Datenschutzerklärung

1. Überblick

Diese Erklärung gilt für drei Kategorien von Personen: Besucher unserer Website, Vertreter von Kunden, die sich für den Dienst registrieren oder ihn verwalten, sowie Endnutzer der Websites, mobilen Anwendungen und APIs, auf denen unsere Kunden die Phylaxa-Erkennung einsetzen. Welche Daten wir verarbeiten — und in welcher Eigenschaft wir sie verarbeiten — unterscheidet sich je nach Kategorie und wird nachfolgend beschrieben.

Diese Erklärung gilt nicht für Angebote Dritter, die wir nicht kontrollieren, einschließlich der Angebote von Kunden, auf denen Phylaxa eingesetzt wird. Für diese Angebote gelten die Datenschutzerklärungen der jeweiligen Kunden.

2. Rollen als Verantwortlicher und Auftragsverarbeiter

Phylaxa ist ein Bot-Erkennungsdienst, und das prägt unsere datenschutzrechtliche Rolle. Wenn Sie unsere Website besuchen, eine Demo anfordern oder ein Kundenkonto verwalten, handelt Phylaxa als Verantwortlicher für Ihre personenbezogenen Daten. Setzt ein Kunde Phylaxa auf seinen eigenen digitalen Angeboten ein, kehren sich die Rollen um: Der Kunde bestimmt, warum und wie der Endnutzer-Traffic analysiert wird, und Phylaxa verarbeitet die dabei anfallenden Telemetriedaten ausschließlich als Auftragsverarbeiter auf Grundlage der dokumentierten Weisungen des Kunden.

Bei der Endnutzer-Telemetrie ist der Kunde der Verantwortliche (bzw. ein „business“ im Sinne des CCPA) und Phylaxa der Auftragsverarbeiter (bzw. ein „service provider“). Diese Verarbeitung richtet sich nach unserem Auftragsverarbeitungsvertrag und nicht nach dieser Erklärung. Wenn Sie Endnutzer eines mit Phylaxa geschützten Angebots sind, richten Sie Datenschutzanfragen bitte an den Betreiber dieses Angebots; wir unterstützen den Betreiber angemessen bei der Beantwortung.

3. Daten, die wir erheben

Wir erheben nur die Daten, die für den Betrieb, die Sicherheit und die Verbesserung des Dienstes erforderlich sind:

• Kontodaten — Name, geschäftliche E-Mail-Adresse, Unternehmen, Position, Zugangsdaten und Rechnungsdaten, die Sie bei der Registrierung, bei der Anforderung einer Demo oder bei der Kontaktaufnahme angeben.
• Nutzungs- und Telemetriedaten — IP-Adressen, Geräte- und Browser-Merkmale, TLS- und HTTP/2-Verbindungsparameter, Interaktionszeiten und Navigationsmuster, die aus Endnutzer-Sitzungen auf Kundenangeboten ausschließlich zur Unterscheidung von menschlichem und automatisiertem Traffic erhoben werden.
• Cookie- und Tracking-Daten — unbedingt erforderliche Cookies, die für den Betrieb unserer Website und des Kunden-Dashboards notwendig sind. Wir verwenden keine Werbe-Cookies von Drittanbietern und betreiben kein Cross-Site-Tracking.

4. Wie wir Daten verwenden

Wir verwenden die erhobenen Daten für folgende Zwecke:

• zur Bereitstellung, zum Betrieb und zur Wartung des Dienstes, einschließlich des Scorings von Traffic und der Rückgabe von Risikobewertungen an Kunden;
• zur Absicherung des Dienstes, zur Verhinderung von Missbrauch unserer eigenen Systeme und zur Verbesserung unserer Erkennungsmodelle anhand aggregierter oder de-identifizierter Traffic-Daten;
• zur Kommunikation mit Ihnen über Ihr Konto, Produktaktualisierungen, Sicherheitsvorfälle und — soweit zulässig — über Produktneuigkeiten und Veranstaltungseinladungen;
• zur Erfüllung rechtlicher Verpflichtungen, zur Durchsetzung unserer Verträge und zur Verteidigung unserer Rechte.

5. Rechtsgrundlagen der Verarbeitung

Soweit die DSGVO oder die UK-DSGVO Anwendung findet, verarbeiten wir personenbezogene Daten auf folgenden Rechtsgrundlagen:

• Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO), etwa um den Dienst dem Kunden bereitzustellen, den Sie vertreten;
• berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO), etwa die Absicherung des Dienstes, die Erkennung automatisierten Missbrauchs und die Verbesserung der Erkennungsgenauigkeit, soweit diese Interessen nicht durch Ihre Rechte überlagert werden;
• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) für optionale Cookies und bestimmte Marketingkommunikation; Sie können Ihre Einwilligung jederzeit widerrufen;
• Erfüllung einer rechtlichen Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO), etwa steuerliche und buchhalterische Pflichten sowie Anforderungen von Strafverfolgungsbehörden.

6. Datenweitergabe und Unterauftragsverarbeiter

Wir verkaufen keine personenbezogenen Daten und geben sie auch nicht für kontextübergreifende verhaltensbasierte Werbung weiter. Wir legen personenbezogene Daten nur gegenüber folgenden Empfängern offen:

Eine aktuelle Liste der Unterauftragsverarbeiter ist in unserem Auftragsverarbeitungsvertrag geführt und steht Kunden auf Anfrage zur Verfügung.

• Unterauftragsverarbeitern, die den Dienst hosten, bereitstellen und unterstützen — darunter Anbieter für Cloud-Hosting, Content Delivery, E-Mail-Versand, Abrechnung und Fehlerüberwachung —, die jeweils durch schriftliche Datenschutzvereinbarungen gebunden sind, die nicht weniger schützend sind als unsere eigenen;
• professionellen Beratern, Aufsichtsbehörden, Gerichten und Strafverfolgungsbehörden, soweit die Offenlegung gesetzlich vorgeschrieben oder zum Schutz von Rechten, Sicherheit und Schutzgütern erforderlich ist;
• einem Rechtsnachfolger im Zusammenhang mit einer Verschmelzung, einem Unternehmenserwerb, einer Finanzierung oder einem Verkauf von Vermögenswerten, vorbehaltlich der fortgeltenden Anwendung dieser Erklärung.

7. Speicherdauer

Wir speichern Kontodaten für die Dauer der Kundenbeziehung und für einen begrenzten Zeitraum danach, soweit dies für rechtliche, buchhalterische und Prüfungszwecke erforderlich ist. Die Erkennungs-Telemetrie von Endnutzern wird standardmäßig höchstens 30 Tage in identifizierbarer Form gespeichert; Kunden können kürzere Speicherfristen konfigurieren.

Nach Ablauf der jeweiligen Speicherfrist werden die Telemetriedaten gelöscht oder unwiderruflich de-identifiziert. Aggregierte Statistiken, die keiner Person mehr zugeordnet werden können, dürfen zur Messung und Verbesserung der Erkennungsleistung aufbewahrt werden.

8. Internationale Datenübermittlungen

Phylaxa hat seinen Hauptsitz in den Vereinigten Staaten und verarbeitet Daten in den Regionen, in denen der Dienst betrieben wird. Soweit personenbezogene Daten aus dem Europäischen Wirtschaftsraum, dem Vereinigten Königreich oder der Schweiz in ein Land ohne Angemessenheitsbeschluss übermittelt werden, stützen wir uns auf die Standardvertragsklauseln der Europäischen Kommission (sowie das UK-Addendum) in Verbindung mit ergänzenden technischen und organisatorischen Maßnahmen.

Für Enterprise-Deployments stehen Optionen zur regionalen Datenresidenz zur Verfügung, mit denen Erkennungs-Telemetrie innerhalb einer gewählten Region verarbeitet und gespeichert werden kann.

9. Sicherheit

Wir unterhalten technische und organisatorische Maßnahmen, die personenbezogene Daten gegen zufällige oder unrechtmäßige Zerstörung, Verlust, Veränderung sowie unbefugten Zugriff oder unbefugte Offenlegung schützen sollen. Dazu zählen Verschlüsselung bei der Übertragung per TLS und bei der Speicherung, Zugriffskontrollen nach dem Prinzip der minimalen Rechtevergabe, Audit-Protokollierung, getrennte Umgebungen und Sicherheitskontrollen nach SOC 2-Kriterien.

Keine Übertragungs- oder Speichermethode ist vollkommen sicher. Wenn wir von einem Verstoß gegen den Schutz personenbezogener Daten Kenntnis erlangen, benachrichtigen wir die betroffenen Kunden und, soweit erforderlich, die Aufsichtsbehörden und betroffenen Personen gemäß dem anwendbaren Recht.

10. Ihre Datenschutzrechte

Je nach Rechtsordnung — etwa nach der DSGVO, der UK-DSGVO und dem CCPA in der durch die CPRA geänderten Fassung — stehen Ihnen einige oder alle der folgenden Rechte zu:

Zur Ausübung dieser Rechte wenden Sie sich an privacy@phylaxa.example. Wir prüfen Ihre Anfrage und beantworten sie innerhalb der gesetzlich vorgeschriebenen Frist. Wurden Ihre Daten auf dem Angebot eines Kunden erhoben, wenden Sie sich bitte direkt an diesen Kunden; als Auftragsverarbeiter unterstützen wir den Kunden bei der Bearbeitung Ihrer Anfrage.

• Auskunft über die zu Ihrer Person gespeicherten Daten zu verlangen und eine Kopie in einem portablen Format zu erhalten;
• unrichtige Daten berichtigen und die Löschung Ihrer Daten verlangen zu lassen;
• die Verarbeitung auf Grundlage berechtigter Interessen einzuschränken oder ihr zu widersprechen sowie eine Einwilligung zu widerrufen, soweit die Verarbeitung auf einer Einwilligung beruht;
• dem Verkauf oder der Weitergabe personenbezogener Daten zu widersprechen — den wir nicht vornehmen — und bei der Ausübung Ihrer Rechte frei von Benachteiligung zu sein;
• eine Beschwerde bei Ihrer zuständigen Aufsichtsbehörde einzulegen.

11. Cookies und ähnliche Technologien

Unsere Website und das Kunden-Dashboard verwenden ausschließlich unbedingt erforderliche Cookies und ähnliche Technologien, die für Authentifizierung, Sicherheit und Lastverteilung notwendig sind. Da wir keine Analyse- oder Werbe-Cookies einsetzen, ist auf unserer Website kein Cookie-Einwilligungsbanner erforderlich.

Sie können Ihren Browser so konfigurieren, dass er Cookies ablehnt; in diesem Fall funktioniert das Kunden-Dashboard möglicherweise nicht. Auf Kundenangeboten sind alle vom Phylaxa-Agenten gesetzten Cookies Erstanbieter-Cookies, die der Kontrolle des Kunden unterliegen.

12. Privatsphäre von Kindern

Der Dienst richtet sich an Unternehmen und ist nicht für Kinder unter 16 Jahren bestimmt. Wir erheben wissentlich keine personenbezogenen Daten von Kindern. Wenn Sie glauben, dass ein Kind uns personenbezogene Daten bereitgestellt hat, wenden Sie sich an privacy@phylaxa.example; wir werden die Daten löschen.

13. Änderungen dieser Erklärung und Kontakt

Wir können diese Erklärung von Zeit zu Zeit aktualisieren. Bei wesentlichen Änderungen benachrichtigen wir Kunden vor dem Inkrafttreten per E-Mail oder über das Dashboard; das Datum der letzten Überarbeitung ist stets oben auf dieser Seite angegeben.

Fragen, Anfragen und Beschwerden zu dieser Erklärung oder zu unseren Datenpraktiken richten Sie bitte an unser Datenschutzteam unter privacy@phylaxa.example.