Datenschutzhinweis

Stand: 14. Oktober 2026

Wer wir sind

Verantwortlicher ist Ecavist Technologies, ein in der Türkei eingetragenes Unternehmen, Anschrift Dörtyol Küme Evleri No: 369, İç Kapı No: 3, Işıklar, Merkez, Çanakkale, Türkiye, Handelsname Attestkeep. Die Registerangaben stehen auf der Unternehmensseite.

Alles zu diesem Hinweis – Fragen, Anträge, Beschwerden – richten Sie an legal@attestkeep.com. Einen eigenen Datenschutzbeauftragten gibt es nicht; das oben genannte Unternehmen ist klein genug, um selbst zu antworten.

Welche Daten und wozu

Alles in einer Tabelle. Der Text unter der Tabelle erläutert genau diese Zeilen.

Weitere Kategorien gibt es nicht. Die Rechnungsidentität in der ersten Zeile ist das, was auf der Kontoseite eingetragen wird: der Name der Person oder des Unternehmens, die Steuernummer oder eine nationale Identifikationsnummer, das Finanzamt eines Unternehmens in der Türkei, das Land sowie Anschrift, Ort und Telefonnummer. Ein Unternehmen muss seine Anschrift angeben; eine Privatperson kann sie weglassen. Wir speichern sie, damit Rechnungen die richtige Partei nennen, und nichts davon wird aus dem Checkout von Polar übernommen. Wir speichern zu keinem Zeitpunkt Kartendaten, kein Marketingprofil, keine Analytics-Kennung und nichts darüber, was Sie scannen oder betreiben.

Diese Website

Auf diesen Seiten gibt es kein Analytics-Skript, keinen Tag-Manager, kein Werbepixel und keine eingebetteten Inhalte Dritter. Schriften, Bilder und Stylesheets kommen von dieser Domain; dass Sie hier waren, erfährt beim Laden einer Seite also niemand außer uns. Die WhatsApp-Schaltfläche auf jeder Seite ist ein einfacher Link: Wenn Sie sie wählen, verlassen Sie diese Website, und das Gespräch findet auf dem WhatsApp-Dienst von Meta zu den Bedingungen von Meta statt; wir betten WhatsApp nicht ein, und auf diesen Seiten wird nichts von Meta geladen.

Der Webserver führt die oben in der Tabelle beschriebenen Zugriffslogs. Sie dienen dem Betrieb der Website und dem Erkennen von Missbrauch; ein Profil über Sie wird daraus nicht erstellt, und sie werden mit nichts anderem zusammengeführt.

Die Website setzt keine Cookies. Sie speichert eine einzige Sache auf Ihrem Gerät, und erst nach Ihrer Antwort in der Leiste, die danach fragt: diese Antwort. Der Cookie-Hinweis sagt dazu alles.

Das Produkt

Attestkeep läuft in Ihrem eigenen Kubernetes-Cluster. Ihre Befunde, Image-Namen, Urteile, Ausnahmen und Nachweispakete werden in eine PostgreSQL-Datenbank unter Ihrer Kontrolle geschrieben. Wir haben keinen Zugriff darauf, keine Kopie davon und keinen Kanal, über den sie uns erreichen könnten.

Der Operator stellt genau eine Art ausgehender Anfrage an uns, nämlich zur Lizenzierung; der nächste Abschnitt führt ihren Inhalt Feld für Feld auf. Daneben gibt es keine Telemetrie und keine Nutzungsanalyse: Nichts meldet, was Sie gescannt haben, welche Frameworks Sie geöffnet haben, wie viele Personen sich angemeldet haben oder was diese getan haben. Solche Dinge werden in Ihrem Cluster gezählt, wo sie geschehen, oder überhaupt nicht.

Für alle personenbezogenen Daten, die Ihr eigener Cluster verarbeitet, sind Sie der Verantwortliche, und wir sind dafür kein Auftragsverarbeiter – wir erhalten sie nie. Braucht Ihr Einkauf das in einem unterzeichneten Dokument, sagen es die Bedingungen zur Auftragsverarbeitung in der erwarteten Form.

Was Ihren Cluster verlässt

Jede Installation ist lizenziert, auch die Community Edition; dieser Abschnitt gilt also unabhängig davon, ob Sie uns etwas bezahlen.

Bei der Aktivierung, einmal pro Cluster, sendet die Installation den Ihnen ausgestellten Aktivierungsschlüssel und einen Fingerabdruck des Clusters. Der Fingerabdruck ist ein Hash der Kennung des Namespace kube-system Ihres Clusters: ein opaker Wert, der uns den Cluster erkennen lässt, ohne ihn zu beschreiben, und der sich nicht in einen Namen, eine Adresse oder sonst eine Angabe darüber zurückrechnen lässt, was dort läuft.

Danach einmal täglich prüft die Installation ihre Lizenz bei uns und sendet drei Werte: die Lizenzkennung, denselben Cluster-Fingerabdruck und die Operator-Version. Die Anfrage erreicht uns über TLS, und ihre Quell-IP-Adresse erscheint wie bei jeder Anfrage in unseren Server-Logs.

Das ist die ganze Liste. Keine der beiden Anfragen enthält:

• Image-Namen, Digests, Registries oder einen Scan-Befund,
• CVE-Kennungen oder irgendetwas über Ihre Schwachstellen,
• Namen von Workloads, Namespaces, Nodes oder Clustern,
• Topologie, Größe oder Konfiguration des Clusters,
• Benutzerkonten, E-Mail-Adressen oder Aktivität in der Konsole,
• Zahlen dazu, was Sie gescannt haben oder welche Frameworks Sie nutzen,
• eine Zeile, Datei oder einen Export aus Ihrer Datenbank.

Die Grenzen, die Ihr Plan für Images und Frameworks setzt, zählt und erzwingt der Operator in Ihrem eigenen Cluster; deshalb muss keine Zahl übertragen werden. Die einzige Grenze, die wir selbst führen, ist die Anzahl der Cluster, denn innerhalb eines einzelnen Clusters ist nichts von den anderen sichtbar.

Was wir damit tun. Wir entscheiden, ob eine Lizenz auf dem anfragenden Cluster laufen darf, gleichen die Cluster mit dem Gekauften ab und bemerken, wenn ein Schlüssel auf mehr Cluster verteilt wird, als bezahlt sind. Nichts davon dient Profiling, Werbung oder einer Bewertung Ihrer Person, und nichts davon wird verkauft.

Zahlungen

Zahlungen wickelt Polar Software, Inc. ab, der Merchant of Record, der Ihnen die Lizenz weiterverkauft. Polar erfasst Rechnungsanschrift und Zahlungsdaten im eigenen Checkout, speichert die Zahlungsmethode für Verlängerungen, stellt die Rechnung aus und ist als Verkäufer und für seine eigenen gesetzlichen Pflichten selbst Verantwortlicher dieser Daten, nach seiner eigenen Datenschutzerklärung. Wir erhalten den Plan, die Bestellreferenz und den Status des Abonnements. Eine Kartennummer sehen oder speichern wir nie.

Wenn Sie uns schreiben

Schreiben Sie an support@attestkeep.com, legal@attestkeep.com oder security@attestkeep.com, bewahren wir die Nachricht und Ihre Adresse so lange auf, wie die Bearbeitung dauert, und eine angemessene Zeit danach, damit bei einer Rückfrage der Zusammenhang bekannt ist. Sicherheitsmeldungen werden zusammen mit dem zugehörigen Advisory aufbewahrt, denn daran lässt sich nachvollziehen, wann etwas gefunden und behoben wurde.

Wir versenden keine Marketing-E-Mails. Was von uns kommt, ist transaktional: ein Anmeldecode, ein Lizenzschlüssel, eine Mitteilung zu Verlängerung oder Fehlschlag, eine Antwort auf Ihre Anfrage.

Wer sonst Zugriff hat

Drei Unternehmen für je eine Aufgabe, jedes auf der Seite Unterauftragsverarbeiter genannt, mit dem, was es verarbeitet, und seinem Sitz. Diese Seite ist die aktuelle Liste; sie wird aktualisiert, bevor ein neues hinzukommt, nicht danach.

Sonst erhält niemand Ihre Daten. Wir verkaufen sie nicht, geben sie nicht für fremdes Marketing weiter und übergeben sie einer Behörde nur, wenn ein für uns geltendes Gesetz es verlangt – in diesem Fall informieren wir Sie, sofern das nicht selbst untersagt ist.

Wo die Daten liegen

Datenbank, Anwendung und Mailserver laufen auf einem einzigen Server in der Türkei. Dort liegen Ihr Konto, Ihre Lizenzen und unsere Logs, und sie werden nirgendwohin kopiert.

Zwei der drei Unterauftragsverarbeiter sitzen außerhalb der Türkei und des EWR, beide in den Vereinigten Staaten: Polar, das als Merchant of Record die Zahlung abwickelt, und Cloudflare, das unser autoritatives DNS betreibt und die Turnstile-Botprüfung auf unseren Formularen für Registrierung, Anmeldung, Passwort-Zurücksetzung und Kontakt ausführt. Seitenaufrufe und Kontoverkehr laufen nicht über sie, solange der Proxy ausgeschaltet bleibt. Die Übermittlung an sie stützt sich auf die Garantien, die auf der Seite der Unterauftragsverarbeiter beschrieben sind. Sollten wir den Cloudflare-Proxy einschalten, ändern sich vorher diese Seite und dieser Absatz.

Wie sie geschützt sind

Passwörter werden als Argon2id-Hashes gespeichert, nie in lesbarer Form. Aktivierungsschlüssel werden verschlüsselt gespeichert; Sitzungs- und E-Mail-Tokens nur als Hashes. Übertragen wird alles über TLS. Die Admin-Oberfläche liegt auf einem eigenen Hostnamen, der am Netzrand eingeschränkt werden kann, und jede administrative Handlung wird in einem Audit-Trail festgehalten. Passwörter, Tokens und Schlüssel landen nie in einem Log.

Gefährdet eine Datenpanne Ihre Daten, melden wir sie der zuständigen Behörde innerhalb von 72 Stunden, nachdem wir davon erfahren haben, und informieren Sie direkt, wenn das Risiko für Sie hoch ist. Wir informieren Sie lieber früh und überschätzen die Schwere, als Sie spät zu informieren.

Ihre Rechte

Sie können von uns verlangen, dass wir

• Ihnen mitteilen, ob wir Daten über Sie speichern, und Ihnen eine Kopie geben;
• Unrichtiges oder Unvollständiges berichtigen;
• löschen, was wir speichern, soweit keine Pflicht besteht, es aufzubewahren;
• einschränken, was wir damit tun, solange ein Streit darüber offen ist;
• Ihnen eine übertragbare Kopie in maschinenlesbarer Form übergeben;
• eine auf berechtigtem Interesse beruhende Verarbeitung auf Ihren Widerspruch hin einstellen.

Schreiben Sie von der Adresse Ihres Kontos an legal@attestkeep.com. Wir antworten innerhalb von 30 Tagen, kostenlos. Würde uns ein Antrag daran hindern, eine gesetzlich vorgeschriebene Unterlage aufzubewahren, etwa eine Rechnung, nennen wir den Teil, den wir nicht löschen können, und den Grund, statt den ganzen Antrag abzulehnen.

Ein Konto schließen. Auf der Kontoseite gibt es eine Schaltfläche zum Löschen. Ein Klick darauf plant die Löschung für sieben Tage später und schickt Ihnen das Datum per E-Mail; bis dahin lässt sich der Antrag auf derselben Seite zurückziehen, und es ist nichts geschehen. An diesem Tag wird das Konto gelöscht – Name, Anschrift, Steuerangaben, Passwort, Sitzungen –, und jede Lizenz darauf wird widerrufen; Installationen, die sie nutzen, fallen auf die Community Edition zurück.

Bestehen bleiben die Geschäftsunterlagen, die wir nach Steuerrecht aufbewahren müssen: was gekauft und in Rechnung gestellt wurde, für die gesetzliche Frist und ohne Angaben, die über eine Rechnung hinausgehen. Die Kontozeile selbst bleibt nur als Kennung erhalten, an der diese Unterlagen hängen, mit einer Platzhalteradresse, die keine Post empfangen kann.

Soll es lieber von Hand geschehen, oder erreichen Sie die Seite nicht, erledigt legal@attestkeep.com dasselbe innerhalb derselben sieben Tage.

Stellt Sie unsere Antwort nicht zufrieden, können Sie sich bei einer Aufsichtsbehörde beschweren: in der Türkei bei der Behörde für den Schutz personenbezogener Daten (KVKK), anderswo bei der Behörde Ihres Landes. Eine Beschwerde dort nimmt Ihnen nicht das Recht, sich erneut an uns zu wenden.

Profiling, Kinder, Änderungen

Wir treffen keine automatisierten Entscheidungen mit rechtlicher Wirkung für Sie und erstellen keine Profile. Die einzige automatisierte Entscheidung im System ist, ob eine Lizenz auf dem anfragenden Cluster laufen darf – ein Abgleich von Zahlen und Daten, keine Bewertung einer Person.

Der Dienst richtet sich an Organisationen und an die Menschen, die deren Infrastruktur betreiben. Er richtet sich nicht an Kinder, und wir speichern wissentlich keine Daten von Kindern.

Ändert sich dieser Hinweis, ändert sich das Datum oben mit. Eine Änderung, die betrifft, was wir mit bereits gespeicherten Daten tun, kündigen wir dem Konto vor ihrem Inkrafttreten per E-Mail an, statt sie nur hier zu veröffentlichen.