Datenschutzhinweise
1. PRÄAMBEL
Die angebotenen Identifizierungsverfahren Face-Ident, eID-Service und Video-Ident werden von der S-Markt & Mehrwert GmbH & Co. KG im Auftrag Ihrer Sparkasse, deren Verbundpartner (z. B. LBS, DekaBank) oder Landesbank und deren Partner bereitgestellt. Personenbezogene Daten, die Sie im Rahmen dieser Verfahren beim Besuch der Webseite der S-Markt & Mehrwert GmbH & Co. KG mitteilen, werden gemäß den Vorgaben der EU-Datenschutzgrundverordnung (DSGVO) und des Bundesdatenschutzgesetzes (BDSG) sowie anderen gesetzlichen Bestimmungen, die für den elektronischen Geschäftsverkehr gelten sowie nach Vorgaben der zuständigen Aufsichtsbehörden verarbeitet.
Personenbezogene Daten, die Sie im Rahmen der Identitätsprüfung Ihrer Sparkasse, deren Verbundpartner (z. B. LBS, DekaBank) oder Landesbank und deren Partner beim Besuch dieser Webseite der S-Markt & Mehrwert GmbH & Co. KG mitteilen, werden gemäß den Vorgaben der EU-Datenschutzgrundverordnung (DSGVO) und des Bundesdatenschutzgesetzes (BDSG) und anderen gesetzlichen Bestimmungen, die für den elektronischen Geschäftsverkehr gelten sowie nach Vorgaben der zuständigen Aufsichtsbehörden verarbeitet.
Die verantwortliche Stelle gemäß Art. 4, Abs. 7 der DSGVO für die Erhebung, Verarbeitung, Speicherung der personenbezogenen Daten im Zusammenhang mit dem beschriebenen Prozess ist Ihr jeweiliger Vertragspartner (Sparkasse, Verbundpartner (z. B. LBS, DekaBank), Landesbank und deren Partner).
Wenn Sie mit der beschriebenen Datenverarbeitung nicht einverstanden sind und der Verarbeitung ganz oder teilweise widersprechen, ist eine Identifizierung mit den jeweiligen Verfahren nicht möglich. In diesem Fall stehen Ihnen alternative Verfahren (z. B. Identifizierung durch den Berater in der Filiale Ihrer Sparkasse) zur Verfügung.
Die Datenschutzhinweise umfassen mehrere Verfahren (eID-Service, Face-Ident, Video-Ident). Die Verfahren sind im Nachgang separat aufgeschlüsselt.
2. ART DER DATEN UND DEREN VERARBEITUNG
Der Rahmen der Datenerhebung gliedert sich in einen gesetzlich notwendigen Teil und einen Teil, der auf Basis Ihrer Einwilligung im jeweiligen Prozess erfolgt. Wie diese für die einzelnen Verfahren untergliedert sind, entnehmen Sie bitte der Verarbeitungstabelle unter Punkt 12.
3. DIE IDENTIFIZIERUNGSVERFAHREN
a. eID-Service – AusweisApp Bund & AUTHADA
Über die Dienstleistung ist es möglich, Daten, welche auf dem Chip des neuen deutschen Personalausweises bzw. elektronischem Aufenthaltstitel und der EU-Bürgerkarte(und ggf. zukünftig weitere Ausweisdokumente) hoheitlich gespeichert sind, über eine NFC-Schnittstelle per Smartphone oder Tablet auszulesen. Hierfür greift die S-Markt & Mehrwert je nach Use-Case auf zwei verschiedene Dienstleister zurück. Der Ausleseprozess wird über die AUTHADA-eigene App oder der AusweisApp Bund (Anbieter GovernikusGmbH & Co. KG) bzw. eine App, in der die entsprechenden SDKs (Software-Development-Kits) der AUTHADA GmbH und von Governikus integriert sind, initiiert. Um die Daten vom Chip des Ausweises auszulesen muss der Nutzer seine zum Ausweisdokument gehörige persönliche PIN in der App eingeben.
Bei Nutzung der AUTHADA-App, kann zusätzlich die Foto-Anfertigung aktiviert werden. Sie müssen in diesem Kontext nach dem Auslesen des Ausweisdokuments Fotos von der Ausweisvorder- und Ausweisrückseite anfertigen, wobei via OCR-Verfahren zusätzliche Daten ausgelesen werden, die nicht auf dem CHIP gespeichert sind (Ausweisnummer, ausstellende Behörde, Ausstellungsdatum). Bei Nutzung der AusweisApp Bund können aufgrund der fehlenden Fotolibrary keine Ausweisfotos angefertigt werden. Hier werden diese zusätzlichen Daten nicht erhoben.
b. Face-Ident
Face-Ident bietet ein digitales Verfahren zur teilautomatisierten Identitätsprüfung, bei dem Nutzer mithilfe modernster KI-Technologie zuverlässig identifiziert werden. Eine Reihe von AlgorithmusNetzwerken nimmt die Überprüfung des Ausweisdokuments vor, indem sie statische und dynamische Sicherheitsmerkmale sowie die Übereinstimmung mit dem Gesicht und die Erkennung der Lebendigkeit des zu identifizierenden Nutzers prüft.
Im ersten Schritt wird die Echtheit des Ausweises überprüft. Dafür fertigt der Nutzer in der IDnow AutoIdent App Fotos der Vorder- und Rückseite Ihres Personalausweises oder Reisepasses an. Es werden alle relevanten Informationen aus dem Dokument ausgelesen und statische Sicherheitsprüfungen durchgeführt. In einem weiteren Schritt wird der Nutzer aufgefordert den Ausweis zu kippen, sodass die Hologramme sichtbar werden. Mit Hilfe dieser videobasierten Echtzeitanalyse werden die authentischen Sicherheitsmerkmale erkannt und geprüft.
Wir überprüfen, ob der Ausweis der Person gehört, die sich damit ausweist. Dabei werden die Gesichtszüge der Person mit dem biometrischen Foto auf dem Personalausweis oder Reisepass verglichen. Dies funktioniert automatisiert mit Hilfe von Gesichtserkennung durch einen Selfie-Check. Der Nutzer muss eine Bewegung für ein Video-Selfie ausführen (3D FaceMap). Dabei wird seine aktive Anwesenheit, durch ein Blinzeln oder eine Gesichtsbewegungen, erkannt.
In der GwG-konformen Variante von Face-Ident wird das Verfahren um eine qualifizierte elektronische Signatur und eine 1-Cent-Referenzüberweisung erweitert.
c. Video-Ident
Bei Video-Ident sprechen Sie mit einem echten Servicemitarbeiter, der Ihre Identität mittels Video-Chat überprüft. Dieser leitet Sie durch den kompletten Prozess und stellt zur Betrugsprävention spezielle Fragen und erteilt Anweisungen, denen Sie Folge leisten müssen, damit die Identifizierung erfolgreich abgeschlossen werden kann. Dabei prüft der Agent Ihr Dokument auf Echtheit und wird Sie bitten entsprechende Handlungen durchzuführen, die im Rahmen der Sorgfaltspflicht vorgeschrieben sind. Achten Sie bitte auf eine stabile Internetverbindung (vorzugsweise WLAN-Verbindung) und einen gut ausgeleuchteten Raum, damit die Legitimation reibungslos verläuft. Andernfalls wird die Videolegitimation abgebrochen und der Vorgang muss erneut gestartet werden.
4. ZWECKBINDUNG
Sämtliche o. g. und im Rahmen der Online-Ident-Verfahren angefallenen personenbezogenen Daten werden im Auftrag Ihrer Sparkasse, deren Verbundpartner (z.B. LBS, DekaBank) oder Landesbank und deren Partner ausschließlich zur Identifizierung Ihrer Person nach den hierfür jeweils geltenden gesetzlichen und bankaufsichtsrechtlichen Vorgaben verwendet (erhoben, verarbeitet und genutzt). Zu den Verwendungszwecken sind die Sparkassen, deren Verbundpartner (z. B. LBS, DekaBank) oder Landesbank und deren Partner aufgrund diverser gesetzlicher Anforderungen (z.B. Kreditwesengesetz, Geldwäschegesetz, Wertpapierhandelsgesetz, Steuergesetze) sowie aufgrund sparkassenaufsichtsrechtlicher Vorgaben (z.B. der Europäischen Zentralbank, der Europäischen Sparkassenaufsicht, der Deutschen Bundesbank und der Bundesanstalt für Finanzdienstleistungsaufsicht) verpflichtet. Die Verarbeitung erfolgt deshalb aufgrund gesetzlicher Vorgaben (Art. 6 Abs.1 Buchst. c DSGVO) und darüber hinaus nur, soweit von Sie eine Einwilligung zur Datenverarbeitung erteilt haben (Art. 6 Abs. 1 Buchst. a DSGVO). Soweit in diesen Datenschutzhinweisen nicht anders spezifiziert, werden die Daten nicht an Dritte weitergegeben, es sei denn, es besteht eine gesetzliche Pflicht hierzu. Bei Verdacht auf Missbrauch, insbesondere bei Verdacht einer strafbaren Handlung behalten wir uns vor, die o. g. erforderlichen Daten inklusive IP-Adresse dauerhaft zu speichern und den Strafverfolgungsbehörden zu übermitteln. Die Mitarbeiter der S-Markt & Mehrwert GmbH & Co. KG sind zur Verschwiegenheit und zur Wahrung des Bank- und Datengeheimnisses verpflichtet.
Kommt es zum Abbruch des Prozesses werden die bis dahin erhobenen Daten nach Wegfall des Zwecks gelöscht. Insofern Ihr Internet-Browser so konfiguriert ist, dass Formulardaten gespeichert werden, kann dies dazu führen, dass die Eingabefelder bei der Anmeldung für einen bestimmten Zeitraum befüllt bleiben. Um dies zu vermeiden, leeren Sie bitte den Speicher Ihres Internet-Browsers.
5. EINWILLIGUNG
Soweit Sie für die beschriebene Datenverarbeitung eine Einwilligung erteilt haben, kann diese Einwilligung jederzeit widerrufen werden. Bitte beachten Sie, dass der Widerruf erst für die Zukunft wirkt. Verarbeitungen, die vor dem Widerruf erfolgt sind, sind davon nicht betroffen.
6. LÖSCHUNG IHRER DATEN
Die im Rahmen der Identifizierung erhobenen Daten des Ausweisdokuments werden direkt nach der Übermittlung an die S-Markt & Mehrwert GmbH & Co. KG von den Servern der jeweiligen Partnerunternehmen (siehe 7. Weitergabe und Hosting) gelöscht. Die bei der S-Markt & Mehrwert erhobenen Daten werden nach Erreichen des Zwecks und Übergabe an die betreffende Sparkasse, deren Verbundpartner (z. B. LBS, DekaBank) oder Landesbank und deren Partner in den Systemen der S-Markt & Mehrwert gelöscht. Das jeweilige Institut speichert die Daten gemäß gesetzlicher Vorgaben.
7. WEITERGABE UND HOSTING
Soweit im Rahmen des Vertragsabschlusses und der Vertragserfüllung notwendig, geben wir die Daten an die jeweiligen Vertragspartner (Sparkasse, deren Verbundpartner (z. B. LBS, DekaBank) oder Landesbank und deren Partner) zur Erfüllung der unter 4. genannten Zweckbestimmungen weiter. Zur technischen Umsetzung der jeweiligen Verfahren kooperieren wir mit nachfolgenden Anbietern im Rahmen einer Datenverarbeitung im Auftrag:
a. eID-Service – AusweisApp Bund
Im Rahmen des eID-Service mit der AusweisApp Bund kooperieren wir mit der Governikus GmbH & Co. KG, Hochschulring 4, 28359 Bremen, also Herausgeber der AusweisApp Bund, sowie der D-Trust GmbH, Kommandantenstraße 15, 10969 Berlin, als zertifizierter Vertrauensdiensteanbieter.
Sowohl die Governikus GmbH & Co. KG als auch die D-Trust-GmbH erfüllen alle Anforderungen an den Datenschutz und die Datensicherheit. Die technische Umsetzung findet ausschließlich auf Servern auf dem Gebiet der Bundesrepublik Deutschland statt. Details zum Datenschutz im Rahmen der Dienstleistung von Governikus finden Sie unter https://www.ausweisapp.bund.de/datenschutz bzw. im Rahmen der Identifizierungsdienstleistung in der AusweisApp Bund.
b. eID-Service – AUTHADA App
Im Rahmen des eID-Service mit der AUTHADA App kooperieren wir mit dem Systemanbieter AUTHADA GmbH, Julius-Reiber-Straße 15a, 64293 Darmstadt.
Die AUTHADA GmbH erfüllt alle Anforderungen an den Datenschutz und die Datensicherheit. Die technische Umsetzung findet ausschließlich auf Servern auf dem Gebiet der Bundesrepublik Deutschland statt. Details zum Datenschutz im Rahmen der Dienstleistung von AUTHADA finden Sie unter https://authada.de/app-privacy bzw. im Rahmen der Identifizierungsdienstleistung in der AUTHADA App.
c. Face-Ident – IDnow AutoIdent App
Im Rahmen des Face-Ident-Verfahrens arbeiten wir mit unserem Partner, dem IT-Systemanbieter IDnow GmbH, Auenstraße 100, 80469 München, Deutschland zusammen. Die IDnow GmbH erfüllt alle Anforderungen an den Datenschutz und die Datensicherheit. Die technische Umsetzung findet aus-schließlich auf Servern auf dem Gebiet der Bundesrepublik Deutschland statt.
Details zum Datenschutz im Rahmen der Dienstleistung von IDnow finden Sie online unter https://www.idnow.io/de/datenschutzerklaerung/ oder im Rahmen der Identifizierungsdienstleistung in der IDnow AutoIdent App.
Die IDnow GmbH arbeitet im Rahmen der Zertifikatserstellung mit dem Vertrauensdiensteanbieter Namirial S.p.A., Via Caduti sul Lavoro n. 4, 60019 Senigallia (An), Italien, zusammen.
Die IDnow GmbH arbeitet im Rahmen der Referenzüberweisung mit dem BaFin-regulierten Bankdienstleister Tink Germany GmbH, Gottfried-Keller-Str. 33, 81245 München, Deutschland, zusammen.
d. Video-Ident – IDnow Online-Ident App
Zur technischen Umsetzung kooperieren wir mit dem IT-Systemanbieter IDnow GmbH, Auenstraße 100, 80469 München, Deutschland zusammen. Die IDnow GmbH erfüllt alle Anforderungen an den Da-tenschutz und die Datensicherheit. Die technische Umsetzung findet ausschließlich auf Servern auf dem Gebiet der Bundesrepublik Deutschland statt.
Details zum Datenschutz im Rahmen der Dienstleistung von IDnow finden Sie online unter https://www.idnow.io/de/datenschutzerklaerung/ oder im Rahmen der Identifizierungsdienstleistung in der IDnow Online-Ident App.
e. eSign – elektronische Vertragsunterzeichnung
Die technische Umsetzung findet ausschließlich auf Servern auf dem Gebiet der Europäischen Union statt. Zur technischen Umsetzung kooperiert S-Markt & Mehrwert GmbH & Co. KG mit dem IT-Systemanbieter IDnow GmbH, Auenstraße 100, 80469 München. IDnow GmbH erfüllt alle Anforderungen an den Datenschutz und die Datensicherheit. Die IDnow GmbH arbeitet im Rahmen der Zertifikatserstellung mit dem Vertrauensdiensteanbieter Namirial S.p.A., Via Caduti sul Lavoro n. 4, 60019 Senigallia (An), Italien, zusammen.
8. SICHERHEIT
a. eID-Service – AusweissApp Bund & AUTHADA App
Der eID-Service erfolgt auf der Grundlage aktueller Sicherheitsstandards (sicherer IT-Betrieb nach ISO 27001).
Es werden dem Stand der Technik entsprechende technische und organisatorische Sicherheitsmaßnahmen eingesetzt, um den eID-Service und die darin verarbeiteten personenbezogenen Daten gegen zufällige oder vorsätzliche Manipulationen, Verlust, Zerstörung oder gegen den Zugriff unberechtigter Personen zu schützen. Beispielsweise sind sämtliche Kommunikationskanäle zwischen dem Ausweischip und der S-Markt & Mehrwert GmbH & Co. KG entsprechend dem Stand der Technik mit sicherheitstechnisch geeigneten Transport Layer Security (TLS) Mechanismen geschützt. Außerdem werden die eingesetzten Sicherheitsmaßnahmen entsprechend der technologischen Entwicklung fortlaufend überwacht und verbessert.
b. Face-Ident – IDnow AutoIdent App
Face-Ident erfolgt auf der Grundlage aktueller Sicherheitsstandards (sicherer IT-Betrieb nach ISO 27001).
Es werden dem Stand der Technik entsprechende technische und organisatorische Sicherheitsmaßnahmen eingesetzt, um Face-Ident und die darin verarbeiteten personenbezogenen Daten gegen zufällige oder vorsätzliche Manipulationen, Verlust, Zerstörung oder gegen den Zugriff unberechtigter Personen zu schützen. Die eingesetzten Sicherheitsmaßnahmen werden entsprechend der technologischen Entwicklung fortlaufend überwacht und verbessert.
c. Video-Ident – IDnow Online-Ident App
Video-Ident erfolgt auf der Grundlage aktueller Sicherheitsstandards (sicherer IT-Betrieb nach ISO 27001).
Es findet eine komplette Verschlüsselung im Rahmen des Video-Ident-Verfahrens statt. Zum Nachweis, dass das Gespräch in Echtzeit geführt worden ist, erhalten Sie zum Ende des Legitimationsvor-gangs eine Transaktionsnummer (TAN) an die von Ihnen auf der Startseite angegebene Mobiltelefonnummer oder E-Mail-Adresse. Der TAN-Versand per SMS bietet mehr Sicherheit und sollte daher vorrangig genutzt werden. Der TAN-Versand per E-Mail ist nur dafür gedacht, falls Ihnen ein SMS-Empfang nicht möglich ist und Sie sich dennoch per Video identifizieren möchten.
Die korrekte Eingabe der TAN ist für die rechtssichere Durchführung Ihrer Legitimation per
Video-Ident unabdingbar.
d. eSign – elektronische Vertragsunterzeichnung
Es findet eine komplette Verschlüsselung im Rahmen des Video-Ident-Verfahrens statt. Zum Nachweis, dass das Gespräch in Echtzeit geführt worden ist, erhalten Sie zum Ende des Legitimations- und Signaturvorgangs einen Ident-Code an die von Ihnen auf der Startseite angegebene Mobiltelefonnummer. Nach Bestätigung der AGB der Namirial S.p.A. sowie der Kenntnisnahme der Inhalte der dargestellten Dokumente werden Sie aufgefordert, den 6-stelligen Ident-Code einzugeben. Mit Eingabe des Ident-Codes bestätigen Sie die Richtigkeit der im Video-Ident erhobenen und geprüften Daten sowie die Weiterleitung der Daten an den Vertrauensdiensteanbieter zur Anbringung der qualifizierten elektronischen Signatur auf den vorher angezeigten PDF-Dokumenten.
9. BETROFFENENRECHTE
Als Betroffener haben Sie gemäß DSGVO folgende Rechte:
- Recht auf Auskunft nach Art. 15 DSGVO
- Recht auf Berichtigung nach Art. 16 DSGVO
- Recht auf Löschung nach Art. 17 DSGVO
- Recht auf Einschränkung der Verarbeitung nach Art. 18 DSGVO
- Recht auf Datenübertragbarkeit nach Art. 20 DSGVO
- Recht auf Widerspruch nach Art. 21 DSGVO (Legen Sie Widerspruch ein, werden wir Ihre personenbezogenen Daten nur weiterverarbeiten, soweit wir dafür zwingende berechtigte Gründe nachweisen können, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder soweit die Verarbeitung der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen dient)
- Beschwerderecht bei einer Datenschutzaufsichtsbehörde nach Art. 77 DSGVO i.V.m. § 19 BDSG.
Beim Auskunftsrecht und beim Löschungsbegehren gelten die Einschränkungen nach § 34 und § 35 BDSG.
10. RECHTSGRUNDLAGE DER VERARBEITUNG
- Ihre Einwilligung in Datenverarbeitung stellt die Rechtsgrundlage für die Verarbeitung dar (Art. 6 Abs. 1 Buchst. a DSGVO).
- Für eine Verarbeitung personenbezogener Daten für die Zwecke der Anbahnung oder der Erfüllung eines Vertrages mit Ihnen ist Art. 6 Abs. 1 Buchst. b DSGVO die Rechtsgrundlage.
- Soweit die Verarbeitung Ihrer personenbezogenen Daten zur Erfüllung von rechtlichen Verpflichtungen (z. B. zur Aufbewahrung von Daten) erforderlich ist, ist Ihre Sparkasse dazu gemäß Art. 6 Abs. 1 Buchst. c DSGVO befugt.
- Außerdem verarbeitet Ihre Sparkasse per-sonenbezogene Daten zu Zwecken der Wahrnehmung ihrer berechtigten Interessen sowie berechtigter Interessen Dritter gemäß Art. 6 Abs. 1 Buchst. f DSGVO. Die Erhaltung der Funktionsfähigkeit der IT-Systeme, aber auch die Vermarktung sparkasseneigener wie auch fremder Produkte bzw. Dienstleistungen und die rechtlich gebotene Dokumentation von Geschäftskontakten sind solche berechtigten Interessen. Im Rahmen der jeweils erforderlichen Interessenabwägung werden insbesondere die Art der personenbezogenen Daten, der Verarbeitungszweck, die Verarbeitungsumstände und Ihr Interesse an der Vertraulichkeit Ihrer personenbezogenen Daten berücksichtigt.
11. AUSKUNFTSRECHT DATENSCHUTZBEAUFTRAGTER
Nach DSGVO und BDSG haben Sie als Nutzer das Recht, Auskunft darüber zu erhalten, welche Daten zu Ihrer Person in welcher Weise verarbeitet werden.
Bei Fragen zur Verarbeitung Ihrer personenbezogenen Daten wenden Sie sich bitte an den Datenschutzbeauftragten Ihrer Sparkasse bzw. des Verbundpartners. Die Kontaktdaten des Daten-schutzbeauftragten finden Sie auf der Homepage Ihrer Sparkasse, deren Verbundpartner (z. B. LBS, DekaBank) oder Landesbank und deren Partner.
12. DATENVERARBEITUNGSTABELLE
|
Verfahren |
Verarbeitung zur Erfüllung rechtlicher Verpflichtungen |
Verarbeitung nach Einwilligung |
|
eID-Service (AusweisApp Bund) Gesetzl. Grundlagen: Geldwäschegesetz, Personalausweisgesetz, eID-Karte-Gesetz |
|
|
|
eID-Service (AUTHADA-App) Gesetzl. Grundlagen: Geldwäschegesetz, Personalausweisgesetz, eID-Karte-Gesetz |
|
|
|
Face-Ident (mit qualifizierter elektronischer Signatur & Referenzüberweisung) Gesetzl. Grundlagen: Geldwäschegesetz, eIDAS, Verfügung der BNA |
|
|
|
Face-Ident (ohne qualifizierter elektronischer Signatur & Referenzüberweisung)
|
|
|
|
Video-Ident Gesetzl. Grundlagen: Geldwäschegesetz, BaFin-Rundschreiben 03/2017 |
|
|
|
eSign elek. Dokumentenunterzeichnung Gesetzl. Grundlagen: Geldwäschegesetz, eIDAS |
|
|