Nutzt Ihre Website Drittanbieter-Dienste? Werden Sie in wenigen Minuten DSGVO-konform.
FlowConsent testenmobileCta.note
Metomic ist eine Datensicherheits- und Datentransparenzplattform (DLP für SaaS), die verbundene Geschäftstools wie Slack, Google Drive und Jira auf personenbezogene und sensible Daten hin durchsucht. Metomic agiert als Auftragsverarbeiter für seine Geschäftskunden und wird in Großbritannien und der EU gehostet.
Metomic ist eine britische Datensicherheits- und Datentransparenzplattform für Unternehmen, die Cloud-SaaS-Tools verwenden. Die Plattform verbindet sich mit Geschäftsanwendungen wie Slack, Google Drive, Jira, GitHub, Salesforce, Confluence und Zendesk über OAuth- und API-Integrationen und durchsucht die dort gespeicherten Inhalte nach personenbezogenen Daten und anderen sensiblen Informationen wie Finanzdaten, Gesundheitsinformationen und Zugangsdaten. Bei Erkennung sensibler Daten benachrichtigt Metomic die Administratoren und stellt Abhilfe-Workflows bereit. Es handelt sich primär um einen Backend-Scandienst ohne clientseitige Skriptinjektion auf Kundenwebseiten.
Metomic verarbeitet den Inhalt von Dateien, Nachrichten und Datensätzen in verbundenen SaaS-Tools, um personenbezogene und sensible Daten zu erkennen. Dies bedeutet, dass tatsächliche personenbezogene Daten von Mitarbeitern, Kunden und anderen Personen aufgerufen und analysiert werden. Die Web-App und die Marketing-Website von Metomic setzen Erstanbieter-Cookies, darunter Sitzungsauthentifizierungs-, Präferenz- und Analyse-Cookies (nach Einwilligung). Diese Cookies werden nicht auf Drittanbieter-Websites eingesetzt und sind auf Metomic-eigene Domains beschränkt, darunter metomic.io, app.metomic.io und api.metomic.io.
Metomic agiert als Auftragsverarbeiter gemäß Art. 28 DSGVO für die Organisationen, die es einsetzen. Der Geschäftskunde ist der Verantwortliche für die in seiner SaaS-Umgebung gespeicherten personenbezogenen Daten; Metomic verarbeitet diese Daten ausschließlich gemäß den Anweisungen des Kunden und auf der Grundlage eines Auftragsverarbeitungsvertrags. Da Metomic Daten in großem Umfang scannt, einschließlich Daten, die möglicherweise Mitarbeitern gehören (eine Kategorie, die besonderer Sorgfalt bedarf), sollte der Einsatz einer gründlichen Überprüfung der zugänglichen Verarbeitungsaktivitäten und geeigneter technischer Zugriffskontrollen unterzogen werden. Besondere Datenkategorien gemäß Art. 9 DSGVO könnten in unstrukturierten SaaS-Inhalten vorhanden sein und erfordern eine zusätzliche Rechtsgrundlagenprüfung.
Get GDPR compliant in 10 minutes
Free plan available · No credit card required
Die Website und Web-App von Metomic setzen Cookies, die in verschiedene ePrivacy-Kategorien fallen. Sitzungsauthentifizierungs- und Sicherheitscookies sind strikt notwendig und erfordern keine Einwilligung. Analyse- und Marketing-Cookies auf der Marketingseite metomic.io erfordern eine vorherige informierte Einwilligung gemäß Art. 5 Abs. 3 der ePrivacy-Richtlinie. Organisationen, die Metomic-Login-Flows in ihre eigenen Seiten einbetten, sollten prüfen, ob Cookies mit Metomic-Ursprung in ihrem Domain-Kontext gesetzt werden, und diese in ihrer Cookie-Erklärung offenlegen.
Metomic hat seinen Hauptsitz in London und verarbeitet Kundendaten auf Cloud-Infrastruktur im Vereinigten Königreich und in der EU. Der Angemessenheitsbeschluss der EU für das Vereinigte Königreich erlaubt den freien Datenfluss aus der EU ins Vereinigten Königreich ohne zusätzliche Garantien, enthält jedoch eine Verfallsklausel nach vier Jahren. Verantwortliche sollten den Verlängerungsstatus regelmäßig prüfen. Unterauftragnehmer von Metomic sind vertraglich auf die Verarbeitung in der EU und im Vereinigten Königreich beschränkt, was Metomic von vielen US-amerikanischen SaaS-Sicherheitsanbietern unterscheidet.
Für einen DSGVO-konformen Metomic-Einsatz: Abschluss eines Auftragsverarbeitungsvertrags mit Metomic, Audit und Begrenzung der an Metomic gewährten OAuth-Berechtigungen auf das notwendige Minimum, Dokumentation der Rechtsgrundlage für das Scannen von Mitarbeiterdaten, Benachrichtigung von Mitarbeitern und anderen betroffenen Personen gemäß Art. 13 und 14 DSGVO, Durchführung einer DSFA bei großflächigem Scanning oder wenn besondere Datenkategorien betroffen sein könnten, und jährliche Überprüfung des Status der UK-Angemessenheitsentscheidung. Für die Cookie-Compliance eine Consent-Management-Plattform auf metomic.io-verknüpften Seiten implementieren.
Websites using Metomic must obtain user consent under GDPR regulations.
DPIA considerations
Eine Datenschutz-Folgenabschätzung (DSFA) wird für Organisationen empfohlen, die Metomic zum großflächigen Scannen von Mitarbeiter- oder Kundendaten in SaaS-Tools einsetzen. Wesentliche Überlegungen umfassen den Umfang der bei der Analyse aufgedeckten personenbezogenen Daten (einschließlich möglicher besonderer Kategorien in Kollaborationstools), die Angemessenheit von Zugriffskontrollen, die Genauigkeit der automatisierten PII-Erkennung und das Risiko von Fehlalarmen, Unterauftragnehmerregelungen und die Vertragskette gemäß Art. 28 DSGVO sowie die Implikationen des Ablauftermins der UK-Angemessenheitsentscheidung für die Verarbeitung im Vereinigten Königreich.
Sample consent text
Wir nutzen Metomic, um unsere verbundenen SaaS-Anwendungen auf personenbezogene und sensible Daten zu scannen, um die Privatsphäre unserer Mitarbeiter und Kunden zu schützen und die Einhaltung geltender Datenschutzgesetze sicherzustellen. Metomic greift auf Daten in unseren Geschäftstools gemäß unseren Anweisungen zu und agiert als Auftragsverarbeiter gemäß Art. 28 DSGVO. Weitere Informationen zur Nutzung von Metomic und zur Datenverarbeitung finden Sie in unserem Datenschutzhinweis unter [Datenschutzrichtlinien-URL].
Third-party domains contacted
metomic.ioapp.metomic.ioapi.metomic.ioCookies placed
| Name | Type | Duration | Purpose |
|---|---|---|---|
| metomic_session | Strictly Necessary | Session | Session authentication cookie set by the Metomic web application to maintain the authenticated user session. Required for the secure operation of the platform. |
| __csrf_token | Strictly Necessary | Session | CSRF protection token used by the Metomic web application to prevent cross-site request forgery attacks on authenticated sessions. |
| metomic_prefs | Preferences | 1 year | Stores user interface preferences such as language, display settings and notification preferences for the Metomic dashboard. |
| _metomic_analytics | Analytics | 2 years | First-party analytics cookie used on the metomic.io marketing site to measure visitor behaviour and improve the website. Requires prior user consent. |
Metomic ist ein essenzieller Dienst, aber Transparenz ist wichtig. Verwalten Sie Ihre gesamte Einwilligung mit FlowConsent.
Metomic setzt Erstanbieter-Cookies auf eigenen Domains (metomic.io, app.metomic.io, api.metomic.io), darunter Sitzungsauthentifizierungs-, Präferenz- und Analyse-Cookies (nach Einwilligung). Metomic injiziert keine Tracking-Cookies auf Drittanbieter-Websites und beschränkt seine Cookies auf die eigene Plattform.
Für nicht wesentliche Cookies auf der Metomic-Marketingseite (metomic.io) ist gemäß Art. 5 Abs. 3 der ePrivacy-Richtlinie eine Einwilligung erforderlich. Für den eigentlichen Datenscan-Service gilt die Einwilligung nicht als Rechtsgrundlage; die Verantwortlichen-Auftragsverarbeiter-Beziehung wird durch einen Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO geregelt.
Für Web-App und Marketing-Website: Einwilligung für Analyse-Cookies und berechtigte Interessen für Sicherheits-Cookies. Für den SaaS-Datenscan-Service: Metomic agiert als Auftragsverarbeiter nach Art. 28, und der Verantwortliche (der Geschäftskunde) benötigt eine eigene Rechtsgrundlage für den Scan-Auftrag, in der Regel berechtigte Interessen an der Datensicherheit (Art. 6 Abs. 1 lit. f) oder Vertragserfüllung (Art. 6 Abs. 1 lit. b).
Für Produktionsdaten erfolgen keine routinemäßigen Übermittlungen in die USA oder andere Drittländer. Metomic verarbeitet Kundendaten im Vereinigten Königreich und in der EU. Das Vereinigte Königreich profitiert von einem EU-Angemessenheitsbeschluss, dessen Verlängerung Verantwortliche jedoch überwachen sollten. Unterauftragnehmer sind vertraglich auf Verarbeitungsregionen in der EU und im Vereinigten Königreich beschränkt.
Eine DSFA wird dringend empfohlen, wenn Metomic zum großflächigen Scannen von Mitarbeiterdaten oder bei der Verarbeitung besonderer Datenkategorien eingesetzt wird. Die systematische und großflächige Natur des automatisierten PII-Scannens in SaaS-Tools erfüllt voraussichtlich den DSFA-Schwellenwert gemäß Art. 35 DSGVO.
Schließen Sie einen Auftragsverarbeitungsvertrag mit Metomic ab. Begrenzen Sie OAuth-Integrationsumfänge auf das notwendige Minimum. Benachrichtigen Sie betroffene Mitarbeiter gemäß Art. 13 und 14 DSGVO. Dokumentieren Sie die Rechtsgrundlage. Führen Sie eine DSFA für großflächige Deployments durch. Überprüfen Sie jährlich den Status der UK-Angemessenheitsentscheidung. Implementieren Sie eine Consent-Management-Plattform für Metomic-Web-Interface-Cookies.
Alternativen im SaaS-DLP-Bereich umfassen Microsoft Purview, Google DLP für Workspace, Nightfall AI und Varonis. Einige Alternativen sind in den USA gehostet, was andere Übermittlungsanforderungen mit sich bringt. Das UK- und EU-Hosting von Metomic ist ein Vorteil für Organisationen mit strengen Datenlokalisierungsanforderungen.
Aktualisieren Sie Ihre Datenschutzerklärung, um Metomic als Auftragsverarbeiter aufzuführen und die Kategorien personenbezogener Daten, den Zweck (Datensicherheitsscan), die Rechtsgrundlage und die Sicherheitsmaßnahmen zu beschreiben. Überprüfen Sie die Erklärung, wenn Metomic seine Unterauftragsverarbeiterliste aktualisiert oder Sie den Umfang der SaaS-Integrationen erweitern.