Datenschutzhinweis zur Verifizierung

Dieser Datenschutzhinweis zur Verifizierung erklärt, wie Didit personenbezogene Daten, einschließlich biometrischer Daten, verarbeitet, wenn Didit im Auftrag eines seiner Kunden einen Workflow zur Identitätsprüfung, Betrugsprävention, Authentifizierung oder Compliance bereitstellt.

Dieser Hinweis ergänzt unsere Datenschutzrichtlinie und unsere Endnutzerbedingungen für die Identitätsprüfung.

1. Geltungsbereich

Dieser Hinweis gilt, wenn du mit einem Verifizierungs-Flow, einer gehosteten Seite, einem SDK, einer API-basierten Journey, einem mobilen Flow oder einer White-Label-Lösung interagierst, die von Didit für einen Kunden betrieben wird.

Er umfasst die Verarbeitung von:

• Identitäts- und Kontaktdaten;
• von dir eingereichten Dokumenten und Dateien;
• Selfies, Gesichtsbildern, Videos und Liveness-Aufnahmen;
• biometrischen Daten, die aus diesen Einreichungen abgeleitet werden;
• Geräte-, IP-, Standort- und Anti-Betrugs-Telemetriedaten;
• Verifizierungsergebnissen, Risikosignalen und Audit-Aufzeichnungen; und
• verwandten Support-, Compliance- und Sicherheitsaufzeichnungen, die mit der Verifizierungssitzung verbunden sind.

2. Wer sind die Parteien und welche Rollen haben sie?

Wenn die Verifizierungs-Journey als White-Label oder über eine benutzerdefinierte Domain erfolgt, kann Didit dennoch der Technologieanbieter sein, der deine Daten hinter der gebrandeten Oberfläche verarbeitet.

3. Kategorien von Daten, die bei der Verifizierung verwendet werden

Abhängig vom konfigurierten Workflow kann Didit Folgendes verarbeiten:

• Identitätsdaten, wie Name, Geburtsdatum, Adresse, Telefonnummer, E-Mail, Nationalität und andere identifizierende Details.
• Dokumentendaten, wie Pässe, Personalausweise, Aufenthaltsgenehmigungen, Führerscheine, Adressnachweise und aus diesen Materialien extrahierte Daten.
• Biometrische und Liveness-Daten, wie Gesichtsbilder, Selfie-Bilder, Videos, Liveness-Aufnahmen, Anti-Spoofing-Signale und Daten, die aus Scans der Gesichtsgeometrie abgeleitet werden, um dein Gesicht mit dem Ausweisdokument zu vergleichen oder um zu bestätigen, dass eine reale Person anwesend ist.
• Technische und Betrugspräventionsdaten, wie IP-Adresse, Browser, Gerätedaten, Zeitstempel, Sitzungsdaten, aus Netzwerkdaten abgeleitete Geolokalisierung und ähnliche Integritäts- oder Risikosignale.
• Fragebogen- und Workflow-Daten, wie Erklärungen, Antworten, hochgeladene Dateien, Zustimmungsaufzeichnungen und Statusübergänge.
• Verifizierungsergebnisse, wie Übereinstimmungswerte, Warnungen, Betrugsindikatoren, Überprüfungsergebnisse und Audit-Nachweise.

4. Verarbeitungszwecke

Didit kann die oben genannten Daten verarbeiten, um:

• die Identität zu überprüfen und eine Person zu authentifizieren;
• die Authentizität und Vollständigkeit von Dokumenten zu prüfen;
• Spoofing, Manipulation, Betrug oder Missbrauch zu erkennen;
• die vom Kunden konfigurierten gesetzlichen, regulatorischen, Sanktions-, Anti-Geldwäsche- (AML), Know Your Customer- (KYC) und Risikomanagementanforderungen zu erfüllen;
• den Verifizierungs-Flow und die zugrunde liegende Infrastruktur zu sichern;
• manuelle Überprüfungen, erneute Einreichungen, Eskalationen und Audit-Prozesse zu unterstützen;
• auf rechtmäßige Anfragen zu reagieren und rechtliche Ansprüche zu verteidigen; und
• die Serviceintegrität aufrechtzuerhalten, Vorfälle zu beheben und Qualitäts- und Sicherheitsüberwachung durchzuführen.

Sofern gesetzlich zulässig und entsprechende Kontrollen vorhanden sind, kann Didit auch anonymisierte oder pseudonymisierte verifizierungsbezogene Daten für Diensttests, Qualitätssicherung, Training und Validierung von Betrugsmodellen sowie zur Sicherheitsverbesserung verwenden. Wenn für eine sekundäre Nutzung ein separater Hinweis, eine Zustimmung oder eine zusätzliche Rechtsgrundlage erforderlich ist, wird Didit diese einholen oder von dieser Nutzung absehen.

Du (oder der Kunde in deinem Namen) kannst dieser anonymisierten/pseudonymisierten Verarbeitung widersprechen, indem du (a) den zugrunde liegenden Verifizierungsdatensatz über die Anwendung des Kunden oder über die API oder Business Console von Didit löschst oder (b) eine E-Mail an privacy@didit.me mit der relevanten Sitzungs-ID oder dem Konto sendest. Widersprüche gelten ab dem Datum der Anfrage prospektiv; Didit wird auch wirtschaftlich angemessene Anstrengungen unternehmen, um berechtigte Datensätze aus aktiven Trainingsdatensätzen zu entfernen.

5. Wie Didit mit biometrischen Daten umgeht

Für die Zwecke dieses Hinweises umfassen biometrische Daten Daten, die aus Scans der Gesichtsgeometrie oder ähnlichen biometrischen Merkmalen abgeleitet werden, die aus Bildern oder Videos extrahiert werden, wenn diese Daten zur Identitätsprüfung, zur Bestätigung der Lebendigkeit oder zur Betrugsprävention verwendet werden.

Wenn ein Workflow eine Gesichtsverifizierung oder Liveness-Prüfung beinhaltet, kann Didit:

• Selfie-Bilder, Gesichtsbilder und/oder Videos erfassen oder empfangen;
• Gesichtsmerkmale aus diesen Einreichungen und aus dem Porträt auf deinem Ausweisdokument extrahieren;
• diese Signale vergleichen, um zu überprüfen, ob die Person, die das Dokument vorlegt, dieselbe Person ist, die auf dem Dokument abgebildet ist;
• Liveness- und Anti-Spoofing-Indikatoren analysieren, um zu bestätigen, dass eine reale Person anwesend ist; und
• Verifizierungsergebnisse, Konfidenzindikatoren und Betrugs- oder Überprüfungssignale generieren.

Didit:

• verwendet biometrische Daten nur für die in diesem Hinweis, den Anweisungen des Kunden und dem geltenden Recht beschriebenen rechtmäßigen Zwecke;
• wendet Schutzmaßnahmen an, die für sensible Daten konzipiert sind, einschließlich Zugriffskontrollen, Überwachung und sichere Handhabungspraktiken;
• verkauft, vermietet, handelt oder profitiert nicht von biometrischen Identifikatoren oder biometrischen Informationen; und
• erwartet von Kunden, die API- oder White-Label-Journeys nutzen, Didit als Verifizierungsanbieter klar offenzulegen und alle gesetzlich vorgeschriebenen Hinweise oder Zustimmungen einzuholen, bevor die biometrische Erfassung beginnt.

6. Zusätzliche US-Datenschutzhinweise für biometrische Daten

Wenn du dich in Illinois, Texas, Washington oder einer anderen Gerichtsbarkeit mit Anforderungen an den Schutz biometrischer Daten befindest, sind die folgenden zusätzlichen Punkte wichtig:

• Biometrische Daten können Daten umfassen, die aus Scans der Gesichtsgeometrie, Selfie-Bildern, Liveness-Videos oder ähnlichen Identitätsprüfungsmedien abgeleitet werden.
• Du wirst möglicherweise aufgefordert, eine ausdrückliche elektronische oder schriftliche Zustimmung zu erteilen, bevor biometrische Daten erfasst oder hochgeladen werden.
• Der Kunde sollte Didit als Verifizierungsanbieter oder -verarbeiter identifizieren, wenn er die erforderlichen Hinweise in White-Label- oder API-basierten Journeys präsentiert.
• Didit verwendet biometrische Daten zur Durchführung von Identitätsprüfungen, Liveness-Prüfungen, Anti-Spoofing, Betrugsprävention, Sicherheit und verwandten Compliance-Operationen, die vom Kunden angefordert werden.
• Didit speichert biometrische Daten nur so lange, wie dies zur Bereitstellung des Dienstes, zur Befolgung rechtmäßiger Kundenanweisungen, zur Erfüllung gesetzlicher Verpflichtungen, zur Beilegung von Streitigkeiten oder zur Verteidigung von Ansprüchen erforderlich ist, und in keinem Fall länger, als es das geltende Recht erlaubt.
• Didit wendet einen angemessenen Sorgfaltsstandard an, der für sensible Daten konzipiert ist, und verkauft, vermietet, handelt oder profitiert nicht von biometrischen Identifikatoren oder biometrischen Informationen.

Wenn eine Gerichtsbarkeit eine kürzere Aufbewahrungsfrist, einen separaten öffentlichen Zeitplan oder zusätzliche Offenlegungen vorschreibt, wenden Didit und der Kunde die kürzere oder strengere Regelung an, die für den jeweiligen Verifizierungs-Flow gilt.

Andere Gerichtsbarkeiten mit Anforderungen an den Schutz biometrischer Daten. Die oben genannten Punkte gelten, mit entsprechenden Anpassungen, für jeden anderen Staat, jede Provinz, jedes Land oder jede Gerichtsbarkeit mit Anforderungen an den Schutz biometrischer Daten, einschließlich (ohne Einschränkung) der Behandlung sensibler personenbezogener Daten durch den California Consumer Privacy Act (CCPA) / California Privacy Rights Act (CPRA), des Colorado Privacy Act (CPA), des Virginia Consumer Data Protection Act (VCDPA), des Connecticut Data Privacy Act (CTDPA), des Utah Consumer Privacy Act (UCPA), der New Yorker Vorschläge zum Schutz biometrischer Daten, des Rahmens von Artikel 9 der Datenschutz-Grundverordnung (DSGVO) der Europäischen Union für biometrische Daten, der Datenschutz-Grundverordnung des Vereinigten Königreichs und des Data Protection Act 2018, des Schweizer Bundesgesetzes über den Datenschutz (FADP), des kanadischen Personal Information Protection and Electronic Documents Act (PIPEDA) und des Quebecer Gesetzes 25, des brasilianischen Lei Geral de Proteção de Dados (LGPD) und jedes zukünftigen Gesetzes zum Schutz biometrischer Daten, das für den jeweiligen Verifizierungs-Flow gilt.

7. Offenlegungen und Dienstleister

Didit kann verifizierungsbezogene Daten offenlegen an:

• den Kunden, der dich zur Verifizierung aufgefordert hat;
• Didit-Konzerngesellschaften, die an der Bereitstellung, Unterstützung oder Sicherung des Dienstes beteiligt sind;
• Anbieter von Hosting, Cloud-Speicher, Kommunikation, Identität, Betrug, Analysen, Audit, Sicherheit und professionellen Dienstleistungen;
• Aufsichtsbehörden, Gerichte, Strafverfolgungsbehörden oder öffentliche Behörden, sofern gesetzlich vorgeschrieben; und
• Transaktionspartner bei einer Fusion, Übernahme, Umstrukturierung oder Vermögensübertragung, vorbehaltlich rechtmäßiger Schutzmaßnahmen.

Die genauen Empfänger hängen vom Dienst, der Region, der Workflow-Konfiguration und den rechtlichen Anforderungen ab.

8. Internationale Übermittlungen

Verifizierungsdaten können in anderen Ländern als dem Land, in dem du den Verifizierungs-Flow begonnen hast, verarbeitet werden. Wo gesetzlich vorgeschrieben, wendet Didit geeignete Übermittlungsschutzmaßnahmen an, wie Angemessenheitsbeschlüsse, Standardvertragsklauseln oder andere anerkannte rechtliche Mechanismen.

9. Aufbewahrung und Vernichtung

Standardmäßige Aufbewahrung. Die standardmäßige Aufbewahrungsfrist für Verifizierungsdaten ist unbegrenzt („unlimited“), es sei denn, der Kunde konfiguriert einen kürzeren Zeitraum oder du übst ein Löschungsrecht aus. Kunden können die Aufbewahrung pro Anwendung in der Business Console zwischen 30 Tagen und 10 Jahren konfigurieren und jede einzelne Verifizierungssitzung jederzeit löschen. Du kannst auch Löschungsrechte gemäß Abschnitt 11 ausüben. Die Aufbewahrung biometrischer Daten unterliegt in jedem Fall den geltenden Gesetzen und Vorschriften zum Schutz biometrischer Daten und wird durch diese begrenzt, einschließlich Artikel 9 der EU-Datenschutz-Grundverordnung (DSGVO), des Illinois Biometric Information Privacy Act (BIPA), des Texas Capture or Use of Biometric Identifier Act (CUBI), Washington H.B. 1493 und aller anderen anwendbaren Gesetze zum Schutz biometrischer Daten; wo ein solches Gesetz eine kürzere Aufbewahrungsfrist oder eine frühere Vernichtungspflicht vorschreibt, hat diese kürzere oder strengere Regel Vorrang vor jeder Standard- oder vom Kunden konfigurierten Aufbewahrungsfrist.

In jedem Fall speichert Didit Verifizierungsdaten, einschließlich biometrischer Daten, gemäß:

• den dokumentierten Anweisungen des Kunden und den konfigurierten Aufbewahrungseinstellungen (mindestens 30 Tage, maximal 10 Jahre oder unbegrenzt, wenn der Kunde die Obergrenze nicht gesenkt hat);
• geltenden vertraglichen, regulatorischen, Audit- und rechtlichen Verpflichtungen;
• Anforderungen zur Betrugsprävention, Sicherheit und Streitbeilegung; und
• der kürzeren oder strengeren Aufbewahrungsregel, die nach geltendem Recht vorgeschrieben ist und immer Vorrang hat.

Wenn die relevanten Daten nicht mehr benötigt werden, löscht, redigiert, anonymisiert, de-identifiziert oder vernichtet Didit sie sicher.

Für biometrische Daten stellt Didit sicher, dass biometrische Identifikatoren und biometrische Informationen gelöscht, de-identifiziert oder sicher vernichtet werden, wenn:

• der ursprüngliche Verifizierungszweck erfüllt wurde;
• die anwendbare Aufbewahrungsfrist abläuft;
• der Kunde die Löschung rechtmäßig anweist; oder
• geltendes Recht eine frühere Vernichtung vorschreibt.

10. Automatisierte Verarbeitung und menschliche Überprüfung

Didit kann automatisierte Systeme verwenden, um die Dokumentenintegrität, Liveness, Gesichtsabgleich, Betrugsindikatoren und andere Verifizierungssignale zu überprüfen. Einige Sitzungen können auch zur menschlichen Überprüfung, Qualitätssicherung oder Eskalation weitergeleitet werden, abhängig vom Workflow und der Risikokonfiguration des Kunden.

Sofern ein spezifischer Dienst nichts anderes angibt, bleibt der Kunde dafür verantwortlich, wie er das Verifizierungsergebnis in seinen eigenen Geschäftsentscheidungen verwendet.

11. Rechte und Anfragen

Wenn du Daten, die in einer bestimmten Verifizierungssitzung verarbeitet wurden, einsehen, korrigieren, löschen, einschränken, Widerspruch einlegen oder anderweitig Rechte ausüben möchtest, solltest du dich in der Regel zuerst an den Kunden wenden. Der Kunde bestimmt normalerweise den Hauptzweck der Verifizierung und ist der beste Ansprechpartner für Rechte, die mit dieser Beziehung verbunden sind.

Wenn Didit eine Anfrage direkt im Rahmen einer Auftragsverarbeitung erhält, kann Didit die Anfrage gegebenenfalls an den relevanten Kunden weiterleiten. Wenn Didit als unabhängiger Verantwortlicher für einen begrenzten Verarbeitungszweck handelt, kannst du dich auch an privacy@didit.me oder an den Datenschutzbeauftragten von Didit unter dpo@didit.me wenden.

Du kannst auch eine Beschwerde bei einer Aufsichtsbehörde einreichen. Didits federführende Aufsichtsbehörde ist die spanische Datenschutzbehörde (Agencia Española de Protección de Datos / AEPD) unter `aepd.es`. Du kannst auch eine Beschwerde bei deiner lokalen Datenschutzbehörde einreichen.

12. Sicherheit

Didit verwendet technische, organisatorische und administrative Schutzmaßnahmen, die darauf ausgelegt sind, Verifizierungsdaten, einschließlich sensibler und biometrischer Daten, zu schützen. Diese Schutzmaßnahmen können Verschlüsselung, Zugriffskontrollen, Umgebungstrennung, Protokollierung, Überwachung und Verfahren zur Reaktion auf Vorfälle umfassen.

13. Kinder

Didit beabsichtigt nicht, mit diesem Verifizierungshinweis die unrechtmäßige Erfassung von Daten von Kindern zu autorisieren. Wenn ein Verifizierungs-Flow für altersbezogene oder jugendbezogene Prüfungen verwendet wird, muss der Kunde eine rechtmäßige Grundlage, entsprechende Hinweise und alle erforderlichen elterlichen oder vormundschaftlichen Genehmigungen sicherstellen.

14. Änderungen dieses Hinweises

Didit kann diesen Datenschutzhinweis zur Verifizierung von Zeit zu Zeit aktualisieren, um rechtliche, betriebliche oder produktbezogene Änderungen widerzuspiegeln. Wenn wir dies tun, werden wir das Gültigkeitsdatum oben in diesem Hinweis aktualisieren.

15. Kontakt

Bei Fragen zu diesem Hinweis wende dich an:

• privacy@didit.me
• hello@didit.me