Datenschutz & Nutzungsbedingungen – KYC-Identitätsverifikation

Der Schutz Ihrer persönlichen Daten hat für uns höchste Priorität. Unser KYC-Identitätsverifikationssystem (Know Your Customer) nutzt die staatliche ID Austria / Digitales Amt zur vollständigen Identitätsfeststellung und erfüllt höchste Datenschutzstandards, einschließlich der Datenschutz-Grundverordnung (DSGVO), des österreichischen Datenschutzgesetzes (DSG) sowie der geldwäscherechtlichen Vorgaben des FM-GwG und der EU-Geldwäscherichtlinien (AMLD). Nachfolgend erläutern wir detailliert, wie wir Ihre Daten ausschließlich in Wien, Österreich verarbeiten.

1. Verantwortliche Stelle

Verantwortlicher für das KYC-Identitätsverifikationssystem ist:
PK Full Stack IT Solutions e.U.
Krottenbachstraße 111
1190 Wien
Österreich

Für Fragen oder Anliegen zum Datenschutz kontaktieren Sie bitte: hello@ageverification.at

2. Zweck der Datenverarbeitung

Das KYC-Identitätsverifikationssystem dient der vollständigen Identitätsfeststellung von Personen im Rahmen gesetzlicher Sorgfaltspflichten (Know Your Customer / KYC) sowie der Bekämpfung von Geldwäsche und Terrorismusfinanzierung (Anti Money Laundering / AML). Im Unterschied zur reinen Altersverifikation werden hierbei personenbezogene Identitätsdaten erhoben, verarbeitet und für die gesetzlich vorgeschriebene Dauer aufbewahrt.

Bei gesetzlicher Notwendigkeit wird zusätzlich eine Gesichtsüberprüfung und ein Face-Matching durchgeführt, um sicherzustellen, dass die verifizierte Person mit der anwesenden Person übereinstimmt. Der Prozess ist sicher, automatisiert und darauf ausgelegt, Missbrauch vorzubeugen und gleichzeitig Ihre Privatsphäre bestmöglich zu schützen.

3. Verarbeitete Daten

Für die KYC-Verifikation mittels ID Austria werden folgende personenbezogene Daten und Attribute verarbeitet:

3.1 Personenidentifikationsdaten

3.2 Wohnsitzdaten

3.3 Ausweisdokumentdaten

3.4 Technische und regulatorische Attribute

3.5 Altersverifikationsattribute

3.6 Automatisch übermittelte Attribute

Folgende Attribute werden bei jeder ID Austria Anmeldung automatisch übermittelt und sind nicht abwählbar:

3.7 Biometrische Daten (Face Matching)

Bei gesetzlicher Notwendigkeit wird ein temporäres Lichtbild für den biometrischen Abgleich (Face Matching) erfasst. Dieses dient ausschließlich der Übereinstimmungsprüfung zwischen der verifizierten und der anwesenden Person. Die Face Matching Technologie arbeitet mit verschlüsselten biometrischen Vektoren, die keine Rückschlüsse auf die Identität zulassen.

4. Notwendigkeit der Datenbereitstellung

Die Bereitstellung der personenbezogenen Daten ist zur Erbringung der KYC-Verifikationsdienstleistungen sowie zur Erfüllung gesetzlicher Sorgfaltspflichten (insbesondere gemäß FM-GwG und EU-Geldwäscherichtlinien) zwingend erforderlich. Ohne diese Daten ist eine Erbringung der Leistung unmöglich und kommt nicht zustande. (Art. 13 Abs. 2 lit. e DSGVO).

5. Speicherdauer und Aufbewahrungspflichten

Im Unterschied zur reinen Altersverifikation unterliegt die KYC-Identitätsverifikation gesetzlichen Aufbewahrungspflichten. Wir sind verpflichtet, Verifikationsdaten und Audit-Protokolle für die gesetzlich vorgeschriebene Dauer aufzubewahren.

• Audit-Protokolle und Verifikationsergebnisse: Aufbewahrung für mindestens 5 Jahre nach Durchführung der Verifikation, gemäß § 21 FM-GwG und Art. 40 der EU-Richtlinie 2015/849 (4. Geldwäscherichtlinie).
• Ausweisdokumentdaten: Kopien und Daten des Ausweisdokuments werden für die Dauer der Aufbewahrungsfrist gespeichert, da sie als Nachweis der Identitätsfeststellung dienen.
• Biometrische Daten (Face Matching): Temporäre Lichtbildfotos sowie biometrische Vektoren, die für das Face Matching verwendet werden, werden unmittelbar nach der Verifikation automatisch gelöscht und sind nicht Teil des Audit-Protokolls.
• Löschung nach Ablauf: Nach Ablauf der gesetzlichen Aufbewahrungsfrist werden sämtliche gespeicherten Daten automatisch und unwiderruflich gelöscht.

6. Audit-Protokollierung

Im Rahmen der gesetzlichen KYC/AML-Sorgfaltspflichten werden folgende Informationen in einem revisionssicheren Audit-Protokoll festgehalten:

• Zeitpunkt und Ergebnis der Identitätsverifikation
• Verwendete Identifikationsmethode und ID Austria Level (IDA-Full / IDA-Basis)
• Ergebnis des Face Matchings (Übereinstimmung ja/nein, Konfidenzwert) — ohne Speicherung der biometrischen Rohdaten
• Referenzdaten zur eindeutigen Zuordnung der Verifikation

Die Audit-Protokolle werden verschlüsselt gespeichert und sind ausschließlich zur Erfüllung gesetzlicher Nachweispflichten sowie auf Anforderung von Aufsichtsbehörden zugänglich.

7. Rechtsgrundlage der Verarbeitung

Die Verarbeitung Ihrer personenbezogenen Daten erfolgt auf Basis folgender Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. c DSGVO (Rechtliche Verpflichtung): Erfüllung gesetzlicher Sorgfaltspflichten gemäß FM-GwG (Finanzmarkt-Geldwäschegesetz), GewO (Gewerbeordnung) sowie der EU-Geldwäscherichtlinien (Richtlinie 2015/849 und 2018/843).
• Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung): Erbringung der vertraglich vereinbarten KYC-Verifikationsdienstleistung.
• Art. 6 Abs. 1 lit. f DSGVO (Berechtigtes Interesse): Unsere Kunden setzen unsere Software zur KYC-Identitätsverifikation und zum User Onboarding ein. Unser berechtigtes Interesse besteht darin, diesen Kunden ein zuverlässiges, sicheres und rechtskonformes Identitätsverifikationssystem bereitzustellen und Identitätsbetrug vorzubeugen.

8. Ort der Datenverarbeitung

Sämtliche Datenverarbeitung und -speicherung erfolgt ausschließlich in Österreich. Es findet keine Datenübertragung oder -verarbeitung außerhalb Österreichs statt. Dies gilt auch für die Speicherung von Audit-Protokollen und Verifikationsnachweisen.

9. Sicherheitsmaßnahmen

Wir treffen umfassende technische und organisatorische Maßnahmen zum Schutz der Daten:

• Verschlüsselung: Sämtliche Datenübertragungen erfolgen verschlüsselt (TLS/SSL). Gespeicherte Daten und Audit-Protokolle werden zusätzlich durch Verschlüsselung at rest geschützt.
• Zugangsbeschränkung: Zugriff auf gespeicherte Verifikationsdaten und Audit-Protokolle ist streng reglementiert und erfolgt ausschließlich durch autorisiertes Personal im Rahmen gesetzlicher Anforderungen.
• Datensicherheit: Alle Daten werden in isolierten, hochsicheren Umgebungen verarbeitet und gespeichert.
• Revisionssicherheit: Audit-Protokolle werden unveränderbar (append-only) gespeichert und sind vor nachträglicher Manipulation geschützt.
• Face Matching Sicherheit: Lichtbildfotos werden ausschließlich für den unmittelbaren Abgleich verwendet und unmittelbar danach gelöscht. Die Face Matching Technologie arbeitet mit verschlüsselten biometrischen Vektoren, die nicht gespeichert werden.

10. Rechte der betroffenen Person

Gemäß DSGVO haben Sie folgende Rechte:

• Auskunftsrecht (Art. 15 DSGVO): Sie können Informationen zu den über Sie verarbeiteten und gespeicherten Daten anfordern, einschließlich der im Audit-Protokoll festgehaltenen Verifikationsdaten.
• Recht auf Berichtigung (Art. 16 DSGVO): Sie können die Berichtigung unrichtiger personenbezogener Daten verlangen.
• Löschungsrecht (Art. 17 DSGVO): Sie können die Löschung Ihrer Daten verlangen. Dieses Recht ist jedoch eingeschränkt, soweit die Speicherung zur Erfüllung gesetzlicher Aufbewahrungspflichten (insbesondere § 21 FM-GwG) erforderlich ist. Nach Ablauf der gesetzlichen Aufbewahrungsfrist werden die Daten automatisch gelöscht. Biometrische Daten aus dem Face Matching werden unmittelbar nach der Verifikation gelöscht und unterliegen keiner Aufbewahrungspflicht.
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO): Dieses Recht kann geltend gemacht werden, sofern eine rechtliche Grundlage gegeben ist, unter Berücksichtigung der gesetzlichen Aufbewahrungspflichten.
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Sie haben das Recht, Ihre personenbezogenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten.
• Widerspruchsrecht (Art. 21 DSGVO): Sie können der Verarbeitung, die auf berechtigtem Interesse (Art. 6 Abs. 1 lit. f DSGVO) beruht, widersprechen. Soweit die Verarbeitung jedoch auf einer gesetzlichen Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO) beruht, besteht kein Widerspruchsrecht. Bereits gespeicherte Audit-Daten können aufgrund gesetzlicher Pflichten nicht gelöscht werden.
• Automatisierte Entscheidungen (Art. 22 DSGVO): Eine rein automatisierte Entscheidung mit rechtlicher Wirkung findet nicht statt (siehe Abschnitt 11). Sie haben das Recht, eine manuelle Überprüfung des Verifikationsergebnisses zu verlangen.
• Beschwerderecht (Art. 77 DSGVO): Sie haben das Recht, sich bei der Österreichischen Datenschutzbehörde (www.dsb.gv.at) zu beschweren, wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer Daten gegen datenschutzrechtliche Bestimmungen verstößt.

Kein Widerrufsrecht: Da die Verarbeitung nicht auf einer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) beruht, sondern auf gesetzlicher Verpflichtung, Vertragserfüllung und berechtigtem Interesse, besteht kein Recht auf Widerruf einer Einwilligung gemäß Art. 7 Abs. 3 DSGVO.

Zur Ausübung Ihrer Rechte kontaktieren Sie uns bitte unter hello@ageverification.at

11. Automatisierte Entscheidungsfindung

Das KYC-Identitätsverifikationssystem arbeitet weitgehend automatisiert. Die von ID Austria bereitgestellten Identitätsdaten werden automatisiert verarbeitet und verifiziert. Das Ergebnis der Verifikation (bestanden / nicht bestanden) wird automatisiert ermittelt. Eine rein automatisierte Entscheidung mit rechtlicher Wirkung im Sinne des Art. 22 DSGVO findet nicht statt; bei Bedarf erfolgt eine manuelle Überprüfung.

12. Weitergabe von Daten

Eine Weitergabe personenbezogener Daten an Dritte erfolgt grundsätzlich nicht. Ausgenommen hiervon sind:

• Gesetzliche Verpflichtungen: Auf Anforderung zuständiger Behörden (insbesondere der Geldwäschemeldestelle / FMA – Finanzmarktaufsicht) können wir zur Herausgabe von Verifikationsdaten und Audit-Protokollen verpflichtet sein.
• Auftraggeber der Verifikation: Das Unternehmen, das die KYC-Verifikation beauftragt hat, erhält den vollständigen Verifikationsbericht zur Erfüllung seiner eigenen gesetzlichen KYC/AML-Sorgfaltspflichten. Dieser umfasst:
  • Vorname, Familienname, Geburtsdatum, Geschlecht und Staatsangehörigkeit
  • Hauptwohnsitz (Meldeadresse)
  • Ausweisdokumentdaten (Dokumentenart, Dokumentennummer, Gültigkeitszeitraum, ausstellende Behörde)
  • Aktuelles Lichtbild und Datum des Lichtbilds
  • Ausstellungsland, ID Austria Level und eIDAS Identifier
  • Altersverifikationsattribute (ageOver14/16/18/21)
  • Ergebnis des Face Matchings (Übereinstimmung ja/nein, Konfidenzwert)
  • Zeitpunkt, Ergebnis und Referenzdaten der Verifikation
  Biometrische Rohdaten (Lichtbildfotos aus dem Face Matching sowie biometrische Vektoren) werden nicht an den Auftraggeber übermittelt.

13. Aktualisierungen der Datenschutzrichtlinie

Diese Richtlinie kann aktualisiert werden, um Änderungen rechtlicher oder technischer Anforderungen zu berücksichtigen. Wesentliche Änderungen werden in geeigneter Form bekanntgegeben.

Gültig ab: 01.06.2026 (tt.mm.jjjj)

Für weitere Informationen kontaktieren Sie uns bitte. Ihr Vertrauen ist uns wichtig und wir verpflichten uns, Ihre Privatsphäre und Ihre Daten bestmöglich zu schützen und gleichzeitig unseren gesetzlichen Pflichten zur Bekämpfung von Geldwäsche und Terrorismusfinanzierung nachzukommen.