# Personenbezogene Daten in den KeenAuth-APIs

KeenAuth verarbeitet die personenbezogenen Daten Ihrer Endnutzer in Ihrem Auftrag als Auftragsverarbeiter. Diese Seite listet für jede Art personenbezogener Daten, die ein Endpunkt enthalten kann, auf, was gespeichert wird, wie lange es aufbewahrt wird und wie es gelöscht wird. Jede Endpunkt-Seite, die personenbezogene Daten enthält, verlinkt in ihrem Abschnitt „Personenbezogene Daten“ auf diese Seite.

## Keine besonderen Kategorien personenbezogener Daten senden

Fügen Sie in keinem Feld besondere Kategorien personenbezogener Daten (Gesundheitsdaten, biometrische Daten, Religion, politische Meinungen, sexuelle Orientierung), Zahlungskartendaten oder Ausweisnummern ein, insbesondere nicht in `user_metadata`, `app_metadata` oder Namen. KeenAuth prüft den Inhalt von Metadaten nicht und kann solche Daten daher nicht für Sie entfernen.

## Was KeenAuth nicht speichert

- Zahlungskartendaten.
- Rohe SAML-Assertions und rohe ID-Token von Identitätsanbietern; gespeichert wird nur das zugeordnete Ergebnis.
- E-Mail- und SMS-Inhalte; gespeichert werden nur die Vorlage und die Namen ihrer Variablen.
- Der Klartextwert von Einmalcodes und Magic Links; bis zu ihrem Ablauf wird nur ein Digest gespeichert.
- Biometrische Daten: Biometriedaten von Passkeys verbleiben auf dem Gerät des Benutzers.

## Aufbewahrung und Löschung nach Kategorie

„Mit dem Benutzer gelöscht“ bedeutet, dass die Daten gelöscht werden, wenn der Benutzer gelöscht wird (siehe [Löschen eines Benutzers](#löschen-eines-benutzers)).

### Profil des Endnutzers

E-Mail-Adressen, Telefonnummern, Benutzername, Namen, Bild, Locale, Zeitzone, `external_id` und Metadaten. Werden aufbewahrt, solange Sie KeenAuth nutzen. Werden innerhalb von 1 Stunde nach einer Löschanfrage aus den Live-Daten und innerhalb von 30 Tagen aus den Backups entfernt.

### Anmeldedaten

Passwort-Hash, TOTP-Geheimnis, Digests der Wiederherstellungscodes sowie der öffentliche Schlüssel, der Signaturzähler und die AAGUID eines Passkeys. Werden sofort gelöscht, wenn die Methode entfernt oder der Benutzer gelöscht wird.

### Verknüpfte Identitäten

Die Subject-ID, der Issuer, die Verbindung, die zugeordneten Attribute und die Gruppenkennungen des Identitätsanbieters. Werden gelöscht, wenn die Identität getrennt oder der Benutzer gelöscht wird.

### Sitzungen

Ein Digest der Sitzungs-ID, IP-Adresse, User-Agent, Gerätebezeichnung, Land und Netzwerk (ASN) sowie die letzte Aktivität. Werden 30 Tage nach dem Ende oder Widerruf der Sitzung gelöscht.

### Organisationsmitgliedschaften und Einladungen

Name und Slug der Organisation, Mitgliedschaften, Rollenzuweisungen und die E-Mail-Adresse der Einladung. Werden bis zur Löschung aufbewahrt; eine Einladung wird 30 Tage nach Annahme, Ablehnung oder Ablauf gelöscht.

### Verzeichnis-Benutzer (SCIM)

Attribute, die Ihr Verzeichnis bereitstellt: `externalId`, `userName`, Namen, E-Mail-Adressen, `active`, Gruppenmitgliedschaften und die zusätzlichen Attribute, die Sie zuordnen. Werden bei der Deprovisionierung oder beim Löschen der Verzeichnisverbindung gelöscht. Rohe SCIM-Anfragekörper werden weder gespeichert noch protokolliert.

### Umgebungslogs

Benutzer-ID, vollständige IP-Adresse, User-Agent, Methode, Ergebnis und Risikosignale. Ein fehlgeschlagener Versuch mit einer unbekannten Kennung speichert einen keyed Digest der Kennung, niemals die E-Mail-Adresse, Telefonnummer oder den Benutzernamen selbst. Aufbewahrt je nach Tarif: Free 7 Tage, Startup 14 Tage, Business 30 Tage, Enterprise 90 Tage (365 Tage mit der Zusatzoption).

### Audit-Ereignisse

Akteur, Aktion, Zielkennung und eine Zusammenfassung der Änderung sowie die Ereignisse, die Ihre Anwendung mit `POST /v1/audit-events` schreibt. Werden 1 Jahr aufbewahrt; Enterprise-Verträge können dies auf bis zu 7 Jahre verlängern. Eine Audit-Exportdatei wird 7 Tage aufbewahrt.

### Ereignisse

Die Ereignis-Nutzlast: IDs und die Namen der geänderten Felder. Werte personenbezogener Daten sind nur für Felder enthalten, die Sie für einen Ereignistyp ausdrücklich auswählen. Werden 30 Tage aufbewahrt.

### Einwilligungsnachweise

Version des Dokuments, Status, Methode und Zeitpunkt jeder Annahme oder Zustimmung. Werden für die Lebensdauer des Benutzers plus 3 Jahre aufbewahrt; bei Löschung des Benutzers pseudonymisiert.

### Datenschutzanfragen

Anfragetyp, Status, Fälligkeitsdatum und die Kontaktdaten der anfragenden Person, wenn diese nicht der Benutzer ist. Werden 3 Jahre nach Abschluss der Anfrage aufbewahrt.

### Dashboard-Benutzer und Kontoansprechpartner

Name, geschäftliche E-Mail-Adresse und Rolle Ihrer Dashboard-Benutzer und Kontoansprechpartner. Werden für die Laufzeit des Kontos aufbewahrt; Dashboard-Benutzer werden 30 Tage nach ihrer Entfernung gelöscht.

## Löschen eines Benutzers

- Ein Benutzer: [`DELETE /v1/users/{user_id}`](/docs/api/management/users/delete) gibt `202` mit einer `deletion_id` zurück. Live-Daten werden innerhalb von 1 Stunde gelöscht; Backups laufen innerhalb von 30 Tagen ab. Eine Löschung kann nicht rückgängig gemacht werden.
- Viele Benutzer: `POST /v1/jobs/user-deletions` löscht pro Auftrag bis zu 10.000 Benutzer über denselben Ablauf.
- Selbstbedienung: Ist dies für die Umgebung aktiviert, kann ein Benutzer die Löschung des eigenen Kontos beantragen. Die Löschung erfolgt nach der von Ihnen konfigurierten Karenzzeit (0 bis 30 Tage, standardmäßig 14), und der Benutzer kann sie während dieser Zeit abbrechen.

Backups werden nicht bearbeitet, um einzelne Benutzer zu entfernen; sie sind verschlüsselt und laufen nach 30 Tagen ab.