Datenschutzerklärung

1. Verantwortlicher

Diese Datenschutzerklärung beschreibt, wie Lalalu Marketing SL, Travessera de Gràcia 73, 4-2, 08006 Barcelona, Spanien („AgeRail“, „wir“, „uns“) personenbezogene Daten im Zusammenhang mit dem von AgeRail gehosteten Dienst zur Altersverifikation (der „Dienst“) verarbeitet.

Kontakt für Datenschutzanfragen und die Ausübung von Betroffenenrechten: privacy@agerail.com.

2. Für wen diese Erklärung gilt

Wir verarbeiten personenbezogene Daten von drei Personengruppen, die im Folgenden jeweils gesondert beschrieben werden.

• Nutzer von Kundenorganisationen: Personen, die ein Konto einer Kundenorganisation erstellen oder verwalten (zum Beispiel Portalanmeldung, Abrechnung und API-Konfiguration).
• Endnutzer: Personen, die eine Verifikationssitzung durchlaufen, nachdem eine Kundenorganisation sie zum gehosteten AgeRail-Ablauf weitergeleitet hat.
• Geschäftskontakte: Personen, die ein Mitglied unseres Teams in beruflicher Funktion kennt und wegen unserer Dienstleistungen kontaktiert.

3. Nutzer von Kundenorganisationen

3.1 Welche Daten wir verarbeiten

Für Nutzer von Kundenorganisationen verarbeiten wir Konto- und Dienstverwaltungsdaten, darunter:

• E-Mail-Adresse und Rolle innerhalb einer Kundenorganisation
• Name und Konfiguration der Organisation (Weiterleitungs-URLs, Webhook-URL, Standard-Zielalter)
• Abrechnungs- und Prepaid-Guthaben-Datensätze (Guthaben, Buchungseinträge, Stripe-Kunden- und Zahlungsreferenzen, Umsatzsteuer und Rechnungsland, soweit angegeben)
• Metadaten transaktionsbezogener Dienst-E-Mails, die über unsere E-Mail-Anbieter zugestellt werden
• Gegebenenfalls Nachweise über die Annahme der Nutzungsbedingungen bei der Selbstregistrierung
• Informationen darüber, wie Sie auf unsere Marketing-Website gelangt sind, einschließlich Kampagnenquelle, Kampagnenmedium, Kampagnenname, Anzeigenklick-Kennung und der Website, die Sie dorthin verlinkt hat. Diese Informationen werden bei Ihrem Konto gespeichert, unabhängig davon, ob Sie dem Cookie-Banner zugestimmt haben.

3.2 Zwecke und Rechtsgrundlagen

Wir verarbeiten Daten der Nutzer von Kundenorganisationen, um:

• den Dienst gemäß dem Vertrag mit der Kundenorganisation bereitzustellen, abzusichern und zu verwalten (Art. 6 Abs. 1 lit. b DSGVO)
• Prepaid-Guthaben abzurechnen und Buchführungsunterlagen zu führen (Art. 6 Abs. 1 lit. b DSGVO und, soweit für Steuern und Buchführung erforderlich, Art. 6 Abs. 1 lit. c DSGVO)
• über das Konto und den Dienst zu kommunizieren (Art. 6 Abs. 1 lit. b DSGVO; betriebliche Mitteilungen nach Art. 6 Abs. 1 lit. f DSGVO, soweit zum Schutz des Dienstes erforderlich)
• zu messen, welche Besuche der Marketing-Website zu zahlenden Kundenorganisationen führen, wie deren Konten eingerichtet und genutzt werden und wie viele Verifikationsbesuche der Dienst je Land erhält. Hierzu senden wir Registrierungs-, Zahlungs- und Kontoaktivitätsereignisse sowie anonyme Verifikationsbesuchsereignisse an Google Analytics (Art. 6 Abs. 1 lit. f DSGVO; Sie können widersprechen, siehe Abschnitt 7)

3.3 Aufbewahrung

Kontodaten von Kundenorganisationen werden für die Dauer der Kundenbeziehung aufbewahrt. Bei Beendigung des Kontos gilt: (a) Die Verarbeitung wird eingestellt und das Konto deaktiviert; (b) die 30-tägigen Kalibrierungsdatensätze, für die AgeRail verantwortlich ist, laufen weiterhin nach ihrem eigenen Zeitplan ab, Datensätze zu Aufnahmebedingungen werden zusammen mit ihren Verifikationssitzungen gelöscht und das offengelegte einmalige, begrenzte Archiv hat kein Ablaufdatum, wie in Abschnitt 4.4 beschrieben; (c) Sitzungs- und Transaktionsdatensätze enthalten ausschließlich pseudonyme Ablauf- und Geschäftsmetadaten und werden aufbewahrt, soweit dies für gesetzliche Buchführungs- und sonstige rechtliche Pflichten erforderlich ist; (d) auf Anfrage über privacy@agerail.com stellen wir einen Export der Sitzungs- und Abrechnungsdatensätze des Kunden bereit und löschen oder anonymisieren Kontaktdaten des Kontos der Kundenorganisation, die keiner gesetzlichen Aufbewahrungspflicht unterliegen, aus den aktiven Systemen. Nach dieser Löschung können verbleibende Kopien für einen begrenzten weiteren Zeitraum bis zu ihrem Ablauf in vom Anbieter verwalteten Datenbanksicherungen und, im Produktionsbetrieb, in bis zu 7 Tage aufbewahrten Wiederherstellungsprotokollen verbleiben. Währenddessen stehen sie für die gewöhnliche Verarbeitung nicht zur Verfügung und werden für keinen anderen Zweck verwendet. Diese antragsgebundenen Maßnahmen werden auf Anfrage durchgeführt und sind kein automatischer Anonymisierungslauf. Abrechnungs- und Steuerunterlagen werden so lange aufbewahrt, wie es das spanische Recht oder das EU-Recht verlangt. Für Anträge zur Ausübung Ihrer Rechte kontaktieren Sie uns über den unten angegebenen Weg.

4. Endnutzer

4.1 Verarbeitung zur Verifikation

AgeRail verwendet ein Selfie, um einzuschätzen, ob Sie die Altersanforderung des anfragenden Dienstes erfüllen, und um zu prüfen, ob eine lebende Person anwesend ist. Das Ergebnis wird automatisch durch Software erzeugt. Wir identifizieren Sie nicht: Wir durchsuchen keine Datenbank mit Gesichtern und bewahren nichts auf, was von Ihrem Gesicht stammt und womit Sie bei einer späteren Prüfung wiedererkannt werden könnten. Wenn Sie den unten beschriebenen Dokumentenschritt wählen, erfolgt innerhalb derselben Prüfung ein einmaliger Vergleich zwischen Ihrem Selfie und dem Porträt auf dem von Ihnen vorgelegten Dokument. Dabei werden beide Gesichter auf unseren eigenen Systemen vermessen; keine der beiden Messungen wird aufbewahrt. Sie bestehen nur für diesen einen Vergleich, werden niemals gespeichert oder irgendwohin gesendet und weder einer Sitzung noch einer Person zugeordnet. Bei keinem unserer anderen Verarbeitungsvorgänge erfolgt eine solche Messung.

Bei einer Prüfung mit deaktivierter Anzeige des geschätzten Alters erhält der anfragende Dienst ein signiertes Ergebnis mit einem von drei Statuswerten: Die Prüfung wurde bestanden, Sie wurden zur weiteren Prüfung des Dienstes weitergeleitet oder die Lebenderkennung wurde nicht bestanden.

Bei einer Prüfung mit aktivierter Anzeige des geschätzten Alters erhält der anfragende Dienst ein signiertes Ergebnis mit einem von drei Statuswerten: Die Prüfung wurde bestanden, Sie wurden zur weiteren Prüfung des Dienstes weitergeleitet oder die Lebenderkennung wurde nicht bestanden. Da er die Anzeige des geschätzten Alters aktiviert hat, kann er die Alterseinschätzung außerdem über gesonderte authentifizierte Kontowerkzeuge abrufen, ausschließlich für diese Sitzung, für die Sie eingewilligt haben.

Bilder aus dieser Prüfung werden nicht als dauerhafter Datensatz aufbewahrt. Verifikationsdaten können einer begrenzten Qualitätsprüfung unter eingeschränktem und protokolliertem Zugriff unterzogen werden.

Der anfragende Dienst ist für diese Prüfung verantwortlich; AgeRail führt sie in seinem Auftrag durch. Die vollständige Datenschutzerklärung erläutert die gesonderte Kalibrierungsverarbeitung durch AgeRail und Ihre Datenschutzrechte.

Wenn ein Endnutzer eine Verifikation durchläuft, schätzt AgeRail das Alter anhand eines Selfies und führt eine Lebenderkennung durch. Das Gesichtsbild und daraus abgeleitete Merkmale werden von AgeRail weder auf einen Datenträger noch in eine Datenbank, einen Objektspeicher oder eine Sicherungskopie geschrieben. Bilder können zur Qualitätssicherung bis zu 24 Stunden im Arbeitsspeicher aufbewahrt werden und bei Erreichen der Kapazitätsgrenze oder einem Neustart des Dienstes früher aus dem Arbeitsspeicher entfernt werden. Sie können zur Qualitätssicherung und zur Validierung von Verifikationsergebnissen von Menschen überprüft werden. Auch wiederverwendbare biometrische Vorlagen oder andere aus dem Bild abgeleitete Repräsentationen sowie die vollständige Verteilung der Alterseinschätzung des Modells werden von AgeRail weder auf einen Datenträger noch in eine Datenbank, einen Objektspeicher oder eine Sicherungskopie geschrieben. Die in Abschnitt 4.2 beschriebenen festgelegten numerischen Messwerte sind die einzige Ausnahme von dieser Aussage hinsichtlich der Aufnahmebedingungen. Das Ergebnis wird automatisch durch Software erzeugt: Bei AgeRail ist keine Person an seiner Erzeugung beteiligt, und die oben beschriebene Qualitätsprüfung ändert niemals ein bereits ausgegebenes Ergebnis. Kann die Prüfung kein eindeutiges Ergebnis liefern, wird der Endnutzer zur Kundenorganisation zurückgeleitet, die eine alternative Verifikationsmöglichkeit anbieten kann.

Hat der anfragende Dienst den Dokumentenschritt aktiviert, bietet AgeRail selbst eine solche Alternative an, bevor Sie zurückgeleitet werden: das Fotografieren eines Reisepasses aus einem unterstützten Land oder eines Führerscheins aus Großbritannien mit Lichtbild, regulär oder vorläufig. Diese beiden Dokumentarten werden derzeit in diesem Schritt akzeptiert. Personalausweise, Aufenthaltstitel sowie US-amerikanische oder kanadische Führerscheine werden noch nicht unterstützt. Wählen Sie eines dieser Dokumente, teilen wir Ihnen dies mit, bevor Sie ein Foto aufnehmen. Es geschieht nichts, bis Sie auf „Zustimmen und Kamera öffnen“ tippen. Darüber steht ein Satz, der Sie um Ihre Einwilligung bittet, dass AgeRail Ihr Ausweisdokument ausliest und dessen Foto mit Ihrem Selfie vergleicht, und der hierher verlinkt. Bei einer Ablehnung bleibt das bisherige Ergebnis unverändert, und Ihnen entsteht daraus kein Nachteil. Aus dem Dokument lesen wir genau fünf Angaben aus: das angegebene Geburtsdatum, das Ablaufdatum, die Dokumentart, das Ausstellungsland und die Dokumentnummer. Die Dokumentnummer wird verwendet, um zu prüfen, ob Vorder- und Rückseite eines zweiseitigen Dokuments zur selben Karte gehören, und bei einigen Ausstellungsländern, um das amtliche Register ungültiger Dokumente des Ausstellungslandes abzufragen; anschließend wird sie verworfen. Alle anderen gedruckten oder codierten Felder, einschließlich Ihres Namens, werden ungelesen verworfen. Kein Dokumentfeld wird in eine Datenbank, ein Protokoll, einen Export, einen Webhook oder das Ergebnis geschrieben, das der anfragende Dienst erhält.

Einige Länder und Dokumentarten werden noch nicht unterstützt. Können wir das von Ihnen gewählte Dokument nicht prüfen, wird Ihnen dies auf dem Bildschirm mitgeteilt; ein Link zu dieser Datenschutzerklärung bleibt verfügbar. Sie können „Zurück zum Shop“ wählen, ohne dass ein Anfragedatensatz angelegt wird. Nur wenn Sie die gesonderte Schaltfläche wählen, mit der Sie uns bitten, die Unterstützung hinzuzufügen, speichert AgeRail einen Datensatz. Er enthält das Ausstellungsland, die Dokumentart und den Kalendermonat. Wird das gesamte Land nicht unterstützt, wird keine Dokumentart erfasst. Der Datensatz enthält weder Namen, Foto, Sitzungsdetails, anfragenden Dienst, Adresse oder Gerätedetails noch eine Zeitangabe, die genauer als der Monat ist. Er wird niemals mit Ihrer Verifikationssitzung verknüpft. Der Datensatz enthält nichts, was Sie identifiziert.

AgeRail ist für diesen Datensatz verantwortlich. Wir verwenden ihn, um zu entscheiden, welche Länder und Dokumente wir als Nächstes unterstützen. Dies ist unser eigener Zweck und keine Weisung des anfragenden Dienstes. Unsere Rechtsgrundlage ist unser berechtigtes Interesse an der Planung der Dokumentenunterstützung (Art. 6 Abs. 1 lit. f DSGVO). Wir verwenden diese Datensätze für Statistiken nach Art. 89 Abs. 1 DSGVO. Die Anfrage ist freiwillig.

Wir bewahren Datensätze aus dem laufenden Monat und den vorangegangenen zwölf Monaten auf; daraus ergibt sich eine Aufbewahrungsdauer von etwa dreizehn Monaten. Danach löschen wir den Datensatz und behalten nur Gesamtsummen nach Land und Dokumentart, ohne Monatsangabe und ohne Enddatum. Sicherungskopien werden wie bei den übrigen Datensätzen von AgeRail für einen begrenzten Zeitraum aufbewahrt.

Nur das Betriebspersonal von AgeRail sieht diese Informationen in Form von Zählwerten. Weder Sie noch der anfragende Dienst können sie einsehen. Sie werden nicht exportiert und ändern kein Ergebnis, das der anfragende Dienst erhält.

Sie haben das Recht, dieser Verarbeitung jederzeit zu widersprechen, indem Sie sich an privacy@agerail.com wenden (Art. 21 DSGVO). In Ihrem Widerspruch können Sie das Land, die Dokumentart und den Monat nennen, auf die sich Ihre Anfrage bezog.

Die Reihenfolge ist von Bedeutung und wird deshalb hier erläutert. Zunächst erfolgen drei Prüfungen auf den eigenen Servern von AgeRail, ohne dass etwas irgendwohin gesendet wird: ob sich Ihre Fotos öffnen lassen, ob auf dem Dokument ein Gesicht gefunden wird und ob die von Ihnen gewählte Dokumentart von uns akzeptiert wird. Anschließend wird das Foto des Gesichts aus dem Dokument ausgeschnitten und mit dem bereits aufgenommenen Selfie verglichen, ebenfalls auf unseren eigenen Servern und ohne dafür etwas irgendwohin zu senden. Stimmen die Gesichter nicht überein oder wird auf dem Selfie kein Gesicht gefunden, endet der Versuch an dieser Stelle und wir lesen das Dokument nicht aus. Nur bei einer eindeutigen Übereinstimmung lesen wir es aus. Das bedeutet, dass der Vergleich auch bei einem Dokument stattfindet, das wir anschließend ablehnen: Stellt sich heraus, dass Ihr Dokument abgelaufen oder unlesbar ist oder ein Alter unter der Altersgrenze ausweist, wurde das Foto darauf bereits mit Ihrem Selfie verglichen.

Mit Ihrer ausdrücklichen Einwilligung vergleichen wir das Porträt auf Ihrem Ausweisdokument mit Ihrem Selfie, um zu prüfen, ob das Dokument Ihnen gehört. Für diesen Vergleich werden keine Daten an Dritte gesendet. Wir senden für den Vergleich keine Gesichtsdaten an Dritte und verwenden sie nicht, um Sie über mehrere Prüfungen hinweg zu verknüpfen. Den Gesichtsausschnitt bewahren wir zur Qualitätssicherung wie in dieser Erklärung beschrieben auf. EU-Anbieter von KI-Inferenz erhalten Gesichts- und Dokumentdaten zur Altersverifikation, wie in Abschnitt 5 beschrieben. Ein Mitarbeiter des Betriebspersonals von AgeRail kann sowohl den Ausschnitt als auch das maskierte Bild bis zu 24 Stunden einsehen, wie in Abschnitt 4.4 beschrieben. Wir erstellen aus jedem von Ihnen eingereichten Foto ein maskiertes Bild, unabhängig von unserer anschließenden Entscheidung, und benötigen dafür keine Referenzbilder: Das maskierte Bild soll den Text des Dokuments verdecken, während Gestaltung, Hintergrund und Porträt sichtbar bleiben. Dies ist keine Garantie dafür, dass der gesamte Text verdeckt wird. Verbleibender Dokumenttext kann für unser befugtes Betriebspersonal und EU-Anbieter von KI-Inferenz sichtbar sein, auch wenn die Einreichung später abgelehnt wird. Sie können diese Einwilligung bis zum Absenden der Fotos widerrufen, indem Sie „Nein danke, zurück zum Shop“ wählen. Der Widerruf berührt nicht die Rechtmäßigkeit der Verarbeitung, die aufgrund der Einwilligung bis zum Widerruf erfolgt ist.

Die Inferenzanbieter liefern ihre Antworten zurück, ohne eine wiederverwendbare Repräsentation eines Gesichts bereitzustellen. Die Antworten können zur Entscheidung über ein Ergebnis verwendet werden. Ist dies der Fall, verbraucht eine ablehnende oder unklare Antwort einen Ihrer Versuche; innerhalb der Versuchsbegrenzung des Dokumentenschritts können Sie es erneut versuchen. Werden sie nicht dafür verwendet, ändern sie kein Ergebnis und verbrauchen keinen Ihrer Versuche. Die Antworten werden weder einem anfragenden Dienst noch Ihnen angezeigt. Das Ergebnis, das der anfragende Dienst erhält, hat dieselbe Form, unabhängig davon, ob die Antworten zur Entscheidung über ein Ergebnis verwendet werden. In beiden Fällen führen wir tägliche Zählungen der Antworten. AgeRail ist für diese Zählungen verantwortlich, gestützt auf sein berechtigtes Interesse daran, das Verhalten einer Kontrolle seines eigenen Dienstes zu messen (Art. 6 Abs. 1 lit. f DSGVO); Ihre Rechte bei einer Verarbeitung auf dieser Grundlage werden in Abschnitt 7 beschrieben. Hierfür bewahren wir eine tägliche Anzahl jeder Antwort auf: einen Tag, die Antwort und eine Zahl, ohne Sitzung, ohne anfragenden Dienst, ohne Land und ohne etwas, das Sie identifizieren könnte.

Was der Dokumentenschritt nicht feststellt, wird hier ausdrücklich benannt. Er beurteilt nicht, ob ein Dokument echt ist. Bei einigen Ausstellungsländern fragt er das amtliche Register ungültiger Dokumente des Ausstellungslandes ab und lehnt Dokumente ab, die dort als verloren, gestohlen, annulliert oder widerrufen geführt werden. Dass ein Dokument dort nicht aufgeführt ist, bestätigt weder seine Gültigkeit noch seine Echtheit; ist das Register nicht verfügbar, wird der Schritt fortgesetzt. Eine gut gemachte Fälschung mit einem stimmigen Geburtsdatum und dem eigenen Gesicht der vorlegenden Person kann dennoch jede Prüfung in diesem Ablauf bestehen. Die Beurteilung des Modells, dass das Dokument einem der amtlichen Dokumentenmuster seines Landes entspricht, zeigt, dass ein Dokument wie das amtliche Muster seines Landes aussieht. Sie zeigt weder, dass es echt ist, noch, dass es der vorlegenden Person ausgestellt wurde. Ein verändertes oder vollständig erfundenes Dokument mit dem eigenen Gesicht der vorlegenden Person, ein vor dem Absenden bearbeitetes Bild oder ein Foto eines Bildschirms kann dennoch bestehen: Das Modell kann sich irren, und soweit seine Antworten nicht zur Entscheidung über ein Ergebnis verwendet werden, führen sie zu keiner Ablehnung. Da AgeRail niemals das Dokument oder das Gesicht aus einer Prüfung mit denen aus einer anderen vergleicht, kann ein echtes Dokument von mehreren verschiedenen Personen in unterschiedlichen Prüfungen verwendet werden, ohne dass dies hier auffallen würde.

Der Gesichtsvergleich in diesem Schritt betrifft besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO; AgeRail stützt sich hierfür auf Ihre eigene ausdrückliche Einwilligung, die durch das oben beschriebene Tippen erteilt wird. Eine Person unterhalb des in ihrem Land geltenden Alters für eine wirksame Einwilligung in digitale Dienste kann diese Einwilligung nicht wirksam erteilen. Verlangt das für den anfragenden Dienst geltende nationale Recht eine Altersprüfung, bildet dieses Gesetz die parallele Grundlage (Art. 6 Abs. 1 lit. c in Verbindung mit Art. 9 Abs. 2 lit. g DSGVO); die Vereinbarung zur Auftragsverarbeitung fordert den Dienst auf, es zu benennen. Wird kein solches Gesetz benannt, legen wir die Lage dar, ohne zu behaupten, sie sei geklärt: Die Verarbeitung stützt sich auf die Erforderlichkeit der Entscheidung, der Sie bereits unterliegen, also der Entscheidung zum Schutz von Personen unterhalb der Altersgrenze.

Die Bereitstellung eines Selfies ist keine gesetzliche Pflicht, die Sie gegenüber AgeRail haben. Sie ist die vom anfragenden Dienst für seine Altersprüfung gewählte Methode; dieser Dienst kann seinerseits gesetzlich verpflichtet sein, Ihr Alter zu prüfen. Stellen Sie kein Selfie bereit, kann die Prüfung nicht abgeschlossen werden. Der anfragende Dienst entscheidet über das weitere Vorgehen, einschließlich der Frage, ob er Ihnen eine andere Verifikationsmöglichkeit anbietet.

Die Kundenorganisation erhält ein signiertes Ergebnis mit einem von drei Statuswerten: Die Prüfung wurde bestanden, Sie wurden zur weiteren Prüfung des Dienstes weitergeleitet oder die Lebenderkennung wurde nicht bestanden. Der Dienst gibt in der Verifikationsantwort weder ein geschätztes Alter noch einen Wert der Lebenderkennung an die Kundenorganisation zurück.

Eine Kundenorganisation, die im Dashboard die Anzeige des geschätzten Alters aktiviert, kann optional über den gesonderten authentifizierten Vorgang, die Sitzungsseiten und den Export eine Alterseinschätzung abrufen. Dies gilt ausschließlich für Sitzungen, deren Käufer dieser Offenlegung auf dem gehosteten Einwilligungsbildschirm zugestimmt haben. Die Alterseinschätzung wird nur für diese Sitzungen mit Einwilligung gespeichert und mit dem jeweiligen Sitzungsdatensatz gelöscht. Für Sitzungsdatensätze gibt es derzeit keine feste automatische Löschfrist; ihre Aufbewahrung und Löschung richten sich nach der Vereinbarung zur Auftragsverarbeitung. Der Dienst fügt weder die Alterseinschätzung noch einen Wert der Lebenderkennung zur Verifikationsantwort, zum Webhook, zur Weiterleitung oder zur Sitzungsstatusantwort hinzu. Die Kalibrierungsdatensätze bleiben ausschließlich dem Betriebspersonal zugänglich.

Dauerhafte Datensätze, die nach einer Verifikation verbleiben, umfassen die Dienstkonfiguration, den Verifikationsstatus, Zeitstempel, Sicherheitsdatensätze sowie Geschäfts- oder Abrechnungsinformationen, die zur Bereitstellung des Dienstes benötigt werden. Sie können außerdem eine über den Sitzungsschlüssel zugeordnete Alterseinschätzung in einer Tabelle für die Händleranzeige enthalten, ausschließlich wenn die Anzeige des geschätzten Alters aktiviert ist und der Käufer dieser Offenlegung zugestimmt hat. Diese Alterseinschätzung wird nur für Händleroberflächen verwendet und mit ihrem Sitzungsdatensatz gelöscht. Für Sitzungsdatensätze gibt es derzeit keine feste automatische Löschfrist; ihre Aufbewahrung und Löschung richten sich nach der Vereinbarung zur Auftragsverarbeitung. Sie ist von den unten beschriebenen pseudonymen Kalibrierungsdatensätzen getrennt, die Kundenorganisationen nicht einsehen können. Diese Datensätze enthalten weder Gesichtsbilder noch wiederverwendbare biometrische Vorlagen, und ihre Struktur sieht keinen Speicherplatz dafür vor.

4.2 Kalibrierungsskalare ausschließlich für das Betriebspersonal (Ausnahme)

Eng begrenzte Ausnahme ausschließlich für das Betriebspersonal: Ist die Kalibrierungsüberwachung aktiviert, kann AgeRail pseudonyme Ausgabewerte je Verifikation zur Überwachung der Modellgenauigkeit aufbewahren. Diese Ausgabewerte betreffen die Alterseinschätzung, die Lebenderkennung, die Entscheidungskonfidenz und die konfigurierte Altersgrenze; die in Abschnitt 5 beschriebene ergänzende Auswertung des Bildmodells, also seine Alterseinschätzung, seine Beurteilung der Anwesenheit einer lebenden Person, seine Konfidenz, ob und warum keine Auswertung zurückkam und wie lange der Aufruf dauerte; welches Modell über das Alter und welches über die Lebenderkennung entschied; sowie die Version der geltenden Entscheidungsrichtlinie. Sie werden 30 Tage lang in einem ausschließlich dem Betriebspersonal zugänglichen Speicher innerhalb der Europäischen Union aufbewahrt.

Ein zweiter, enger begrenzter Datensatz, der ausschließlich dem Betriebspersonal zugänglich ist, kann eine festgelegte Auswahl pseudonymer Messwerte zu den Aufnahmebedingungen enthalten: die Positionierung des Gesichts im Bild, Beleuchtung und Schärfe der Aufnahme sowie den verwendeten Gerätetyp, zusammen mit einem Messwert zur Modellkonfidenz. Sie werden nur erfasst, solange eine standardmäßig deaktivierte Betriebseinstellung eingeschaltet ist, und in einem ausschließlich dem Betriebspersonal zugänglichen Speicher innerhalb der Europäischen Union aufbewahrt. Der Datensatz wird gelöscht, wenn der Datensatz seiner Verifikationssitzung gelöscht wird; für Sitzungsdatensätze gibt es derzeit keine feste automatische Löschfrist. Er enthält kein Bild, keine biometrische Vorlage oder abgeleitete Repräsentation und keine Kennung außer der zugehörigen Verifikationssitzung. Weder Kundenorganisationen noch Käufer können ihn einsehen.

Ein einmaliges, begrenztes Archiv darf eine festgelegte Teilmenge der 30-tägigen Kalibrierungsdatensätze in einen unbefristeten, ausschließlich dem Betriebspersonal zugänglichen Speicher innerhalb der Europäischen Union kopieren: Datensätze zu einer untersuchten Beschwerde sowie zum Vergleich aufbewahrte Datensätze aus einem Zeitraum ordnungsgemäßen Betriebs. Die genauen Datumsangaben und die Anzahl der Datensätze werden bei Erstellung der Momentaufnahme festgehalten. Für dieses Archiv sind keine anderen Kalibrierungsdaten zugelassen.

Kalibrierungsdatensätze tragen nur eine pseudonyme Sitzungsreferenz, die Kundenorganisationen keiner Verifikation zuordnen können. Der Zugriff ist auf befugtes Betriebspersonal beschränkt. Kundenorganisationen können den Kalibrierungsspeicher nicht einsehen.

Rechtsgrundlage dieser Kalibrierungsverarbeitung ist Art. 6 Abs. 1 lit. f DSGVO: das berechtigte Interesse am Betrieb eines präzisen Dienstes zur Altersverifikation, an der Erkennung von Modelldrift und an der Aufrechterhaltung der Zuverlässigkeit der Entscheidung, Personen unterhalb der Altersgrenze zu sperren. Hierzu wird intern eine Interessenabwägung vorgehalten.

4.3 Rollen bei Verifikationsdaten von Endnutzern

Für Verifikationsdaten von Endnutzern, die auf Weisung einer Kundenorganisation verarbeitet werden, ist die Kundenorganisation der Verantwortliche und AgeRail der Auftragsverarbeiter. Dieses Verhältnis wird durch die unter /dpa abrufbare, in die Nutzungsbedingungen einbezogene Vereinbarung zur Auftragsverarbeitung geregelt. Für die oben beschriebenen, ausschließlich dem Betriebspersonal zugänglichen Kalibrierungsskalare bestimmt AgeRail die Mittel und Zwecke und handelt als Verantwortlicher.

4.4 Aufbewahrung von Datensätzen mit Bezug zu Endnutzern

Das Gesichtsbild und daraus abgeleitete Merkmale werden von AgeRail weder auf einen Datenträger noch in eine Datenbank, einen Objektspeicher oder eine Sicherungskopie geschrieben. Bilder können zur Qualitätssicherung bis zu 24 Stunden im Arbeitsspeicher aufbewahrt werden und bei Erreichen der Kapazitätsgrenze oder einem Neustart des Dienstes früher aus dem Arbeitsspeicher entfernt werden. Sie können zur Qualitätssicherung und zur Validierung von Verifikationsergebnissen von Menschen überprüft werden. Auch wiederverwendbare biometrische Vorlagen oder andere aus dem Bild abgeleitete Repräsentationen sowie die vollständige Verteilung der Alterseinschätzung des Modells werden von AgeRail weder auf einen Datenträger noch in eine Datenbank, einen Objektspeicher oder eine Sicherungskopie geschrieben. Die in Abschnitt 4.2 beschriebenen festgelegten numerischen Messwerte sind die einzige Ausnahme von dieser Aussage hinsichtlich der Aufnahmebedingungen.

Beim in Abschnitt 4.1 beschriebenen Dokumentenschritt werden die Dokumentfotos freigegeben, sobald die Verarbeitung der Einreichung, für die sie verwendet wurden, endet; danach stellt kein Zugriffsweg eines dieser Fotos bereit. Es werden genau zwei Arten von Bildern aufbewahrt: der Ausschnitt des verglichenen Gesichts und das maskierte Bild jedes Fotos, für jede Einreichung, auch für eine abgelehnte. Jedes dieser Bilder kann ab dem Zeitpunkt seiner Erfassung bis zu 24 Stunden zur Qualitätssicherung im Arbeitsspeicher aufbewahrt werden und bei Erreichen der Kapazitätsgrenze oder einem Neustart des Dienstes früher aus dem Arbeitsspeicher entfernt werden. Sie können zur Qualitätssicherung von Menschen überprüft werden. Das maskierte Bild soll den Text des Dokuments verdecken, während Gestaltung, Hintergrund und Porträt sichtbar bleiben; wie in Abschnitt 4.1 beschrieben, kann jedoch ein Teil des Textes lesbar bleiben. Keines dieser Bilder wird jemals auf einen Datenträger oder in eine Datenbank, einen Objektspeicher oder eine Sicherungskopie geschrieben. Nach der Löschung der Bilder werden Verifikationsdatensätze, aggregierte tägliche Zählwerte, Datensätze zu Anfragen nach Unterstützung für Länder oder Dokumentarten und die daraus abgeleiteten Gesamtsummen weiterhin aufbewahrt, vorbehaltlich der auf dieser Seite beschriebenen Aufbewahrungs- und Löschregelungen.

Pseudonyme Kalibrierungsdatensätze je Verifikation werden 30 Tage lang aufbewahrt und anschließend gelöscht. Nach der Löschung können verbleibende Kopien für einen weiteren Zeitraum von bis zu etwa 14 Tagen in vom Anbieter verwalteten Wiederherstellungssystemen verbleiben, bevor sie endgültig gelöscht werden. Währenddessen stehen sie für die gewöhnliche Verarbeitung nicht zur Verfügung. Dieses verbleibende Zeitfenster der Plattform ist eine Eigenschaft des zugrunde liegenden Speicherdienstes und wird hier offengelegt; eine sofortige unwiderrufliche Löschung wird nicht behauptet.

Die in Abschnitt 4.2 beschriebenen festgelegten Messwerte zu Aufnahmebedingungen, die ausschließlich dem Betriebspersonal zugänglich sind, werden mit dem Datensatz ihrer Verifikationssitzung gelöscht. Für Sitzungsdatensätze gibt es derzeit keine feste automatische Löschfrist. Ein einmaliges, begrenztes Archiv kopiert eine festgelegte Teilmenge von Beschwerde- und Vergleichsdatensätzen in einen unbefristeten, ausschließlich dem Betriebspersonal zugänglichen Speicher; die genauen Datumsangaben und die Anzahl der Datensätze werden bei Erstellung der Momentaufnahme festgehalten.

Metadaten zu Verifikationssitzungen und Transaktionen, die für den Dienst und die Abrechnung verwendet werden, werden so lange aufbewahrt, wie es für den Betrieb des Kontos, die Beilegung von Streitigkeiten und die Erfüllung rechtlicher Pflichten erforderlich ist. Sie werden nicht zur Rekonstruktion biometrischer Daten verwendet.

4.5 Betriebliche Aufzeichnungen einer Prüfung

Zwei betriebliche Aufzeichnungen beschreiben eine Prüfung und nicht eine Anfrage an unsere Systeme. Bei der Auswertung einer Prüfung schreibt unser eigener Dienst eine Protokollzeile, die neben der Sitzungsreferenz dieser Prüfung festhält, wie viele Bilder eingereicht wurden und wie viele davon für die Alterseinschätzung verwendet wurden. Die Zeile enthält kein Bild, kein geschätztes Alter und keinen biometrischen Wert. Wir bewahren sie auf, um nachvollziehen zu können, wie ein Ergebnis zustande kam, und um die Genauigkeit des Dienstes im Zeitverlauf zu verfolgen. Sie wird 90 Tage lang in einem von unserem Cloud-Anbieter innerhalb der Europäischen Union betriebenen Protokollspeicher aufbewahrt und anschließend gelöscht; nur das Betriebspersonal von AgeRail kann sie einsehen.

Wird das in Abschnitt 5 beschriebene Bildmodell zu einer Aufnahme befragt, schreiben wir einen Datensatz zu diesem Aufruf: die dem Modell gestellten Fragen, die verwendeten Einstellungen, die Dauer des Aufrufs und, ausschließlich bei den Fragen zum Alter und zur Lebenderkennung, die Antwort des Modells, einschließlich seiner Einschätzung des augenscheinlichen Alters und seiner Beurteilung, ob eine lebende Person anwesend war, neben der Sitzungsreferenz. Bei den Dokumentfragen wird keine Antwort aufgezeichnet. Der Datensatz enthält keinerlei Bild. Wir bewahren ihn auf, damit das Betriebspersonal eine fehlerhafte Auswertung, eine Ablehnung und einen Ausfall voneinander unterscheiden kann. Er wird bis zu 30 Tage lang in demselben, vom Anbieter betriebenen Protokollspeicher innerhalb der Europäischen Union aufbewahrt und anschließend gelöscht; nur das Betriebspersonal von AgeRail kann ihn einsehen.

AgeRail ist für beide Aufzeichnungen verantwortlich, gestützt auf sein berechtigtes Interesse am ordnungsgemäßen Betrieb des Dienstes und an der Verfolgung seiner Genauigkeit (Art. 6 Abs. 1 lit. f DSGVO). Keine der beiden Aufzeichnungen gehört zu der Verarbeitung, die AgeRail auf Weisung des anfragenden Dienstes durchführt. Sie können dieser Verarbeitung nach Art. 21 DSGVO widersprechen; siehe Abschnitt 7.

5. Empfänger und Anbieter

Wir nutzen die unter /subprocessors beschriebenen Dienstleister und Kategorien von Unterauftragsverarbeitern für das Infrastrukturhosting, KI-Inferenz, Zahlungen und transaktionsbezogene E-Mails. Diese Liste umfasst Google Cloud, in der EU gehostete KI-Inferenzanbieter, Stripe, Postmark und Resend.

Google Analytics ist ein Empfänger dieser Datenströme aufseiten des Verantwortlichen und kein Unterauftragsverarbeiter nach Art. 28 DSGVO für personenbezogene Daten des Verantwortlichen. Der Datenstrom der Marketing-Website besteht aus einer Besucherkennung, die nach Ihrer Zustimmung zum Banner gespeichert wird. Der serverseitige Datenstrom übermittelt Konversionsereignisse, also eine abgeschlossene Registrierung, eine begonnene Guthabenaufladung oder eine bestätigte Zahlung, unter einer aus der Kundenorganisation abgeleiteten Kennung oder unter dieser Besucherkennung, wenn Sie vor der Registrierung dem Cookie-Banner auf der Marketing-Website zugestimmt haben. Haben Sie dem Banner zugestimmt, kann Google Ads außerdem zählen, welche unserer Anzeigen zu Ihrer Registrierung oder einer Zahlung geführt haben; nichts wird zur Personalisierung von Werbung verwendet. Kontoaktivitätsereignisse, etwa die Erstellung eines API-Schlüssels, die Konfiguration eines Webhooks oder der Aufruf eines Dashboards, werden ausschließlich unter der aus der Kundenorganisation abgeleiteten Kennung gemeldet, niemals unter einer Besucherkennung. Sie werden an eine gesonderte, für den Betrieb des Dienstes genutzte Analytics-Property gesendet. Das Registrierungsformular enthält kein zweites Kontrollkästchen für Analytics. Diese betriebliche Property erhält außerdem pro Verifikationsbesuch ein anonymes Verifikationsbesuchsereignis, das von unseren Servern gesendet wird, niemals von der Verifikationsseite selbst: Es enthält einen Ereignisnamen, eine zufällig für dieses eine Ereignis erzeugte Kennung und ein aus der Zeitzone des Browsers abgeleitetes Land, aber keine Kennung der Verifikationssitzung, kein Ergebnis, keine Zeitangaben, keine Stadt und keine IP-Adresse. Da die Kennung niemals wiederverwendet wird, lassen sich keine zwei dieser Ereignisse miteinander oder mit einer Person, Sitzung oder einem Konto verknüpfen. Kein Datenstrom enthält biometrische Daten, eine Kennung der Verifikationssitzung oder eine E-Mail-Adresse. Über diese anonyme Zählung hinaus wird nichts über eine einzelne Verifikation in irgendeiner Form an Google Analytics gesendet. Diese Aussage bezieht sich auf die hier beschriebenen Analytics-Datenströme. Sie bezieht sich nicht auf die Anfrageprotokolle der Plattform in Abschnitt 8, die der Cloud-Infrastrukturanbieter für jede Anfrage schreibt und die eine Kennung der Verifikationssitzung enthalten können.

Kalibrierungsskalardaten, einschließlich der ausschließlich dem Betriebspersonal zugänglichen Messwerte zu Aufnahmebedingungen und des begrenzten Archivs, sind auf das Betriebspersonal beschränkt. Sie werden Kundenorganisationen nicht zugänglich gemacht und nicht als Marketingdatensatz verwendet.

EU-Anbieter von KI-Inferenz erhalten Gesichts- und Dokumentdaten zur Unterstützung der Altersverifikation. Sie liefern ihre Ergebnisse zurück, ohne eine wiederverwendbare Repräsentation eines Gesichts bereitzustellen. Inferenzanbieter verarbeiten Daten ausschließlich zur Beantwortung einer Anfrage und bewahren danach keine dieser Daten auf, außer für einen begrenzten Zeitraum, wenn dies aus Sicherheitsgründen erforderlich ist. Soweit unsere Entscheidungsrichtlinie dies vorsieht, entscheidet diese Auswertung über die Verifikation. In jedem Fall erhalten Sie ein Ergebnis derselben Form, und die Auswertung gelangt an keinen Händler. Unsere Verarbeitung zur Kalibrierung und Qualitätssicherung wird in Abschnitt 4 beschrieben.

Keine Antwort des Anbieters wird mit einem Händler oder mit Ihnen geteilt. Wir senden für den Vergleich keine Gesichtsdaten an Dritte und verwenden sie nicht, um Sie über mehrere Prüfungen hinweg zu verknüpfen. Den Gesichtsausschnitt bewahren wir zur Qualitätssicherung wie in dieser Erklärung beschrieben auf.

Wird der Dokumentenschritt durchgeführt, erhält bei einigen Ausstellungsländern das amtliche Register ungültiger Dokumente des Ausstellungslandes die Dokumentnummer und die Dokumentart, um zu beantworten, ob das Dokument dort aufgeführt ist. Es erhält weder ein Bild, einen Namen, ein Geburtsdatum noch Informationen über den anfragenden Dienst oder das Verifikationsergebnis.

Die Cookies, die diese Website speichern kann, ihr Zweck, ihre Speicherdauer und ihre Empfänger sowie das Bedienelement zum Ändern einer gespeicherten Antwort sind auf der Seite Cookie-Richtlinie beschrieben.

6. Internationale Übermittlungen

AgeRail konfiguriert die von ihm kontrollierten biometrischen und Verifikationsverarbeitungen sowie die Speicherung der dabei erzeugten Daten so, dass sie innerhalb der Europäischen Union stattfinden. Begleitende Support-, Sicherheits- und Telemetrieaktivitäten der Anbieter unterliegen den jeweiligen Anbieterbedingungen, die unter /subprocessors zusammengefasst sind. Die Zustellung von Verifikationsergebnissen an die vom Verantwortlichen selbst konfigurierten Weiterleitungs- oder Webhook-Endpunkte erfolgt auf dessen Weisung; die Wahl und Verantwortung für den Standort dieser Endpunkte liegen beim Verantwortlichen. Aktuelle Einzelheiten zum Hostingstandort erhalten Kunden auf Anfrage unter Vertraulichkeit.

Zahlungsdaten werden von Stripe nach dessen eigenen Datenverarbeitungsbedingungen und Übermittlungsmechanismen verarbeitet, einschließlich, soweit anwendbar, des EU-US Data Privacy Framework und der Standardvertragsklauseln. Daten transaktionsbezogener E-Mails werden von Postmark nach dessen eigenen Datenverarbeitungsbedingungen und Übermittlungsmechanismen verarbeitet, einschließlich, soweit anwendbar, des EU-US Data Privacy Framework und der Standardvertragsklauseln, sowie von Resend (Plus Five Five, Inc.). Resend speichert Nachrichteninhalte und Zustellprotokolle in den Vereinigten Staaten auf Grundlage seiner Zertifizierung nach dem EU-US Data Privacy Framework und der Standardvertragsklauseln in seinem Datenverarbeitungszusatz. Analysedaten zu Websitebesuchern sowie die serverseitigen Registrierungs-, Zahlungs- und Kontoaktivitätsereignisse und anonymen Verifikationsbesuchsereignisse werden von Google nach dessen eigenen Bedingungen und Übermittlungsmechanismen verarbeitet, einschließlich, soweit anwendbar, des EU-US Data Privacy Framework und der Standardvertragsklauseln. Unter /subprocessors finden Sie eine Zusammenfassung der Übermittlungen je Anbieter. Um eine Kopie der Garantien zu erhalten, auf die sich ein Anbieter stützt, oder um zu erfahren, wo diese verfügbar sind, schreiben Sie an privacy@agerail.com.

7. Ihre Rechte

Abhängig von Ihrer Rolle und dem anwendbaren Recht können Ihnen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch zustehen, einschließlich des Widerspruchsrechts nach Art. 21 DSGVO bei einer Verarbeitung auf Grundlage berechtigter Interessen.

Zur Ausübung dieser Rechte wenden Sie sich an privacy@agerail.com. Diese Erklärung beschreibt, welche Daten wir verarbeiten, warum, wie lange und wer sie einsehen kann, und nicht den Aufbau unserer Systeme. Benötigen Sie weitere Einzelheiten zu einer hier beschriebenen Verarbeitung, fragen Sie uns unter derselben Adresse.

Kalibrierungsdatensätze sind pseudonym und enthalten weder Namen, E-Mail-Adressen noch andere direkte Kennungen. Einen darauf bezogenen Widerspruch oder Löschantrag bearbeiten wir anhand der Informationen, die vernünftigerweise zur Verfügung stehen, um die betreffenden Verifikationen zu ermitteln, im Einklang mit Art. 11 DSGVO und Art. 12 DSGVO. Soweit dies möglich ist, löschen wir betroffene 30-tägige Kalibrierungsdatensätze vor ihrem Ablauf und befassen uns mit einem zugehörigen Datensatz zu Aufnahmebedingungen oder einem begrenzten Archiv, sofern sich die betreffende Verifikation ermitteln lässt. Das in Abschnitt 4.4 beschriebene verbleibende, vom Anbieter verwaltete Wiederherstellungszeitfenster gilt auch nach der Löschung eines Kalibrierungsdatensatzes.

Das Ergebnis einer Verifikation wird automatisch erzeugt: Bei AgeRail ist keine Person an seiner Erzeugung beteiligt, und die in Abschnitt 4.1 beschriebene Qualitätsprüfung ändert niemals ein bereits ausgegebenes Ergebnis. Der anfragende Dienst ist dafür verantwortlich und muss Ihnen eine Möglichkeit geben, es anzufechten: Werden Sie bei einer Prüfung abgelehnt und halten Sie dies für falsch, bitten Sie diesen Dienst um eine Überprüfung der Ablehnung durch einen Menschen und um eine andere Möglichkeit, Ihr Alter nachzuweisen. Nach Art. 22 Abs. 3 DSGVO muss er diesen Antrag prüfen und darf die Ablehnung nicht allein auf Grundlage des automatisierten Ergebnisses aufrechterhalten. Die bloße Wiederholung der Prüfung ist keine solche Möglichkeit, und Sie sollten darauf nicht angewiesen sein. Wurde die Ablehnung im in Abschnitt 4.1 beschriebenen Dokumentenschritt entschieden, sind die einzigen anschließend noch überprüfbaren Materialien die beiden dort beschriebenen Bilder. Sie werden bis zu 24 Stunden aufbewahrt und können bei Erreichen der Kapazitätsgrenze oder einem Neustart des Dienstes früher aus dem Arbeitsspeicher entfernt werden. Eine Anfrage, bei der es darauf ankommt, was diese Bilder zeigten, muss privacy@agerail.com innerhalb von 24 Stunden nach der Prüfung erreichen. Danach kann AgeRail nur noch das für die Sitzung aufgezeichnete Ergebnis und die zugehörigen Zeitangaben bereitstellen. AgeRail schreibt Ihr Bild weder auf einen Datenträger noch in eine Datenbank, einen Objektspeicher oder eine Sicherungskopie. Die in Abschnitt 4.1 beschriebene Kopie im Arbeitsspeicher wird bis zu 24 Stunden zur Qualitätssicherung aufbewahrt und kann bei Erreichen der Kapazitätsgrenze oder einem Neustart des Dienstes früher aus dem Arbeitsspeicher entfernt werden: Bei Erreichen des festgelegten Gesamtbudgets für den Arbeitsspeicher wird zuerst die älteste Aufnahme freigegeben. Nach ihrer Freigabe kann AgeRail die Originalaufnahme nicht erneut prüfen. Auf Anfrage über privacy@agerail.com kann AgeRail dem anfragenden Dienst das für diese Sitzung aufgezeichnete Ergebnis und die zugehörigen Zeitangaben bereitstellen. Die in Abschnitt 4.2 beschriebenen Kalibrierungsmesswerte sind pseudonym: Sie enthalten weder Namen, Bild noch Konto, und AgeRail verwendet sie nicht, um Sie zu identifizieren. Teilt uns der anfragende Dienst die Sitzungskennung mit, solange ein Datensatz besteht, können wir die für diese Sitzung aufgezeichneten Messwerte auffinden.

Endnutzer, die sich über das Produkt einer Kundenorganisation verifiziert haben, sollten sich bei Anfragen zur eigenen Verarbeitung ihrer Daten durch diese Kundenorganisation außerhalb von AgeRail auch an diese wenden.

Sie können bei einer Aufsichtsbehörde Beschwerde einlegen. In Spanien ist die federführende Behörde die Agencia Española de Protección de Datos (AEPD).

Um eine gespeicherte Antwort auf das Cookie-Banner zu widerrufen, verwenden Sie das Bedienelement auf der Seite Cookie-Richtlinie. Dadurch werden die Cookies gelöscht und das Banner wird erneut angezeigt. Um der in Abschnitt 3.2 beschriebenen, auf berechtigte Interessen gestützten Messung der Aktivitäten von Kundenorganisationen zu widersprechen, wenden Sie sich an privacy@agerail.com.

8. Sicherheit

Wir setzen dem Risiko angemessene technische und organisatorische Maßnahmen ein. Dazu gehören Zugriffskontrollen nach dem Prinzip der geringsten Berechtigung; Verschlüsselung bei der Übertragung; durchgesetzte Standortkontrollen, die den Betrieb von Verifikationsdiensten außerhalb ihrer genehmigten Region verhindern; Kontrollen, die verhindern, dass Gesichtsbilder, daraus abgeleitete wiederverwendbare biometrische Vorlagen oder andere Repräsentationen sowie die vollständige Verteilung der Alterseinschätzung des Modells in einen dauerhaften Speicher geschrieben werden, wobei unsere Datensätze keine Felder dafür vorsehen; sowie ein eingeschränkter, ausschließlich dem Betriebspersonal vorbehaltener Zugriff auf Kalibrierungsdatensätze. Wir können diese Maßnahmen im Laufe der Zeit ändern, sofern das Gesamtschutzniveau nicht abgesenkt wird.

Die Umsetzung dieser Sicherheit erfordert Aufzeichnungen über die Anfragen, die unsere eigenen Systeme erhalten. Der Cloud-Anbieter, der AgeRail hostet, schreibt für jede Anfrage an einen AgeRail-Dienst einen Datensatz. Dieser umfasst die IP-Adresse, von der die Anfrage stammt, den Browser oder die App, die sie gestellt hat, die angefragte Adresse sowie weitere Telemetriedaten zur Sicherheit und Missbrauchsprävention. Dieser Datensatz wird für jede Anfrage erstellt, unabhängig davon, ob ihn jemand liest. Er ist nicht Teil der in Abschnitt 4.2 beschriebenen Kalibrierungsdatensätze. Aus denselben Datensätzen zählen wir außerdem, in aggregierter Form und ohne eine Adresse aufzubewahren, wie viele Besucher über die einzelnen Werbekanäle und verlinkenden Websites auf unsere Marketing-Website gelangen.

Das Betriebspersonal von AgeRail darf diese Datensätze über eine ausschließlich ihm zugängliche Konsole einsehen, um Ausfälle, Verzögerungen und Missbrauch des Dienstes zu untersuchen. Rechtsgrundlage ist das berechtigte Interesse von AgeRail an der Sicherheit seiner eigenen Netz- und Informationssysteme (Art. 6 Abs. 1 lit. f DSGVO, Erwägungsgrund 49). AgeRail handelt hierbei als Verantwortlicher und nicht als Auftragsverarbeiter eines Händlers. Die Datensätze werden gemäß der Protokollaufbewahrung des Anbieters dreißig Tage lang aufbewahrt und anschließend gelöscht. Nichts daraus Ausgelesenes wird in eine AgeRail-Anwendungsdatenbank geschrieben, exportiert oder zum Herunterladen angeboten. Werte, die ein Passwort oder ein Zugriffstoken enthalten, werden entfernt, bevor ein Datensatz angezeigt wird. Der Zugriff ist ausschließlich dem Betriebspersonal vorbehalten; kein Händler, Endnutzer oder anderer Anbieter erhält diese Datensätze. Enthält eine Anfrage eine Kennung der Verifikationssitzung, zeigt der Datensatz diese Kennung neben der IP-Adresse an. Diese Anfragedatensätze enthalten weder ein Bild noch eine Alterseinschätzung oder einen biometrischen Wert. Ein Anfragedatensatz und der in Abschnitt 4.5 beschriebene Datensatz zum Bildmodellaufruf können dieselbe Sitzungskennung enthalten. Für denselben Sicherheitszweck erfasst AgeRail außerdem die bei der Verifikation verwendeten IP-Adressen sowie Informationen über deren Land und Netzwerk, um automatisierte oder betrügerische Nutzung sowie die Nutzung von VPNs oder Proxys zu erkennen. Diese Informationen stehen nur dem Betriebspersonal von AgeRail zur Verfügung. Jede Adresse wird dreißig Tage nach ihrer Erfassung gelöscht; die Länder- und Netzwerkinformationen verbleiben beim Verifikationsdatensatz, solange dieser aufbewahrt wird. Sie können dieser Verarbeitung nach Art. 21 DSGVO widersprechen; siehe Abschnitt 7.

9. Geschäftskontakte

Wir erhalten geschäftliche Kontaktdaten von Mitgliedern unseres Teams, die diese Personen in beruflichem Zusammenhang kennen. Wir verwenden diese Daten, um sie per E-Mail über unsere Dienste zur Altersverifikation zu informieren.

Unsere Rechtsgrundlage ist unser berechtigtes Interesse am Aufbau von Geschäftsbeziehungen nach Art. 6 Abs. 1 lit. f DSGVO, abgewogen gegen die Rechte und Interessen der betreffenden Person. In Spanien sieht Art. 19 LOPDGDD eine Vermutung des berechtigten Interesses für berufliche Kontaktdaten vor, sofern die dortigen Voraussetzungen erfüllt sind. Dazu gehören die Beschränkung der Daten auf das für den beruflichen Kontakt Erforderliche und ihre Verwendung zur Pflege von Geschäftsbeziehungen.

Wir verarbeiten den Namen, die geschäftliche E-Mail-Adresse und das Unternehmen der Person, Notizen unseres Teams zu jedem Kontakt sowie eine Aufzeichnung darüber, welche E-Mails wir gesendet haben und ob die Person uns gebeten hat, dies einzustellen. Unser Team und die Dienstleister, die unsere E-Mails zustellen, erhalten diese Daten. Diese Anbieter können sie unter den in Abschnitt 6 beschriebenen Garantien außerhalb der EU verarbeiten.

Wir bewahren Kontaktdaten auf, bis die Person widerspricht oder wir den Kontakt löschen, und überprüfen die Liste regelmäßig. Bittet uns jemand, keine weiteren E-Mails zu senden, bewahren wir nur einen minimalen Datensatz seiner E-Mail-Adresse in einer Form, die sich nicht wieder in die Adresse zurückrechnen lässt, auf, ausschließlich um sicherzustellen, dass wir dieser Person nicht erneut eine E-Mail senden.

Sie können jederzeit widersprechen, indem Sie auf eine dieser E-Mails antworten oder an privacy@agerail.com schreiben. Sie müssen keinen Grund angeben. Wir werden Ihre Daten dann nicht mehr zum Versand dieser E-Mails verwenden.

10. Änderungen

Wir können diese Datenschutzerklärung aktualisieren, indem wir auf dieser Seite eine neue Fassung mit einer aktualisierten Versionszeile veröffentlichen. Wesentliche Änderungen werden in der oben auf dieser Seite angegebenen Version und im Datum des Inkrafttretens ausgewiesen.

11. Kontakt

Lalalu Marketing SL
Travessera de Gràcia 73, 4-2
08006 Barcelona, Spanien
privacy@agerail.com