Datenschutzerklärung

1. Einleitung

eIDAS Pro („wir“, „unser“ oder „uns“) ist dem Schutz Ihrer Privatsphäre und zur Gewährleistung der Sicherheit Ihrer personenbezogenen Daten verpflichtet. Diese Datenschutzerklärung erläutert, wie wir Informationen erfassen, verwenden, speichern und schützen, wenn Sie unsere Dienste zur digitalen Identitätsverifizierung nutzen.

Unser Dienst basiert auf den Grundsätzen von Privacy by Design (Datenschutz durch Technikgestaltung) und Datenminimierung und entspricht vollständig der Datenschutz-Grundverordnung (DSGVO) sowie der eIDAS-Verordnung.

2. Verantwortlicher

eIDAS Pro fungiert als Auftragsverarbeiter im Auftrag unserer Kunden (Verantwortliche), die unsere Verifizierungsdienste in ihre Anwendungen integrieren. Für die direkte Kommunikation mit eIDAS Pro (Website-Besuche, Support-Anfragen, Beratungen) ist eIDAS Pro der Verantwortliche.

Kontaktinformationen: E-Mail: support [at] eidas-pro.com LinkedIn: linkedin.com/company/eidas-pro

3. Von uns verarbeitete Informationen

3.1 Alters- und Identitätsverifizierung

Wenn sich jemand über unseren Dienst verifiziert, startet ein Händler eine Verifizierungssitzung, und die Person schließt sie mit einer der folgenden Methoden ab:

• Bankidentität (iDIN) über IDURA: Sie melden sich mit Ihrer eigenen Bank an. Unser Broker, IDURA, übermittelt uns ausschließlich, ob die Altersprüfung bestanden wurde. Wir erhalten eine technische Kennung Ihres Bank-Logins, die wir nur während der Prüfung der Antwort verwenden und niemals speichern. Wir erhalten niemals Ihren Namen, Ihre Adresse oder Ihr Geburtsdatum.
• EU-Brieftasche für die digitale Identität (EUDI-Wallet): Ihre Wallet gibt Ihr Geburtsdatum aus Ihren Personenidentifizierungsdaten weiter. Wir vergleichen es im Arbeitsspeicher mit dem erforderlichen Alter und verwerfen es anschließend; es wird niemals gespeichert.

Wir speichern eine Verifizierungssitzung (Händler, Verifizierungstyp, Methode, Status, das Ja/Nein-Ergebnis und Zeitstempel), während die Verifizierung läuft. Sitzungen laufen 15 Minuten nach ihrem Start ab und werden anschließend gelöscht.

Legt der Händler eine Länderbedingung fest, speichern wir nur, ob sie erfüllt wurde (ja oder nein), nie das Land selbst. Der Händler kann einer Sitzung eine pseudonyme Bestellreferenz (höchstens 64 Zeichen) beifügen; sie wird mit der Sitzung gelöscht und nicht in den Prüfprotokolleintrag übernommen.

Wir führen einen Verifizierungs-Prüfprotokolleintrag zu jedem Ergebnis: Händler, Sitzungsreferenz, Methode, Ergebnis, den Grund einer Ablehnung, Bearbeitungsdauer und, falls etwas fehlgeschlagen ist, die Art und Meldung des Fehlers. Er enthält keine IP-Adresse, keine Browser- oder Gerätekennung, keine Kennung, die Sie identifiziert, und kein Geburtsdatum.

3.2 Technische Daten

• Webserver-Protokolle: Unser Webserver erfasst die IP-Adresse, den Browser-User-Agent und die angeforderte URL jeder Anfrage, zu Sicherheits- und Fehlerbehebungszwecken.
• Ratenbegrenzung: Um Missbrauch zu verhindern, zählen wir Anfragen pro IP-Adresse in Ein-Minuten-Fenstern; die Zähler verfallen nach Ablauf des Fensters.
• Anwendungsprotokolle: Unsere Anwendungsprotokolle erfassen Dienstereignisse und Fehler; sie enthalten keine IP-Adressen und keine Kennung der verifizierenden Person.
• Fehlerüberwachung: Tritt in unserer Software ein Fehler auf, übermitteln wir ihn an Sentry. Wir senden weder IP-Adressen noch Anmeldedaten an Sentry; ein Fehlerbericht kann begrenzten technischen Kontext enthalten, etwa den Browsertyp und die Seitenadresse.
• Administrationskonsole: Unsere interne Administrationskonsole, die nur Mitarbeitenden von eIDAS Pro über ein privates Netzwerk zugänglich ist, speichert Anmeldeereignisse ihrer Administratoren 90 Tage lang und administrative Aktionen (zum Beispiel das Sperren eines Händlerkontos, die Gutschrift von Guthaben oder die Änderung der Sanktionsliste) 180 Tage lang. Diese Einträge enthalten die E-Mail-Adresse des Administrators, die Aktion und das betroffene Konto, jedoch keine IP-Adresse und keine Browserinformationen. Betrifft eine Aktion ein Händlerkonto, wird die Kennung des Händlerkontos mit gespeichert.

3.3 Website- und Marketingdaten

Wenn Sie unsere Website besuchen oder uns kontaktieren, verarbeiten wir gegebenenfalls:

• Kontaktinformationen (Name, E-Mail, Unternehmen), die Sie in Formulare eingeben
• Anonyme Nutzungsstatistiken über cookiefreie Analysen (Umami); keine IP-Adresse und kein Cookie identifiziert Sie
• Kommunikationsdaten (Support-Anfragen, Beratungsnotizen)

3.4 Kundenkontodaten

Für Händler, die unseren Dienst nutzen, verarbeiten wir Kontozugangsdaten, Rechnungsinformationen (verarbeitet durch Stripe; wir sehen niemals Kartendaten) und Nutzungsstatistiken (Anzahl der Verifizierungen, Fehlerquoten).

4. Warum wir Daten verarbeiten

• Dienstleistungserbringung: Durchführung von Verifizierungen für Händler und Verwaltung ihrer Konten.
• Sicherheit: Webserver-Protokolle und Ratenbegrenzung schützen den Dienst vor Missbrauch (berechtigtes Interesse).
• Nachweis der Dienstleistung: Der Verifizierungs-Prüfprotokolleintrag ermöglicht es einem Händler und uns, nachzuweisen, dass eine Verifizierung stattgefunden hat und was sie ergeben hat.
• Zuverlässigkeit: Die Fehlerüberwachung ermöglicht es uns, Fehler zu erkennen und zu beheben.
• Partnerprogramm: Anwendung eines Partnercode-Rabatts pro Unternehmen, Weitergabe des Namens Ihres Unternehmens, Ihres Tarifs und der gezahlten Beträge an den Partner, der Sie empfohlen hat, sowie Auszahlung und Buchführung für Partner (Einwilligung, Vertrag und berechtigtes Interesse; siehe Abschnitt 6.1).
• Kommunikation und Rechtskonformität: Beantwortung von Anfragen, Abrechnung und Erfüllung rechtlicher Verpflichtungen.

5. Aufbewahrung

Die 10-Jahres-Fristen ergeben sich aus Artikel 16 des luxemburgischen Handelsgesetzbuchs (Code de commerce), wonach Buchungsunterlagen (Rechnungen, Zahlungs-, Provisions- und Auszahlungsunterlagen) 10 Jahre ab dem Ende des Geschäftsjahres aufzubewahren sind, auf das sie sich beziehen. Sie gelten nur für diese Unterlagen; wenn Sie Ihr Konto schließen, werden alle übrigen Daten innerhalb von 30 Tagen gelöscht, ausgenommen Verifizierungs-Prüfprotokolleinträge, die bis zum Ablauf ihrer regulären Frist von 365 Tagen bestehen bleiben (sie enthalten keine Kennung der verifizierten Person). Unsere Richtlinie zur Datenaufbewahrung führt alle Fristen auf und erläutert, wie sie durchgesetzt werden.

6. Empfänger

Wir verkaufen keine personenbezogenen Daten. Wir geben sie ausschließlich weiter an:

• IDURA (Idura ApS, Dänemark), unser Identitätsbroker, und Bluem, der iDIN-Dienstleister, wenn Sie die Bankidentität wählen. Beide handeln für die von ihnen durchgeführte Identifizierung als eigenständige Verantwortliche; nach Angaben von IDURA wird die Prüfung über IDURA geleitet, ohne dort gespeichert zu werden. Ihre Bank verarbeitet Ihre Anmeldung als eigenständiger Verantwortlicher.
• Hosting: Macronet (macronet.hu) hostet unsere Server in Ungarn.
• Datenbank: Supabase Pte. Ltd. (Singapur); die Datenbank wird in Frankfurt am Main, Deutschland, gespeichert.
• E-Mail: Resend (Plus Five Five, Inc., USA), für Konto- und Servicebenachrichtigungen sowie Newsletter; Resend speichert Kontodaten und Protokolle in den USA.
• Fehlerüberwachung: Sentry (Functional Software, Inc., USA); Fehlerberichte werden in Frankfurt am Main, Deutschland, gespeichert.
• Analyse: Umami, von uns selbst gehostet; cookiefrei.
• Schutz vor Bots: Cloudflare Turnstile (Cloudflare, Inc., USA) prüft unsere Website-Formulare und die öffentliche Demo auf automatisierten Missbrauch und verarbeitet dabei Ihre IP-Adresse und Browsermerkmale. Für diese Merkmale handelt Cloudflare zusätzlich als eigenständiger Verantwortlicher nach seinen eigenen Bedingungen.
• Zahlungen: Stripe (Stripe Payments Europe, Limited, Irland), für die Abonnementabrechnung.
• Behörden, sofern gesetzlich vorgeschrieben.
• Partner, wie in Abschnitt 6.1 beschrieben.

6.1 Partnerprogramm

• Händler: Wird ein Partnercode verwendet, geben wir den Namen Ihres Unternehmens, Ihren Tarif und die von Ihnen gezahlten Beträge an den Partner weiter, der Sie empfohlen hat, solange dieser Partner eine Provision auf Ihr Abonnement erhält (höchstens 12 Monate). Rechtsgrundlage sind die Einwilligung, die Sie bei der Eingabe des Codes erteilen, und der Vertrag.
• Ein Rabatt pro Unternehmen: Wir speichern die Umsatzsteuer- und Handelsregisternummern, die Shop-Domain und einen von Stripe bereitgestellten Karten-Fingerabdruck (ein Token, keine Kartendaten). Diese werden kontenübergreifend abgeglichen, um einen Rabatt pro Unternehmen zu gewähren. Rechtsgrundlage ist unser berechtigtes Interesse an der Verhinderung von Rabattmissbrauch.
• Partner und Bewerber: Wir bewahren Kontakt- und Unternehmensdaten, IBAN und Auszahlungsunterlagen für die Dauer der Partnerschaft und danach als Buchungsunterlagen 10 Jahre lang auf. Abgelehnte Bewerbungen werden 12 Monate nach der Entscheidung gelöscht. Bewerbungen, über die wir noch nicht entschieden haben, bewahren wir bis zur Entscheidung auf; sie werden nicht automatisch gelöscht.
• Provisionsunterlagen: werden 10 Jahre lang aufbewahrt (Aufbewahrungspflicht für Buchungsunterlagen).

7. Für API-Kunden (B2B)

Was das bedeutet – Sie benötigen weiterhin:

• Eine Datenschutzerklärung, die die Nutzung der eIDAS-Verifizierung offenlegt
• Eine Aufbewahrungsrichtlinie für Verifizierungsprotokolle (wir empfehlen 30–90 Tage)
• Löschverfahren für nicht mehr benötigte Daten
• Bearbeitung von Betroffenenanfragen (Auskunfts-, Löschanfragen)
• Grundlegende Sicherheitsmaßnahmen für gespeicherte Verifizierungsergebnisse

Was Sie NICHT benötigen:

• Verarbeitung besonderer Kategorien personenbezogener Daten (keine biometrischen Daten gespeichert)
• Sicherheitsinfrastruktur für die Dokumentenspeicherung
• Prozesse zur Aufbewahrung und Schwärzung von Bildern

8. Ihre Rechte gemäß DSGVO

Sie haben das Recht auf:

• Auskunft: Anforderung einer Kopie der bei uns gespeicherten personenbezogenen Daten
• Berichtigung: Korrektur unrichtiger oder unvollständiger Daten
• Löschung („Recht auf Vergessenwerden“): Beantragung der Löschung Ihrer personenbezogenen Daten
• Einschränkung der Verarbeitung: Einschränkung der Verarbeitung Ihrer Daten
• Datenübertragbarkeit: Erhalt Ihrer Daten in einem maschinenlesbaren Format
• Widerspruch: Widerspruch gegen Direktwerbung oder bestimmte Verarbeitungen
• Beschwerde: Beschwerde bei Ihrer nationalen Datenschutzaufsichtsbehörde

Um diese Rechte auszuüben, kontaktieren Sie uns unter support [at] eidas-pro.com. Wir antworten innerhalb von 30 Tagen.

8.1 Widerruf Ihrer Einwilligung

Soweit wir uns auf Ihre Einwilligung stützen, etwa um Ihre Unternehmensdaten an den Partner weiterzugeben, der Sie empfohlen hat, um Ihre Partnerbewerbung zu prüfen oder um Ihnen Produktneuigkeiten zu senden, können Sie diese jederzeit widerrufen. Senden Sie dazu eine E-Mail an support [at] eidas-pro.com mit dem Betreff „Widerruf der Einwilligung“ und geben Sie an, welche Einwilligung Sie widerrufen; Marketing-E-Mails können Sie außerdem über den Abmeldelink in jeder Nachricht abbestellen. Wir stellen dann die Verarbeitung ein, die auf dieser Einwilligung beruhte. Der Widerruf berührt nicht die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung (Artikel 7 Absatz 3 DSGVO). Daten, die wir aufgrund einer anderen Rechtsgrundlage aufbewahren müssen, etwa Buchungsunterlagen, bewahren wir nur noch zu diesem Zweck auf.

9. Sicherheitsmaßnahmen

• Verschlüsselte Übertragung (TLS) für alle Verbindungen
• Ratenbegrenzung gegen Missbrauch
• Meldung von Datenschutzverletzungen an die Aufsichtsbehörde innerhalb von 72 Stunden, sofern erforderlich

10. Cookies

• Verifizierungssitzungs-Cookie (eidas_vs): verknüpft Ihren Browser mit der von Ihnen gestarteten Verifizierung; technisch notwendig; läuft nach 15 Minuten ab.
• Sitzungs- und Präferenz-Cookies auf unserer Website und in unseren Dashboards: halten Sie angemeldet und merken sich Ihre Einstellungen.
• Analyse: Umami ist cookiefrei.

Wir verwenden keine Werbe-Cookies und kein Verhaltens-Tracking.

Einige Bilder auf dieser Website, einschließlich der Hintergrundvideos im Hero-Bereich, sind KI-generiert.

11. Internationale Datenübermittlungen

Unsere Server und Datenbank-Backups (Ungarn), unsere Datenbank (Supabase, gespeichert in Frankfurt am Main, Deutschland) und unsere Analyse (selbst gehostet) befinden sich in der EU. IDURA (Idura ApS) ist in Dänemark niedergelassen. Einige Anbieter sind außerhalb des EWR niedergelassen oder können von außerhalb des EWR auf Daten zugreifen:

• Supabase (Supabase Pte. Ltd., Singapur) und sein US-Schwesterunternehmen können von Singapur und den USA aus auf die Datenbank zugreifen. Garantie: EU-Standardvertragsklauseln (Supabase ist nicht unter dem EU-US-Datenschutzrahmen zertifiziert).
• Resend (Plus Five Five, Inc.) speichert Kontodaten und E-Mail-Protokolle in den USA; E-Mails werden über eine Versandregion in der EU verschickt. Garantie: EU-US-Datenschutzrahmen und EU-Standardvertragsklauseln.
• Sentry (Functional Software, Inc.) speichert Fehlerberichte in Frankfurt am Main, Deutschland, und kann aus den USA darauf zugreifen. Garantie: EU-US-Datenschutzrahmen, hilfsweise EU-Standardvertragsklauseln.
• Stripe schließt Verträge mit EU-Kunden über die Stripe Payments Europe, Limited (Irland) ab und übermittelt Daten an die Stripe, LLC in den USA. Garantie: EU-US-Datenschutzrahmen, hilfsweise EU-Standardvertragsklauseln.
• Cloudflare (Cloudflare, Inc.) betreibt Turnstile in seinem weltweiten Netzwerk. Garantie: EU-US-Datenschutzrahmen, hilfsweise EU-Standardvertragsklauseln.

Auf unserer Seite Unterauftragsverarbeiter finden Sie alle Anbieter, die von ihnen verarbeiteten Daten und ihren Speicherort.

12. Minderjährige

Die Altersverifizierung dient dazu, Minderjährige abweisen zu können. Versucht eine minderjährige Person, sich zu verifizieren, wird der Versuch wie jeder andere verarbeitet: Das Ergebnis ist eine Ablehnung, und wir speichern nichts, das sie identifiziert.

13. Änderungen dieser Datenschutzerklärung

Wir können diese Datenschutzerklärung aktualisieren, um Änderungen unserer Praktiken oder rechtlichen Anforderungen widerzuspiegeln. Wesentliche Änderungen werden kommuniziert über:

• E-Mail-Benachrichtigung an registrierte Nutzer
• deutlichen Hinweis auf unserer Website
• das aktualisierte Datum „Zuletzt aktualisiert“ am Anfang dieser Datenschutzerklärung

Die fortgesetzte Nutzung unserer Dienste nach Änderungen gilt als Zustimmung zur aktualisierten Datenschutzerklärung.

14. Kontakt

Für datenschutzbezogene Fragen, Anfragen oder Anliegen:

E-Mail: support [at] eidas-pro.com Betreffzeile: Datenschutzanfrage - [Art Ihrer Anfrage] Antwortzeit: Innerhalb von 30 Tagen (gemäß DSGVO)

Für dringende Sicherheitsangelegenheiten verwenden Sie bitte die Betreffzeile „DRINGEND: Sicherheitsproblem“; wir antworten innerhalb von 24 Stunden.