Eine DSGVO-Checkliste für die Authentifizierungsschicht

Authentifizierung ist still und leise einer der datenhungrigsten Teile eines Produkts. E-Mail-Adressen, IP-Adressen, Geräte- und Browser-Kennungen, Zeitstempel, ungefähre Standortdaten — alles wird standardmäßig erhoben, alles sind personenbezogene Daten, und das meiste wird für immer aufbewahrt, weil niemand eine Aufbewahrungsfrist festgelegt hat.

Die Pflichten, die Menschen übersehen

• Die Löschung muss das Authentifizierungssystem erreichen, nicht nur die Datenbank Ihrer Anwendung.
• Der Export umfasst alles, was Sie über die Person speichern — einschließlich der Anmeldehistorie.
• IP- und Geräteprotokolle bei der Anmeldung brauchen eine Aufbewahrungsfrist, die Sie als verhältnismäßig begründen können.
• Verarbeitet Ihr Authentifizierungsanbieter Daten in Ihrem Auftrag, brauchen Sie mit ihm eine Auftragsverarbeitungsvereinbarung.
• Der Speicherort der Daten ist wichtig, und Ihre Kunden werden irgendwann danach fragen.

“Die unbequeme Frage bei einem Audit lautet selten »verschlüsseln Sie das?«. Sie lautet »warum haben Sie es überhaupt noch?«.”

Alt Auth unterstützt Soft Delete, den CSV-Export von Nutzerdaten und konfigurierbare Analytik, damit Sie keine Details ansammeln, die Sie nicht brauchen. Löschungen wirken sich über die Authentifizierungsschicht aus, statt verwaiste Datensätze zurückzulassen.