Datenschutzerklärung

Diese Erklärung informiert über die Verarbeitung personenbezogener Daten bei Nutzung des Verify Portals.

1. Verantwortlicher

2. Rollen bei einer Identitätsprüfung

Für Konto-, Vertrags-, Sicherheits- und Abrechnungsdaten ist der Portalbetreiber Verantwortlicher. Bei den Daten einer von einem Kunden veranlassten Identitätsprüfung entscheidet grundsätzlich die einladende Organisation über Zweck und Mittel der Verarbeitung. Der Portalbetreiber verarbeitet diese Daten dann als Auftragsverarbeiter. Die einladende Organisation bleibt Ansprechpartner für inhaltliche Fragen zur Bewerbung oder Prüfung.

3. Verarbeitete Daten

• Kontodaten: Name, Organisation, E-Mail-Adresse, Passwort-Hash und Anmeldezeitpunkte;
• Vorgangsdaten: Name und E-Mail-Adresse der eingeladenen Person, Status, Zeitpunkte und Prüfentscheidung;
• Identitätsdaten: vollständiger Name, Geburtsdatum, Anschrift und Dokumentnummer;
• Nachweise: Personalausweis mit Vorder- und Rückseite oder Reisepass ohne Rückseite sowie ein direkt aufgenommenes Selfie-Video;
• technische Daten: IP-Adresse, Browserkennung, Sitzungs- und Sicherheitsprotokolle;
• Nutzungs- und Abrechnungsdaten.

4. Zwecke und Rechtsgrundlagen

Wir verarbeiten Daten zur Bereitstellung und Absicherung des Portals, zur Vertragsdurchführung, zur Identitätsprüfung, zur Nachweisführung und zur Abrechnung. Rechtsgrundlagen sind – je nach Verarbeitung – Art. 6 Abs. 1 lit. b, c und f DSGVO. Soweit eine ausdrückliche Einwilligung eingeholt wird, gilt Art. 6 Abs. 1 lit. a DSGVO. Das berechtigte Interesse liegt insbesondere im sicheren, missbrauchsfreien Betrieb und in der Abwehr unberechtigter Zugriffe.

5. Empfänger und Hosting

Identitätsdaten werden der jeweils einladenden Organisation zugänglich gemacht. Für den technischen Betrieb setzen wir sorgfältig ausgewählte Dienstleister ein, insbesondere Hetzner für das Hosting, E-Mail-Dienstleister sowie Revolut für die Zahlungsabwicklung. Bei EU-Auslandskunden wird die angegebene USt-IdNr. zur steuerlichen Prüfung an das Mehrwertsteuer-Informationsaustauschsystem (VIES) der Europäischen Kommission übermittelt. Der Serverbetrieb erfolgt derzeit bei Hetzner innerhalb der Europäischen Union. Eine Weitergabe zu Werbezwecken findet nicht statt.

6. Speicherdauer

Daten werden nur so lange gespeichert, wie sie für den jeweiligen Zweck, gesetzliche Aufbewahrungspflichten oder die Verteidigung von Rechtsansprüchen erforderlich sind. Nicht abgeschlossene Einladungen werden nach Ablauf des Links zur Löschung vorgemerkt. Konkrete Löschfristen für Identitätsnachweise werden mit der einladenden Organisation im Auftragsverarbeitungsvertrag festgelegt.

7. Cookies und Protokolldaten

Das Portal verwendet ausschließlich technisch notwendige Sitzungs- und Sicherheitsmechanismen. Analyse-, Werbe- oder Profiling-Cookies werden nicht eingesetzt. Bei jedem Aufruf können technisch erforderliche Serverprotokolle entstehen.

7a. Schriftarten

Die Schriftart Inter wird ausschließlich lokal vom eigenen Server bereitgestellt. Beim Laden der Schriftart wird keine Verbindung zu Google Fonts oder einem anderen externen Schriftdienst hergestellt.

8. Sicherheit

Wir verwenden Transportverschlüsselung, Zugriffsbeschränkungen, sichere Passwort-Hashes, zeitlich begrenzte Links, Protokollierung sicherheitsrelevanter Ereignisse und weitere technische und organisatorische Maßnahmen. Kein Übertragungs- oder Speichersystem kann jedoch absolute Sicherheit garantieren.

9. Rechte betroffener Personen

Betroffene Personen haben nach Maßgabe der DSGVO Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Eine Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden. Anfragen können an support@nexora-digital-engineering.de gerichtet werden.

10. Beschwerderecht

Es besteht ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde. Für den Betreiber ist insbesondere das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) zuständig.

11. Auftragsverarbeitung

Organisationen, die das Portal für eigene Identitätsprüfungen einsetzen, müssen vor dem Produktivbetrieb eine Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO abschließen. Diese wird gesondert bereitgestellt.