Datenschutzerklärung

Diese Erklärung informiert über die Verarbeitung personenbezogener Daten bei Nutzung von verif-X. Für eine konkrete Identitätsprüfung werden zusätzlich Name, Anschrift und Kontakt der einladenden Organisation direkt auf dem Verifizierungslink angezeigt.

1. Verantwortlicher für Portal und Kundenkonto

2. Rollen bei einer Identitätsprüfung

Für Konto-, Vertrags-, Sicherheits- und Abrechnungsdaten ist Nexora selbst Verantwortlicher. Für die über einen Verifizierungslink erhobenen Identitätsangaben und Nachweise ist grundsätzlich die auf dem Link bezeichnete einladende Organisation Verantwortlicher. Sie bestimmt Zweck, Rechtsgrundlage und Speicherdauer. Nexora verarbeitet diese Daten auf Grundlage eines Vertrags nach Art. 28 DSGVO als Auftragsverarbeiter und entscheidet nicht über Bewerbung, Beschäftigung oder Freigabe.

3. Verarbeitete Daten

• Kontodaten: Name, Organisation, E-Mail-Adresse, Passwort-Hash und Anmeldezeitpunkte;
• Vorgangsdaten: Name und E-Mail-Adresse der eingeladenen Person, Status, Zeitpunkte und Prüfentscheidung;
• Identitätsdaten: vollständiger Name, Geburtsdatum, Anschrift, Dokumentart und Ausweis- oder Passnummer;
• Nachweise: Personalausweis mit Vorder- und Rückseite oder Reisepass-Datenseite sowie ein direkt aufgenommenes Selfie-Video mit vor die Brust gehaltenem Dokument;
• technische Daten: IP-Adresse, Browserkennung, Sitzungs-, Sicherheits- und Auditprotokolle;
• Nutzungs-, Zahlungs- und Rechnungsdaten der Kundenorganisation.

4. Zwecke und Rechtsgrundlagen

Nexora verarbeitet eigene Konto-, Vertrags- und Abrechnungsdaten zur Vertragsanbahnung und -durchführung nach Art. 6 Abs. 1 lit. b DSGVO, zur Erfüllung gesetzlicher Pflichten nach Art. 6 Abs. 1 lit. c DSGVO und zur Absicherung des Dienstes sowie Abwehr von Missbrauch nach Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt im sicheren und nachvollziehbaren Betrieb des Portals.

Die Rechtsgrundlage der konkreten Identitätsprüfung wird von der einladenden Organisation festgelegt. Diese Datenschutzhinweise gelten auch für die über verif-X durchgeführte Identitätsprüfung; Name, Anschrift und Kontakt des dafür Verantwortlichen werden unmittelbar auf dem persönlichen Verifizierungslink angezeigt. Die Bestätigung auf dem Formular dokumentiert die Kenntnisnahme dieser Hinweise; sie ersetzt keine vom Verantwortlichen gegebenenfalls gesondert einzuholende Einwilligung.

5. Pflichtangaben und Folgen der Nichtbereitstellung

Die als Pflichtfelder bezeichneten Angaben und Nachweise sind technisch erforderlich, um den angeforderten Vorgang einzureichen. Ohne sie kann die Identitätsprüfung über verif-X nicht durchgeführt werden. Ob die betroffene Person rechtlich oder vertraglich zur Bereitstellung verpflichtet ist und welche Folgen eine Nichtbereitstellung außerhalb des Portals hat, muss die einladende Organisation mitteilen.

6. Empfänger und Dienstleister

Identitätsdaten werden ausschließlich der jeweils einladenden Organisation und deren berechtigten Nutzern zugänglich gemacht. Für den technischen Betrieb wird Hetzner innerhalb Deutschlands bzw. der Europäischen Union eingesetzt. Transaktionale E-Mail-Dienste erhalten nur die für die Zustellung erforderlichen Adress- und Nachrichtendaten, keine Ausweisdateien oder Selfie-Videos. Revolut verarbeitet Zahlungsdaten der Kundenorganisation; Identitätsnachweise der zu verifizierenden Personen werden nicht an Revolut übermittelt. EU-USt-IdNrn. werden zur Prüfung an VIES der Europäischen Kommission übermittelt. Eine Weitergabe zu Werbezwecken findet nicht statt.

7. Drittlandübermittlungen

Identitätsnachweise werden grundsätzlich innerhalb der Europäischen Union verarbeitet. Eine Drittlandübermittlung erfolgt nur auf dokumentierte Weisung der verantwortlichen Organisation oder bei Vorliegen der Voraussetzungen der Art. 44 ff. DSGVO. Die Nutzung des Portals löst keine werbliche Datenübermittlung an soziale Netzwerke oder externe Analysedienste aus.

8. Speicherdauer

Kontodaten werden für die Vertragslaufzeit gespeichert. Rechnungs- und steuerlich relevante Daten werden entsprechend den gesetzlichen Aufbewahrungsfristen aufbewahrt. Personenbezogene Verifizierungsdaten, Dokumentabbildungen und Selfie-Videos werden zehn Tage nach vollständiger Einreichung automatisch gelöscht bzw. anonymisiert. Abgelaufene oder stornierte, nicht abgeschlossene Einladungen werden ebenfalls nach zehn Tagen personenbezogen bereinigt; temporäre Videoaufnahmen werden nach Ablauf entfernt. Bis zur Löschung kann die verantwortliche Organisation den vollständigen Vorgang als ZIP-Archiv herunterladen. Reine Abrechnungs- und Ereignisnachweise bleiben ohne Identitätsinhalt erhalten. Nach Vertragsende werden Auftragsdaten gelöscht oder zurückgegeben, soweit keine gesetzliche Pflicht entgegensteht; Sicherungskopien werden geschützt und im regulären Überschreibzyklus entfernt.

9. Cookies, lokale Schriftarten und Protokolle

Das Portal verwendet ausschließlich technisch notwendige Sitzungs- und Sicherheitsmechanismen. Analyse-, Werbe- oder Profiling-Cookies werden nicht eingesetzt. Die Schriftart Inter wird lokal vom eigenen Server bereitgestellt; beim Laden entsteht keine Verbindung zu Google Fonts. Bei Aufrufen entstehen technisch erforderliche Server- und Sicherheitsprotokolle.

10. Selfie-Video und automatisierte Entscheidungen

Selfie-Video und Dokumentabbildungen werden zur manuellen Sichtprüfung durch die einladende Organisation bereitgestellt. verif-X verwendet keine Gesichtserkennung, erstellt keine biometrischen Templates und gleicht Gesichter nicht automatisiert mit Datenbanken ab. Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO statt.

11. Sicherheit

Zum Schutz der Daten werden insbesondere Transportverschlüsselung, Zugriffsbeschränkungen, sichere Passwort-Hashes, rollenbasierte Berechtigungen, zeitlich begrenzte Links, Protokollierung sicherheitsrelevanter Ereignisse, organisatorische Vertraulichkeitsregeln sowie Datensicherungs- und Wiederherstellungsverfahren eingesetzt. Kein Übertragungs- oder Speichersystem kann absolute Sicherheit garantieren.

12. Rechte betroffener Personen

Betroffene Personen haben nach Maßgabe der DSGVO Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Soweit die konkrete Identitätsprüfung betroffen ist, sind Anfragen vorrangig an die auf dem Verifizierungslink genannte Organisation zu richten; Nexora unterstützt diese als Auftragsverarbeiter. Eine Einwilligung kann, soweit sie im Einzelfall Rechtsgrundlage ist, jederzeit mit Wirkung für die Zukunft gegenüber dem Verantwortlichen widerrufen werden.

13. Beschwerderecht

Es besteht ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde. Für Nexora ist insbesondere das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, zuständig.

14. Auftragsverarbeitung

Kundenorganisationen schließen vor der produktiven Erstellung neuer Verifizierungen elektronisch den Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ab. Die Annahme wird mit Organisation, Kontoinhaber, Zeitpunkt und Versionsstand protokolliert.