DSGVO-Leitfaden zur Einhaltung der Vorschriften

Einhaltung gesetzlicher Bestimmungen · DSGVO

Jedes Recht der betroffenen Person wird nicht nur in einer Richtlinie festgehalten, sondern auch operativ unterstützt.

Biometrische Daten und Ausweisdokumente fallen unter Artikel 9 der DSGVO und stellen die am strengsten regulierte Datenkategorie im EU-Recht dar. Shufti verarbeitet diese Daten auf dokumentierter Rechtsgrundlage, speichert sie nur so lange, wie Sie es konfigurieren, und unterstützt operativ alle Rechte Ihrer Nutzer als betroffene Personen. Die Shufti-Datenverarbeitungsvereinbarung gemäß DSGVO ist Bestandteil des Standard-Unternehmensvertrags und keine optionale Zusatzvereinbarung.

Demo anfordern Kontakt

Was die DSGVO umfasst

Die DSGVO gilt für alle Organisationen, die personenbezogene Daten von EU-Bürgern verarbeiten. Sie unterscheidet zwischen Standarddaten und besonderen Kategorien personenbezogener Daten, für die jeweils unterschiedliche Pflichten gelten. Für Anbieter von Identitätsprüfungen ist diese Unterscheidung von entscheidender Bedeutung.

Standard-personenbezogene Daten

Name, E-Mail-Adresse, Telefonnummer und IP-Adresse unterliegen den Bestimmungen der DSGVO (Artikel 5 und 6). Die Verarbeitung erfordert eine Rechtsgrundlage, angemessene Sicherheitsmaßnahmen und die Wahrung der Rechte der betroffenen Personen. Die meisten SaaS-Plattformen fallen unter diese Kategorie.

Artikel 9 Daten besonderer Kategorie

Biometrische Daten zur eindeutigen Identifizierung einer Person, Gesichtsbilder und Daten aus Ausweisdokumenten fallen unter die strengsten DSGVO-Bestimmungen. Sie erfordern eine ausdrückliche Einwilligung oder eine rechtliche Verpflichtung als Verarbeitungsgrundlage, strengere Sicherheitsvorkehrungen, die obligatorische Datenminimierung, die uneingeschränkte Wahrung der Rechte der betroffenen Personen sowie eine dokumentierte Datenschutzvereinbarung vor Beginn der Verarbeitung.

Warum es wichtig ist

Die Aufsichtsbehörden – die italienische Garante, die irische DPC und die französische CNIL – haben gezielt digitale Onboarding-Prozesse untersucht, bei denen Verifizierungsanbieter biometrische Daten über das notwendige Maß hinaus speicherten, keine dokumentierte Rechtsgrundlage für die Datenverarbeitung vorweisen konnten oder die Rechte der betroffenen Personen nicht operativ gewährleisten konnten. Gegen die Unternehmen, die mit diesen Anbietern Verträge abgeschlossen hatten, wurden daraufhin Durchsetzungsmaßnahmen eingeleitet.

Wenn ein Nutzer sein Recht auf Löschung ausübt

Ihr Team muss dies operativ umsetzen, nicht nur bestätigen. Mit der API und der Administrationskonsole von Shufti können Sie die Löschung einzelner Verifizierungsdatensätze auslösen und erhalten eine Löschbestätigung als Prüfnachweis.

1.2 Mrd. EUR+

DSGVO-Strafen für 2023–2024, insbesondere im Hinblick auf biometrische Daten in Onboarding-Prozessen. Die Haftung liegt beim Verantwortlichen, also bei Ihnen. Mit Shuftis Datenschutz- und Löschfunktionen minimieren Sie dieses Risiko.

Wie Shufti die IT aufrechterhält

Das DSGVO-konforme Dokumentationspaket von Shufti umfasst: die nach Artikel 28 DSGVO erstellte Auftragsverarbeitungsvereinbarung, das Unterauftragsverarbeiterverzeichnis (das innerhalb von 30 Tagen nach jeder Änderung aktualisiert wird), die Richtlinie zur Datenaufbewahrung und -löschung sowie die technische Dokumentation zur operativen Umsetzung der Rechte betroffener Personen. Alle Dokumente sind auf Anfrage vor Vertragsabschluss erhältlich.

Daten von EU-Bürgern werden auf EU-Infrastruktur verarbeitet. Daten von Einwohnern des Vereinigten Königreichs werden gemäß der britischen DSGVO verarbeitet. Für Datenflüsse außerhalb der EU stehen regionale Implementierungen in den USA und im asiatisch-pazifischen Raum zur Verfügung.

Details zur Zertifizierung

Rechtliche Grundlage

DSGVO Artikel 28 (Auftragsverarbeiter); Artikel 9(2)(a) oder 9(2)(b) Rechtsgrundlage für die Verarbeitung, die vom Verantwortlichen festgelegt wird.

Standardmäßig enthalten

DSGVO-konforme Datenschutzvereinbarung in jedem Unternehmensvertrag, keine separate Verhandlung erforderlich.

Datenresidenz

EU-Infrastruktur für EU-Transaktionen; regionale Optionen für Großbritannien, die USA und den asiatisch-pazifischen Raum verfügbar.

Betroffenenrechte

Löschung, Zugriff und Portabilität werden über API und Administrationskonsole mit Bestätigung durch Audit-Log unterstützt.

Was dich erwartet

Datenschutzvereinbarung, Unterauftragnehmerregister, Aufbewahrungsrichtlinie und Löschdokumentation sind vor Vertragsabschluss verfügbar.