DSGVO-Audit & Zugriffsprotokoll

Wie betool mandantenübergreifende Zugriffe auf Nutzerinhalte protokolliert und das Auskunftsrecht (Art. 15) sowie das Recht auf Löschung (Art. 17) unterstützt.

betool ist darauf ausgelegt, die Anforderungen der DSGVO ohne Behelfslösungen zu erfüllen: Jeder Zugriff auf Nutzerinhalte durch einen Agenten, der einer anderen Organisation angehört, wird protokolliert, und jede Organisation kann ihr eigenes Protokoll einsehen.

Das Zugriffsprotokoll

Eine dedizierte Tabelle erfasst für jeden mandantenübergreifenden Zugriff:

Den Zeitstempel
Die Ziel-Organisation (deren Inhalt gelesen wurde)
Die lesende Organisation (typischerweise der Anbieter)
Den Nutzer, der den Lesevorgang ausgelöst hat
Das Tool, über das der Lesevorgang erfolgt ist
Den Entitätstyp (geschlossenes Vokabular: context für eine Konversation, scenario für einen Benchmark)
Die ID der gelesenen Entität (und den genauen Exchange, wenn der Lesevorgang einen einzelnen Gesprächsschritt betrifft)

Das Entitätsvokabular ist auf Datenbankebene geschlossen (CHECK-Constraint) und auf Codeebene geschlossen (Anwendungs-Whitelist). Einen Typ hinzufügen = neue Migration + Aktualisierung der Whitelist. Keine überraschenden Einträge.

Auskunftsrecht (Artikel 15)

Jede Organisation kann IHRE EIGENEN Zugriffsprotokolle unter Organisationseinstellungen → Datenschutz (Abschnitt Zugriffsverlauf) einsehen oder über:

GET /api/admin/me/supervisor-reads

Die Route liefert die Lesevorgänge in absteigender chronologischer Reihenfolge (bis zu 1 000 Einträge pro Aufruf).

Kein organisationsübergreifender Zugriff auf das Audit: Der Anbieter sieht niemals die Audit-Protokolle des Kunden.

Recht auf Löschung (Artikel 17)

Die Architektur macht die Löschung sauber durchführbar: Alle Daten einer Organisation sind ihrer org_id zugeordnet (Fachtabellen, Dateiordner, Secrets), was eine gezielte Löschung ermöglicht — ein bestimmter Nutzer, eine bestimmte Konversation oder die gesamte Organisation —, ohne den Rest anzutasten.

Löschanträge (Artikel 17) werden mit unserem Support bearbeitet: Schreiben Sie an contact@betool.fr von einem Administratorkonto der betreffenden Organisation aus.

Mandantenübergreifendes Lese-Opt-in & Opt-out

Standardmäßig ist das mandantenübergreifende Lese-Opt-in auf FALSE gesetzt. Ein Administrator der Organisation kann es unter Organisationseinstellungen → Datenschutz aktivieren — und jederzeit widerrufen.

Deaktiviert — Standard. Der Anbieter kann auf keinen Inhalt dieser Organisation zugreifen. Konsequenz: Kein organisationsübergreifender Support zu inhaltsbezogenen Fragen möglich (struktureller Support bleibt möglich).
Aktiviert — der Supervisor kann die Konversationen der Organisation zur Diagnose lesen, wobei jeder Zugriff auditiert und für die Organisation einsehbar ist.

Der Anbieter kann dieses Opt-in NICHT im Namen des Kunden aktivieren. Das ist ein grundlegender Test: Wenn der Anbieter es ohne Aktion des Kunden umschalten kann, ist die Architektur defekt.

Schutzvorrichtung für destruktive Operationen

Jede Operation, die Inhalte zerstört oder ersetzt (DELETE, REPLACE-IN-PLACE), wird am Validator verweigert, wenn die Zielorganisation das Lese-Opt-in nicht aktiviert hat. Begründung: Ohne Sichtbarkeit würde der Operator blind eine Nutzlast vorschlagen, die bestehende Inhalte überschreiben würde.

Kaskadierende Verweigerung, wenn das Audit nicht verfügbar ist

Ist die Audit-Datenbank nicht verfügbar (Infrastrukturvorfall), werden alle mandantenübergreifenden Lesevorgänge verweigert. Strikte Richtlinie: kein Lesevorgang ohne Nachweis.

Codeseitige Konsequenz: Ein Aufrufer, der eine Ausnahme abfängt, muss den Audit-Fehler vor jeder fachlichen Verarbeitung erneut auslösen. Dies ist eine Invariante, die vom Sicherheits-Benchmark getestet wird.

Die Marketing-Website (betool.ai) misst ihre Reichweite mit Google Analytics 4 im Consent Mode v2:

Standardmäßig sind alle Google-Einwilligungen (Messung, Werbung) auf abgelehnt gesetzt: Das Google-Analytics-Skript wird nicht geladen, und es wird kein Analyse-Cookie gesetzt.
Das Skript wird erst geladen und die Messung erst aktiviert, nachdem Sie der Reichweitenmessung im Banner ausdrücklich zugestimmt haben.
Sie können diese Einwilligung jederzeit widerrufen (Cookies verwalten, in der Fußzeile): Die Messung wird dann wieder auf abgelehnt gesetzt.

Die Einwilligungen für Werbung bleiben abgelehnt: Die Website betreibt kein Werbe-Targeting.