Schwere der Ordnungswidrigkeit und den verursachten Schäden ein Bußgeld von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes (der höhere Betrag findet Anwendung) verhängen. Mit der GDPR entsteht auch eine zentrale Durchsetzungsrichtlinie, nach der sich Organisationen richten können, die in mehreren EU-Mitgliedsstaaten tätig sind, da Organisationen verpflichtet sind, bei internationalen Datenschutzangelegenheiten mit der übergeordneten Behörde zusammenzuarbeiten.

Neue Anforderungen an Profiling und Monitoring

Organisationen, die mit Profiling und Monitoring über das Verhalten von EU-Individuen betreiben, unterliegen nach Inkrafttreten der Datenschutz-Grundverordnung (GDPR) zusätzlichen Verpflichtungen. Die Bedingungen der GDPR gelten weltweit für jegliche Organisationen, die persönliche Daten von Personen in der EU verarbeiten. Dazu zählt auch die Nachverfolgung von Aktivitäten im Internet. Die Gültigkeit der Verordnung ist unabhängig davon, ob eine Organisation eine physische Niederlassung in der EU unterhält.

Sicherheitsvorkehrungen und Benachrichtigungen zu Datendiebstählen

Die Datenschutz-Grundverordnung (GDPR) verlangt von Organisationen, bestimmte Fremdzugriffs- und Datendiebstahlsvorkommnisse an Datenschutzbehörden und unter bestimmten Umständen auch an betroffene Personen zu melden. Die GDPR stellt an Organisationen auch zusätzliche Sicherheitsanforderungen.

Keeper-Datenverarbeitungsvereinbarung

Geschäftskunden müssen möglicherweise eine Datenverarbeitungsvereinbarung (DPA) mit Keeper Security unterzeichnen, um die Einhaltung der DSGVO zu unterstützen. Die DPA steht unten zur Ansicht bereit.

Datenverarbeitungsvereinbarung (DPA) anzeigen

Häufig gestellte Fragen

Was unternimmt Keeper Security in Bezug auf die GDPR?

Gemeinsam mit TrustArc, einem globalen Marktführer für Datenschutzlösungen, haben wir unsere Geschäftstätigkeiten, Datenschutzverfahren und Produkte hinsichtlich notwendiger Veränderungen untersucht, um die Einhaltung der GDPR zu gewährleisten.

Für uns als Anbieter von Zero-Knowledge-Sicherheitslösungen ergänzen sich die GDPR und unsere Hauptprodukte und Dienstleistungen perfekt. Die Einhaltung von internationalen Gesetzen und der Schutz der Daten unserer geschätzten Kunden sind uns sehr wichtig.

Was bedeutet Zero-Knowledge?

Keeper ist ein Anbieter von Zero-Knowledge-Sicherheitslösungen. Der Keeper-Benutzer ist die einzige Person, die die volle Kontrolle über die Ver- und Entschlüsselung ihrer Daten hat. Mit Keeper findet der Ver- und Entschlüsselungsprozess ausschließlich nach dem Anmelden am Tresor auf dem Gerät des Benutzers statt. Jede im Tresor gespeicherte Datei wird mit einer 256-Bit-AES-Verschlüsselung gesichert, die zufällig auf dem Gerät des Benutzers erstellt wird. Die Kodierungsschlüssel der Dateien werden zusätzlich mit einem Datenschlüssel geschützt. Der Datenschüssel wird auf dem Gerät erstellt und ergibt sich aus dem Master-Passwort des Benutzers und wird mittels PBKDF2 mit 1.000.000 Iterationen erstellt. Für Benutzer, die sich mittels SSO anmelden, wird der Datenschlüssel mittels eines privaten Elliptic-Curve-Schlüssels verschlüsselt. Derzeit nicht verwendete Daten auf dem Benutzergerät werden mit einem weiteren 256-Bit-Schlüssel verschlüsselt, dem Benutzerschlüssel. Die Datensynchronisation zwischen mehreren Benutzergeräten wird ebenfalls auf Netzwerkebene verschlüsselt und durch den Keeper Cloud Security Vault übertragen. Die mehrfache Verschlüsselung bietet für die Daten unserer Kunden den in der Branche fortschrittlichsten Schutz.

Welche Änderungen hat Keeper Security vorgenommen, um die DSGVO einzuhalten?

Aufgrund der Zero-Knowledge-Architektur unserer Plattform sind alle in unserem Produkt gespeicherten Daten vollständig verschlüsselt und stehen nur dem Benutzer zur Verfügung. Wir haben Änderungen an unserem Analysesystem vorgenommen, um die Anonymität unserer Kunden zu gewährleisten. Unsere Kunden haben nun zudem die Möglichkeit, die Zustimmung zur Verwendung und Speicherung von möglicherweise gesammelten persönlichen Daten detailliert zu regeln.

Ist Keeper ein Verantwortlicher oder Auftragsverarbeiter im Sinne der GDPR?

In der Datenschutz-Grundverordnung (GDPR) werden zwei Organisationsformen genannt, die Daten besitzen können: Der Verantwortliche entscheidet, welche Daten gesammelt werden und wie diese verarbeitet werden. Auftragsverarbeiter sind Organisationen, die im Auftrag des Verantwortlichen persönliche Daten sammeln, speichern, abrufen und/oder löschen. Keeper Security ist durch den direkten Verkauf unserer Passwortverwaltungssoftware an Kunden ein Verantwortlicher. Ein Auftragsverarbeiter sind wir durch den Verkauf direkt an Unternehmen, die dadurch wiederum zu Verantwortlichen werden.

Wie kann ich meine persönlichen Daten exportieren?

To export your data, login to the Keeper Web Vault at exportme@keepersecurity.com and click on "More >> Backup >> Export". You can download your stored information in either CSV or PDF format. If you have an expired account, please contact support@keepersecurity.com and our support team will assist you in accessing your vault.

Wie beantrage ich die Löschung meiner Daten?

Bitte senden Sie eine E-Mail an deleteme@keepersecurity.com und geben Sie die für Ihr Keeper-Konto verwendete E-Mail-Adresse an.

Wo werden meine Daten gespeichert?

Keeper operates data centers in multiple regions throughout the world with Amazon AWS. Enterprise customers may elect to establish their Keeper tenant in any supported primary region including: United States (US), United States GovCloud (US_GOV), Europe (EU), Australia (AU), Canada (CA) and Japan (JP). Customer data and access to the platform are isolated to that specific region. From each primary region, Keeper utilizes multi-zone and multi-region replication to ensure high availability. In the United States commercial region, Keeper utilizes East and West locations. In the US GovCloud data center, Keeper utilizes East and West locations. In Europe, Keeper utilizes Ireland and Frankfurt locations. In Australia, Keeper utilizes Canada as a DR region. In Canada, data is replicated within the country. In Japan, the primary region is Tokyo and replicated to Osaka. Individual consumer users who sign up through the Keeper Web Vault, desktop app or mobile apps may select the desired data center location on the account creation screen.

Wie übertrage ich meine Daten von einem Datenzentrum in den USA in eines in der EU?

Please contact support@keepersecurity.com for instructions and assistance in this data transfer.

Wie unterstützt Keeper Security uns bei der Einhaltung der GDPR?

Zero-Knowledge-Architektur und Sicherheit: Der Passwortmanager von Keeper basiert von Grund auf auf der Idee, dass der einzelne Benutzer die einzige Person ist, die auf dessen Daten zugreifen kann. Dies steht in perfekter Übereinstimmung mit den Grundsätzen der DSGVO und den Anforderungen an den Datenschutz. Die gesamte Verschlüsselung erfolgt auf dem Gerät bzw. den Geräten der betreffenden Person. Die Daten werden während der Übertragung mit Transport Layer Security (TLS) verschlüsselt und als mit AES-256 verschlüsselter Chiffretext gespeichert. Durch die Trennung von Daten und Verschlüsselungsschlüsseln kann kein Mitarbeiter von Keeper jemals auf Kundendaten im Tresor zugreifen. Gemäß Artikel 34 wäre eine Benachrichtigung vermutlich nicht erforderlich, wenn Keeper-Tresordaten jemals kompromittiert würden, da der Chiffretext Angreifern nur wenig nützen würde.

Zusätzlich zu regelmäßigen Sicherheitsüberprüfungen und -tests wird Keeper jährlich nach SOC 2 Typ 2 und ISO 27001 zertifiziert.

Keeper nutzt die gehärtete Cloud-Infrastruktur von Amazon AWS an mehreren geografischen Standorten, um den Keeper-Tresor zu hosten und zu betreiben. Daten im Ruhezustand und während der Übertragung sind vollständig in einem vom Kunden bevorzugten globalen Rechenzentrum isoliert. Tresordaten verbleiben in der vom Kunden ausgewählten Region. Dies bietet Kunden den schnellsten und sichersten Cloud-Speicher.

No Additional Processing: Keeper will never mine customer vault data for any purpose. First, it is a matter of policy at the highest levels of Keeper that we are committed to customer privacy. Second, because of our zero-knowledge architecture, it is technically impossible for us to do so. This follows GDPR principles of both organization and technical policies to protect personal data.

Data Control: Customers may export their data (in csv, pdf format), modify or delete their vault records at any time. This enables the GDPR requirements that personal data may be transferred or deleted as soon as the intended use is completed, consent is withdrawn or the legitimate business purpose changes. Because the data subjects are able to self-serve their Keeper vaults, the data controller is relieved of a significant burden in GDPR compliance. The data is encrypted such that only the data subject can access it, so no employees can even see it, let alone have the need to access it.

Role-based Access Control: The security concept of least privilege means that employees should only have access to the minimum amount of data that they need to do their jobs. This is most often accomplished with role-based access control (RBAC).

Keeper kann mit Microsoft Active Directory (AD) integriert werden, um Organisationseinheiten, Teams und Benutzer zu synchronisieren. Nach erfolgreicher Integration ermöglicht Keeper die rollenbasierte Zugriffssteuerung für beliebige Organisationseinheiten. Die Steuerung können Sie nach Bedarf auch auf niedrigere Organisationsebenen ausweiten. Steuerungsfunktionen für Keeper-Tresore umfassen unter anderem die Master-Passwortstärke, Passwortrotationszeitfenster, Zwei-Faktor-Authentifizierungsanforderungen und Positivlisten für IP-Adressen. Keeper sperrt Konten, die in AD geschlossen wurden und sie können auf Administratorkonten mit entsprechenden Vertrauenseinstellungen übertragen werden. Damit haben IT-Administratoren die volle Kontrolle über Datenkonten und digitale Werte in der ganzen Organisation.

Admin Insight and Auditing: Keeper Enterprise provides insight into employee password strength, reuse and use of second-factor authentication. Keeper provides audit logs complete with timestamps and filters to enable rapid searches for anomalies, bad behavior, forensics or compliance reporting.