Konten und Zugangsdaten
-
01
Verschlüsselt gespeichert
OAuth-Tokens und API-Schlüssel für Ihre Integrationen werden zeilenweise mit AES-256-GCM verschlüsselt und erst im Moment eines Aufrufs entschlüsselt. Schlüssel lassen sich ohne Ausfallzeit rotieren, und alte Chiffrate werden mit dem neuen Schlüssel neu verschlüsselt.
-
02
Nur als Hash gespeichert
Sitzungstokens, persönliche API-Tokens, Einladungslinks sowie Tokens für die E-Mail-Bestätigung und das Zurücksetzen von Passwörtern werden als SHA-256-Hashes gespeichert. Links zum Zurücksetzen gelten nur einmal und laufen nach einer Stunde ab.
-
03
Rollen und eingeschränkte Tokens
Organisationen enthalten Workspaces mit rollenbasierten Mitgliedschaften. Persönliche API-Tokens haben festgelegte Berechtigungen (Scopes), können auf Lesezugriff beschränkt werden, laufen ab und sind ratenbegrenzt. Sitzungen lassen sich auf der Kontoseite beenden.
-
04
Nur offizielle APIs
Demander verbindet sich per OAuth über die veröffentlichten APIs der Plattformen. Es fragt nie nach Passwörtern für die Plattformen und steuert nie in Ihrem Namen eine Browsersitzung.
Mandantentrennung
-
01
Jede Zeile gehört zu einem Workspace
Alle Kundendaten tragen eine Workspace-ID, und jede Abfrage ist auf den Workspace der angemeldeten Mitgliedschaft beschränkt. Anfragen nach Datensätzen eines anderen Mandanten werden so beantwortet, als gäbe es diese Datensätze nicht.
-
02
Auf HTTP-Ebene getestet
Die Testsuite sendet IDs anderer Mandanten an die API und prüft, dass jede einzelne abgewiesen wird, bei Sitzungen ebenso wie bei API-Tokens.
-
03
Abgesicherte ausgehende Anfragen
Crawling, Webhooks und die Weiterleitung von Leads laufen über einen Client, der private und interne Adressen ablehnt. Eine in Demander eingegebene URL kann daher nicht in das interne Netz von Demander gelangen.
Personenbezogene Daten: Datenschutz von Anfang an
| Daten | Wie Demander damit umgeht |
|---|---|
| Website-Besucher | Der Tracker kennt die Modi strikt, ausgewogen und aus. Im strikten Modus identifiziert vor der Einwilligung nichts einen Besucher. Global Privacy Control und Do Not Track gelten als fehlende Marketing-Einwilligung, und ein Widerruf der Einwilligung löscht gespeicherte IDs. |
| IP-Adressen | Nie im Klartext gespeichert: ein gesalzener Hash, der täglich wechselt, und gekürzte Präfixe für die Zuordnung zu Unternehmen. |
| Firmenidentifikation | Nur auf Firmenebene und nur mit dokumentierter Interessenabwägung (LIA) oder Marketing-Einwilligung. Internetanbieter, Mobilfunkanbieter und Rechenzentren werden herausgefiltert. |
| Personen | Nur identifiziert, wenn sie sich selbst zu erkennen geben: über ein Formular, eine Antwort oder ein bestätigtes Opt-in. Nie aus dem Verhalten abgeleitet. |
| E-Mail-Outreach | Bei der Aufnahme in eine Sequenz und noch einmal beim Versand gegen die Regeln des Empfängerlandes geprüft. Abmeldungen, Hard Bounces und Beschwerden setzen die Adresse sofort auf die Sperrliste. |
| Werbezielgruppen | Gehashte E-Mail-Adressen erreichen Werbeplattformen nur für Kontakte mit ausdrücklicher Marketing-Einwilligung, die nicht widersprochen haben. Per Prospecting gefundene Personen werden nie hochgeladen. |
Die Einzelheiten stehen in der Datenschutzerklärung, den Cookie-Hinweisen und im Auftragsverarbeitungsvertrag (AVV).
Hosting, Backups und Monitoring
-
01
Hosting in der EU
Die Anwendung und ihre Datenbank laufen in der EU. Die aktuellen Unterauftragsverarbeiter und die Orte, an denen sie Daten verarbeiten, sind im AVV aufgeführt.
-
02
Backups, die auch zurückgespielt werden
Tägliche Datenbank-Dumps mit Prüfsummen gehen mit Versionierung in einen verschlüsselten Objektspeicher an einem zweiten Standort. Einmal im Monat läuft eine Wiederherstellungsübung auf einer temporären Instanz.
-
03
Bereinigte Fehlerberichte
Fehlerberichte verwerfen den Inhalt von Anfragen und maskieren E-Mail-Adressen, Zugangsdaten, Tokens und IP-Adressen, bevor sie den Server verlassen.
-
04
Ratenlimits und Schutz vor Missbrauch
Öffentliche Endpunkte sind ratenbegrenzt, der Erfassungsendpunkt des Trackers kann keine Einwilligung erteilen, und gehostete Formulare nutzen ein Honeypot-Feld und das Double-Opt-in-Verfahren.
Automatisierung, die sich prüfen lässt
Jede Änderung, die Demander an einem Werbekonto, einem Postfach oder einem Social-Media-Profil vornimmt, ist eine vorgeschlagene Aktion mit Begründung und Belegen. Ein deterministisches Gate, die zentrale Prüfung jeder Aktion, kontrolliert sie vor der Ausführung. Danach steht sie im Änderungsprotokoll und lässt sich rückgängig machen. KI-Agenten, die über die API oder über MCP angebunden sind, durchlaufen genau dasselbe Gate und erscheinen im selben Protokoll.
Häufige Fragen
Gibt es einen Auftragsverarbeitungsvertrag?
Ja. Den Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit der Liste der Unterauftragsverarbeiter und den technischen und organisatorischen Maßnahmen finden Sie unter /legal/dpa.
Was passiert mit unseren Daten, wenn wir kündigen?
Sie können einen Workspace, die gesamte Organisation oder Ihr Konto löschen. Die Löschung entfernt Ihre Daten einschließlich der Markendateien und beendet vorher das Abonnement. Kampagnen und Zielgruppen bleiben in Ihren eigenen Werbekonten.
Kann Demander Geld ausgeben, das wir nicht freigegeben haben?
Nur innerhalb der Autonomiestufe und der Limits, die Sie festlegen, und nie über die harten Grenzen hinaus: Not-Aus, Tages- und Monatslimits, das tägliche Änderungslimit und die Tracking-Prüfung. Jede automatisierte Änderung wird protokolliert und lässt sich rückgängig machen.
Werden KI-generierte Medien gekennzeichnet?
Ja. Mit KI erzeugte Medien werden gemäß den Transparenzpflichten der europäischen KI-Verordnung (AI Act) und den Kennzeichnungsregeln der Plattformen markiert.