Herausforderungen des Rechts auf Löschung der DSGVO bei der Identitätsprüfung (DE)

Balance zwischen Compliance und BetrugspräventionDie Umsetzung des Rechts auf Löschung erfordert ein empfindliches Gleichgewicht zwischen der Achtung individueller Datenschutzrechte und der Aufrechterhaltung wesentlicher Daten zur Betrugserkennung und Einhaltung gesetzlicher Vorschriften, insbesondere bei AML/KYC-Verpflichtungen.

Komplexität verteilter DatenDie Identitätsprüfung umfasst häufig Daten, die über verschiedene Systeme und Drittanbieter verteilt sind, was eine umfassende und nachprüfbare Datenlöschung zu einer komplexen technischen und logistischen Aufgabe macht.

Definition der 'notwendigen' DatenaufbewahrungOrganisationen müssen klar definieren, welche Daten zur Identitätsprüfung unbedingt aufbewahrt werden müssen und wie lange, um sicherzustellen, dass Daten nur für legitime und gesetzlich vorgeschriebene Zwecke gespeichert werden.

Didits konformes DatenmanagementDidits modulare, KI-native Plattform, einschließlich ID-Verifizierung und AML-Screening, wurde entwickelt, um Unternehmen bei der Bewältigung dieser Herausforderungen zu unterstützen, indem sie strukturierte Identitätsdaten, konfigurierbare Aufbewahrungsrichtlinien und optimierte Datenlöschfunktionen bereitstellt, um die Compliance bei gleichzeitiger Aufrechterhaltung der Sicherheit zu gewährleisten.

Das Recht auf Löschung bei der Identitätsprüfung verstehen

Die Datenschutz-Grundverordnung (DSGVO) führte das „Recht auf Löschung“, auch bekannt als „Recht auf Vergessenwerden“, ein, das Einzelpersonen das Recht einräumt, die Löschung ihrer personenbezogenen Daten zu verlangen. Obwohl dies scheinbar unkompliziert ist, stellt die Anwendung dieses Rechts in der komplexen Welt der Identitätsprüfung (IDV) eine Reihe einzigartiger Herausforderungen dar. IDV-Prozesse sammeln naturgemäß sensible personenbezogene Daten, darunter biometrische Daten, staatlich ausgestellte Ausweise und Finanzdaten. Das Löschen dieser Daten auf Anfrage ist nicht immer einfach, insbesondere unter Berücksichtigung anderer regulatorischer Verpflichtungen und des Gebots, Betrug zu verhindern.

Für Unternehmen, die in regulierten Sektoren wie Finanzen, Glücksspiel oder Gesundheitswesen tätig sind, unterliegen die während der ID-Verifizierung gesammelten Daten – wie sie beispielsweise über Didits ID-Verifizierung oder passive & aktive Lebendigkeitsprüfungen erfasst werden – häufig strengen Vorschriften zur Bekämpfung der Geldwäsche (AML) und zur Kenntnis des Kunden (KYC). Diese Vorschriften schreiben häufig spezifische Datenaufbewahrungsfristen vor, was zu einem direkten Konflikt mit dem Recht auf Löschung führt. Die Herausforderung besteht darin, einen konformen Weg zu finden, der die individuellen Rechte respektiert, ohne die Einhaltung gesetzlicher Vorschriften zu gefährden oder das Unternehmen Betrugsrisiken auszusetzen.

Datenaufbewahrung und regulatorische Konflikte bewältigen

Eine der größten Hürden bei der Umsetzung des Rechts auf Löschung ist die Abstimmung mit anderen gesetzlichen Verpflichtungen, die eine Datenaufbewahrung erfordern. Finanzinstitute sind beispielsweise häufig verpflichtet, KYC-Datensätze mehrere Jahre nach Beendigung einer Kundenbeziehung aufzubewahren, manchmal bis zu fünf oder zehn Jahre, abhängig von der Gerichtsbarkeit und den spezifischen Vorschriften. Wenn ein Benutzer sein Recht auf Löschung vor Ablauf dieser Frist ausübt, entsteht ein Konflikt.

Organisationen müssen robuste Datenaufbewahrungsrichtlinien erstellen, die klar festlegen, welche Daten wie lange und auf welcher Rechtsgrundlage aufbewahrt werden. Dies beinhaltet eine gründliche rechtliche Prüfung aller anwendbaren Vorschriften (z. B. DSGVO, AML, PCI DSS, lokale Datenschutzgesetze). Wenn ein Löschungsantrag eingeht, besteht der erste Schritt darin, zu prüfen, ob rechtliche oder legitime geschäftliche Gründe für die Aufbewahrung bestehen. Wenn die Daten zur Betrugsprävention (z. B. um zu verhindern, dass ein zuvor identifizierter Betrüger sich erneut registriert) oder zur Einhaltung gesetzlicher Vorschriften (z. B. AML-Screening-Ergebnisse, die von Didits AML-Screening & Monitoring verarbeitet werden) erforderlich sind, kann die Löschung aufgeschoben oder auf bestimmte Datenpunkte beschränkt werden, die nicht von diesen Verpflichtungen betroffen sind. Transparenz gegenüber dem Benutzer über diese Einschränkungen ist entscheidend, um Vertrauen und Compliance aufrechtzuerhalten.

Technische Komplexität der Datenlöschung

Jenseits rechtlicher Überlegungen kann die technische Umsetzung der Datenlöschung hochkomplex sein. Moderne Identitätsprüfungssysteme basieren häufig auf verteilten Architekturen, die mehrere Datenbanken, Cloud-Speicher, Backups und manchmal auch Drittanbieter umfassen. Die Sicherstellung, dass personenbezogene Daten vollständig und unwiderruflich von all diesen Speicherorten, einschließlich aller Kopien oder Archive, gelöscht werden, ist eine erhebliche Aufgabe.

Zum Beispiel können biometrische Daten, die während des 1:1-Gesichtsvergleichs oder passiver & aktiver Lebendigkeitsprüfungen gesammelt werden, getrennt von Dokumentenbildern gespeichert werden. Daten, die zur Adress- oder Telefon- & E-Mail-Verifizierung eingereicht werden, können in verschiedenen Datensilos liegen. Ein umfassender Löschungsprozess erfordert eine sorgfältige Zuordnung aller Datenflüsse und Speicherorte. Organisationen müssen auch die Auswirkungen auf die Datenintegrität und die Systemfunktionalität berücksichtigen. Eine teilweise Löschung könnte zu fragmentierten Datensätzen führen oder zukünftige legitime Verifizierungen behindern. Regelmäßige Audits und Tests von Löschprotokollen sind unerlässlich, um deren Wirksamkeit und die Einhaltung der DSGVO-Anforderungen sicherzustellen.

Die Balance: Betrugsprävention vs. Datenlöschung

Ein kritischer Aspekt der Identitätsprüfung ist ihre Rolle bei der Betrugsprävention. Daten, die während der IDV gesammelt werden, wie z. B. Details von einem Personalausweis (erfasst über Didits ID-Verifizierung) oder biometrische Vorlagen, können entscheidend sein, um wiederholte Betrugsversuche zu identifizieren und zu verhindern. Wenn ein bekannter Betrüger erfolgreich sein Recht auf Löschung geltend macht, könnte dies ihm möglicherweise ermöglichen, Sicherheitsmaßnahmen zu umgehen und unter einer neuen Identität wieder illegale Aktivitäten aufzunehmen. Hier kommt oft das Konzept des „berechtigten Interesses“ oder der „rechtlichen Verpflichtung“ als rechtmäßige Grundlage für die Verarbeitung und Aufbewahrung von Daten ins Spiel, selbst angesichts eines Löschungsantrags.

Diese Begründung muss jedoch sorgfältig geprüft und dokumentiert werden. Die bloße Behauptung der Betrugsprävention reicht nicht aus; Organisationen müssen nachweisen, dass die aufbewahrten Daten für diesen Zweck unbedingt notwendig sind und dass geeignete Schutzmaßnahmen vorhanden sind. Die Pseudonymisierung oder Anonymisierung bestimmter Datenpunkte, während andere für die Analyse von Betrugsmustern aufbewahrt werden, kann eine potenzielle Strategie sein. Die Herausforderung besteht darin, ein Gleichgewicht zu finden, bei dem legitime Betrugspräventionsmaßnahmen aufrechterhalten werden, ohne das Recht einer Person auf Privatsphäre und Datenkontrolle unangemessen zu verletzen.

Wie Didit hilft

Didit, als KI-native, entwicklerorientierte Identitätsplattform, ist einzigartig positioniert, um Unternehmen bei der Bewältigung der Komplexität des DSGVO-Rechts auf Löschung zu unterstützen. Unsere modulare Architektur und der strukturierte Ansatz für Identitätsdaten bieten die Flexibilität und Kontrolle, die für ein konformes Datenmanagement erforderlich sind. Didits Business Console ermöglicht es Ihnen, spezifische Datenaufbewahrungsrichtlinien für verschiedene Workflows und Datentypen zu konfigurieren, die Ihren rechtlichen Verpflichtungen entsprechen und unnötige Datenspeicherung minimieren.

Mit Produkten wie ID-Verifizierung, passivem & aktivem Liveness, 1:1-Gesichtsabgleich und AML-Screening & Monitoring verarbeitet und speichert Didit Identitätsdaten unter Berücksichtigung der Compliance. Unsere Plattform bietet klare Mechanismen für den Datenzugriff und die Datenlöschung, sodass Sie effizient und konform auf Löschungsanfragen reagieren können. Durch die Bereitstellung strukturierter Identitätsdaten und die Möglichkeit einer granularen Kontrolle über deren Lebenszyklus hilft Didit Ihnen, einen klaren Audit-Trail der Datenverarbeitungsaktivitäten zu führen. Unser Engagement für „Free Core KYC“ und „keine Einrichtungsgebühren“ bedeutet, dass Sie diese entscheidenden Compliance-Funktionen ohne prohibitive Vorabkosten implementieren können, wodurch Vertrauen durch transparente und sichere Identitätsprüfungsprozesse aufgebaut wird.

Bereit zum Start?

Möchten Sie Didit in Aktion sehen? Fordern Sie noch heute eine kostenlose Demo an.

Beginnen Sie mit der kostenlosen Identitätsprüfung mit Didits kostenlosem Tarif.