Richtlinie zur Aufbewahrung und Vernichtung biometrischer Daten

Diese Richtlinie zur Aufbewahrung und Vernichtung biometrischer Daten erklärt, welche biometrischen Daten Didit verarbeitet, wenn es seinen Kunden Dienste zur Identitätsprüfung und Betrugsprävention bereitstellt, warum Didit sie verwendet, wie lange sie aufbewahrt werden und wie sie vernichtet werden. Sie bildet den öffentlichen, schriftlichen Aufbewahrungszeitplan und die öffentlichen, schriftlichen Vernichtungsrichtlinien von Didit für biometrische Daten, auch für die Zwecke des Biometric Information Privacy Act von Illinois (740 ILCS 14/15(a)) und des Rechts von Colorado (C.R.S. § 6-1-1314).

Diese Richtlinie ergänzt unseren Datenschutzhinweis zur Verifizierung, unsere Endnutzerbedingungen für die Identitätsprüfung und unsere Datenschutzrichtlinie.

1. Geltungsbereich

Diese Richtlinie gilt für biometrische Daten, die Didit verarbeitet, wenn du einen Verifizierungs-Flow (einen von Didit gehosteten Flow, ein SDK, eine White-Label-Lösung oder eine API-gestützte Journey) durchläufst, den ein Kunde von Didit (der „Kunde“) mit einer Gesichtserfassung eingerichtet hat, etwa einem Selfie, einer Liveness-Prüfung oder einem Gesichtsabgleich.

2. Wer entscheidet und wer verarbeitet

• Der Kunde, der dich zur Verifizierung auffordert, entscheidet, warum und wie deine biometrischen Daten erhoben werden. Er ist der Verantwortliche für diese Daten oder hat nach dem anwendbaren Recht die entsprechende Rolle inne.
• Didit verarbeitet biometrische Daten im Auftrag des Kunden und auf dessen dokumentierte Anweisung als dessen Auftragsverarbeiter oder Dienstleister.

3. Welche biometrischen Daten Didit erhebt

Abhängig davon, wie der Kunde die Verifizierung eingerichtet hat, kann Didit Folgendes erheben:

• Gesichtsgeometrie und Gesichtsvorlagen: Messungen von Gesichtsmerkmalen, die aus deinem Selfie, deiner Liveness-Aufnahme oder dem Porträt auf deinem Ausweisdokument gewonnen werden, sowie die daraus erstellten Vorlagen (numerische Darstellungen eines Gesichts).
• Selfie-Bilder, die während der Verifizierung aufgenommen werden.
• Dokumentporträt: das Bild deines Gesichts auf dem Ausweisdokument, das du einreichst.
• Liveness-Video: das Video oder die Einzelbilder, die aufgenommen werden, um zu bestätigen, dass eine reale Person anwesend ist.

4. Warum Didit sie verwendet

Didit verwendet biometrische Daten, um für den Kunden und auf dessen Anweisung die Identität zu überprüfen und Betrug zu verhindern:

• um zu prüfen, ob die Person, die ein Ausweisdokument vorlegt, die darauf abgebildete Person ist;
• um zu bestätigen, dass eine reale, lebende Person anwesend ist, und um Spoofing-Versuche zu erkennen; und
• sofern der Kunde diese Funktionen aktiviert, um doppelte Konten und Gesichter auf der Sperrliste des Kunden zu erkennen.

5. Aufbewahrungszeitplan

Biometrische Daten werden zum frühesten der folgenden Zeitpunkte gelöscht:

1. wenn der Zweck, zu dem der Kunde sie erhoben hat, erfüllt ist;
2. am Ende der vom Kunden festgelegten Aufbewahrungsfrist; und
3. für Personen, die unter die Gesetze der unten genannten Bundesstaaten fallen, bei Ablauf der Frist des jeweiligen Bundesstaats, gerechnet ab ihrer letzten Verifizierung bei diesem Kunden.

Deine letzte Verifizierung bei einem Kunden ist deine jüngste Verifizierungssitzung für diesen Kunden, und mit jeder neuen Sitzung beginnt die Frist von Neuem. Die Frist eines Bundesstaats gilt auch dann, wenn die Aufbewahrungseinstellung des Kunden länger ist, einschließlich des Falls, dass sie auf unbegrenzt gesetzt ist. Gelten mehrere Fristen, gilt die früheste.

Die Frist eines Bundesstaats gilt für dich zum Beispiel dann, wenn du dich bei der Erfassung deines Gesichts in diesem Bundesstaat befunden hast, wenn dein Ausweisdokument von diesem Bundesstaat ausgestellt wurde oder wenn der Kunde Didit mitgeteilt hat, dass du dich in diesem Bundesstaat befindest.

Didit bewahrt biometrische Daten nicht über ihre Frist hinaus auf.

6. Wie die Löschung erfolgt

• Endgültig. Die Löschung ist endgültig. Didit behält keine Kopie gelöschter biometrischer Daten.
• Jeder Speicher. Die Löschung umfasst jeden Ort, an dem Didit die Daten vorhält: die Originalbilder und -videos, die daraus erstellte Gesichtsgeometrie und die daraus erstellten Vorlagen sowie die Gesichtssucheinträge, die für Duplikat- und Sperrlistenprüfungen verwendet werden, einschließlich auf den Systemen der Unterauftragsverarbeiter von Didit.
• Automatisch. Didit wendet die Fristen aus Abschnitt 5 automatisch an, ohne auf eine Anfrage zu warten.
• Protokolliert. Didit protokolliert, dass eine Löschung stattgefunden hat, ohne die gelöschten Daten aufzubewahren.

Biometrische Daten werden außerdem bereits vor Ablauf einer Frist gelöscht, wenn der Kunde Didit anweist, sie zu löschen, oder wenn eine gültige, dich betreffende Löschanfrage angenommen wird (siehe Abschnitt 10).

7. Kein Verkauf und keine Gewinnerzielung

Didit verkauft, vermietet oder handelt nicht mit biometrischen Identifikatoren oder biometrischen Informationen und zieht auch auf sonstige Weise keinen Gewinn daraus.

8. Auftragsverarbeiter und Unterauftragsverarbeiter

Didit setzt Unterauftragsverarbeiter ein, etwa Anbieter von Cloud-Hosting und Cloud-Speicher, die Didit bei der Erbringung des Dienstes unterstützen. Didit erlegt jedem Unterauftragsverarbeiter Datenschutzpflichten auf, die im Wesentlichen denen in seiner Auftragsverarbeitungsvereinbarung entsprechen, die Teil der Allgemeinen Geschäftsbedingungen für Unternehmen ist, und bleibt gegenüber dem Kunden für die Einhaltung dieser Pflichten durch die Unterauftragsverarbeiter haftbar. Kunden können die aktuelle Liste der Unterauftragsverarbeiter unter privacy@didit.me anfordern.

9. Zustimmung und Widerruf

Vor der Erfassung. Wo das Gesetz es verlangt, wirst du um deine ausdrückliche Zustimmung gebeten, bevor dein Selfie oder dein Liveness-Video erfasst wird. Der Verifizierungs-Flow erklärt, was erhoben wird, warum und wie lange, verlinkt auf diese Richtlinie und bittet dich um deine Zustimmung, zum Beispiel durch Ankreuzen eines Kästchens. Wenn du ablehnst, endet die Verifizierung und Didit erfasst weder dein Selfie noch dein Liveness-Video. Deine Antwort wird zusammen mit der Verifizierungssitzung aufgezeichnet.

Bildschirme des Kunden. Wenn der Kunde eigene Verifizierungsbildschirme betreibt (API- oder White-Label-Journeys), erwartet Didit vom Kunden, Didit klar als Verifizierungsanbieter zu identifizieren und alle gesetzlich vorgeschriebenen Hinweise oder Zustimmungen einzuholen, bevor die biometrische Erfassung beginnt.

Widerruf. Du kannst deine Zustimmung jederzeit widerrufen, indem du dich an den Kunden, der dich zur Verifizierung aufgefordert hat, oder an Didit unter privacy@didit.me wendest. Der Widerruf der Zustimmung berührt nicht die Verarbeitung, die vor dem Widerruf stattgefunden hat. Um die bereits erhobenen biometrischen Daten löschen zu lassen, stelle eine Löschanfrage wie in Abschnitt 10 beschrieben.

10. Auskunfts- und Löschanfragen

Um auf deine biometrischen Daten zuzugreifen oder sie löschen zu lassen, wende dich zuerst an den Kunden, der dich zur Verifizierung aufgefordert hat: Er kontrolliert die Daten und kann unmittelbar in Bezug auf sie tätig werden. Du kannst auch an privacy@didit.me oder an den Datenschutzbeauftragten von Didit unter dpo@didit.me schreiben. Wenn Didit als Auftragsverarbeiter des Kunden handelt, kann Didit deine Anfrage an den Kunden weiterleiten.

Eine gültige, dich betreffende Löschanfrage löscht deine biometrischen Daten aus jedem Speicher, einschließlich jeder Gesichtsvorlage, die der Kunde aufzubewahren beschlossen hat.

11. Sicherheit

Didit schützt biometrische Daten mit einem angemessenen Sorgfaltsstandard, der für sensible Daten konzipiert ist, einschließlich Zugriffskontrollen, Überwachung und Verschlüsselung. Unsere Informationssicherheitsrichtlinie beschreibt diese Schutzmaßnahmen.

12. Änderungen dieser Richtlinie

Didit kann diese Richtlinie aktualisieren, um rechtliche, betriebliche oder produktbezogene Änderungen widerzuspiegeln. In diesem Fall aktualisiert Didit das Datum oben in dieser Richtlinie.

13. Kontakt

Bei Fragen zu dieser Richtlinie wende dich an:

• privacy@didit.me
• dpo@didit.me