Datenschutzrichtlinie für biometrische Daten

Datenschutzrichtlinie für biometrische Daten

Version: 1.1  |  Datum des Inkrafttretens: 30. September 2026

DateSteady wird von HoopFrog Inc. betrieben («wir», «uns», «unser»). Diese Richtlinie wird gemäß dem Illinois Biometric Information Privacy Act, 740 ILCS 14/15(a) (BIPA), dem Texas Capture or Use of Biometric Identifier Act (CUBI), der H.B. 1493 des Bundesstaates Washington sowie, für betroffene Personen mit Sitz in der Europäischen Union oder im Vereinigten Königreich, den Anforderungen von Artikel 9 DSGVO und des UK DPA 2018 in Bezug auf besondere Kategorien personenbezogener Daten erlassen.

1. Zweck der Erhebung

Wir erheben bei unseren Selfie-Prüfungen Werte zur Gesichtsgeometrie, um:

• betrügerische Anmeldungen zu verhindern (Bots, Catfish-Konten, Kontoübernahmen);
• Altersnachweispflichten zu unterstützen, sofern das Gesetz (UK Online Safety Act 2023, EU-DSA, US-bundesstaatliche Gesetze) verlangt, dass Nutzer 18 Jahre oder älter sind. Die Altersprüfung selbst erfolgt separat durch einen unabhängigen Altersnachweisanbieter und wird nicht aus Ihrer Gesichtsgeometrie abgeleitet;
• unsere Community vor Identitätsbetrug zu schützen, indem ein Live-Selfie mit den von Ihnen hochgeladenen Profilfotos abgeglichen wird.

Werte zur Gesichtsgeometrie sind mathematische Darstellungen der räumlichen Beziehungen zwischen Gesichtsmerkmalen. Es handelt sich nicht um Fotografien, und sie können nicht zur Rekonstruktion Ihres Bildes verwendet werden.

2. Auftragsverarbeiter und internationale Übermittlungen

Die folgenden Unterauftragsverarbeiter können in unserem Auftrag biometrische Identifikatoren verarbeiten (mit Ausnahme der Hash-Prüfung auf bekanntes CSAM: diese erhält nur Bild-Hashes und keine Daten zur Gesichtsgeometrie). Jeder ist durch einen Auftragsverarbeitungsvertrag und, soweit anwendbar, durch Standardvertragsklauseln (SCCs) für grenzüberschreitende Übermittlungen gebunden:

• VerifyMy (Vereinigtes Königreich), externer Anbieter zur Altersverifizierung. Abgedeckt durch die UK-DSGVO und den Angemessenheitsbeschluss EU→Vereinigtes Königreich. SCCs für Weiterübermittlungen vorhanden.
• Ein Cloud-Anbieter für Gesichtsvergleiche (EU, Irland): Gesichtsvergleich sowie Bildqualitäts- und Anti-Spoofing-Prüfungen für die Foto-Selfie-Prüfung und eine Lebenderkennung für die Live-Selfie-Prüfung, bei der ein kurzes Video direkt von Ihrem Gerät an den Anbieter übertragen und ein Einzelbild daraus mit Ihrem freigegebenen öffentlichen Hauptprofilfoto verglichen wird. Verarbeitet gemäß der Auftragsverarbeitungsvereinbarung des Anbieters, mit SCCs für jede Weiterübermittlung, und durch ein Opt-out, das unser gesamtes Konto umfasst, vom KI-Training des Anbieters ausgeschlossen.
• Ein Dienst für Hash-Prüfungen auf bekanntes CSAM (Vereinigte Staaten): Hash-Prüfungen von Bildern zur Filterung illegaler Inhalte (CSAM). Abgedeckt durch SCCs. Der Dienst erhält nur Bild-Hashes; er erhält keine biometrischen Daten zur Gesichtsgeometrie.

Kein biometrischer Identifikator wird verkauft, verpachtet, gehandelt oder anderweitig gewinnbringend genutzt. Wir verwenden biometrische Daten nicht für Werbung oder Analysen.

3. Aufbewahrungsfristen

Biometrische Identifikatoren (Werte zur Gesichtsgeometrie) werden vernichtet, sobald der ursprüngliche Zweck der Erhebung erfüllt ist (d. h. das Verifizierungsergebnis erfasst wurde) ODER innerhalb von drei (3) Jahren nach der letzten Interaktion der Person mit dem Dienst, je nachdem, was früher eintritt. Dies entspricht dem Maßstab «je nachdem, was früher eintritt» der BIPA 15(a).

Fehlgeschlagene, abgelehnte oder abgelaufene Verifizierungsversuche werden innerhalb von 90 Tagen durch einen automatisierten täglichen Cron-Job gelöscht.

Foto-Selfie-Prüfung: Bei einer erfolgreichen Verifizierung bewahren wir nur für Ihre letzte erfolgreiche Prüfung das Ergebnis, die Werte aus der Prüfung (zum Beispiel wie stark das Selfie Ihrem Profilfoto ähnelte, sowie Werte zur Bildqualität) und das Foto auf, mit dem verglichen wurde; dies sind Zahlen über die Prüfung, keine Messungen Ihres Gesichts. Das Selfie-Bild selbst wird nach der Verarbeitung gelöscht und nicht gespeichert.

Live-Selfie-Prüfung: Wir speichern weder das Video noch das Einzelbild noch eine Gesichtsvorlage. Wir bewahren das Ergebnis und zwei Werte auf (wie sicher sich der Anbieter war, dass eine lebende Person anwesend war, und wie stark das Einzelbild Ihrem Foto ähnelte); dies sind Zahlen über die Prüfung, keine Messungen Ihres Gesichts. Die Ergebnisse nicht bestandener Prüfungen werden 90 Tage nach der Prüfung gelöscht, die Ergebnisse bestandener Prüfungen 3 Jahre nach der Prüfung, sofern wir nicht gesetzlich verpflichtet sind, sie aufzubewahren. Sie werden mit Ihrem Konto gelöscht, wenn Sie es löschen.

4. Vernichtungsverfahren

Wenn die Aufbewahrungsfristen erreicht sind oder auf Wunsch des Nutzers:

• Wir löschen alle Kopien aus unserem eigenen Speicher (Datenbankzeilen und alle daraus abgeleiteten Artefakte).
• Der Gesichtsvergleich erfolgt zustandslos ohne Gesichtssammlung, sodass der Anbieter keine Gesichtsgeometrie zum Löschen aufbewahrt; das Selfie existiert nur vorübergehend und wird unmittelbar nach dem Abgleich gelöscht. Auch die Live-Selfie-Prüfung verwendet keine Gesichtssammlung: Ihr Video geht direkt von Ihrem Gerät an den Anbieter, wird gemäß den Servicebedingungen des Anbieters verarbeitet, und wir speichern es nicht. Wir löschen unsere eigenen Datenbankeinträge und protokollieren das Löschereignis. Bei vollständiger Kontolöschung stellen wir eine Löschanfrage an VerifyMy, sofern ein Endpunkt für Betroffenenanfragen konfiguriert ist. Die Hash-Prüfung auf bekanntes CSAM hält keine biometrischen Daten (nur Bild-Hashes), sodass dort nichts Biometrisches zu löschen ist.
• Wir bewahren einen Prüfnachweis des Löschereignisses (ohne die biometrischen Daten selbst) auf, um die Einhaltung der Vorschriften nachzuweisen.

5. Rechtsgrundlage

• DSGVO / UK-DSGVO: Artikel 9(2)(a), Ihre ausdrückliche Einwilligung. Für die Foto-Selfie-Prüfung ist dies bei den meisten Mitgliedern die Einwilligung in die Verarbeitung sensibler Daten, die die Gesichtsgeometrie umfasst und bei der Erstellung des Kontos erteilt wird; liegt sie uns nicht vor, holen wir sie über den Bildschirm zur biometrischen Einwilligungserklärung ein, bevor die Selfie-Aufnahme beginnt. Für die Live-Selfie-Prüfung bitten wir Sie auf einem gesonderten Bildschirm um Ihre ausdrückliche Einwilligung, wenn Sie die Prüfung zum ersten Mal starten, und erneut, wenn Sie Ihre Einwilligung widerrufen haben; wir stützen uns dafür nicht auf die bei der Registrierung erteilte Einwilligung.
• BIPA (Illinois): 740 ILCS 14/15(b), informierte schriftliche Erklärung, unterzeichnet von der betroffenen Person, mit vollständiger Offenlegung des Zwecks und der Aufbewahrungsfrist.
• Texas CUBI § 503.001 / Washington H.B. 1493: informierte Offenlegung und Einwilligung zum Zeitpunkt der Erhebung.
• PIPEDA (Kanada): aussagekräftige Einwilligung gemäß Grundsatz 4.3.

6. Ihre Rechte

Sie können jederzeit:

• Ihre Einwilligung widerrufen. Gehen Sie zu Einstellungen → Datenschutz → Biometrische Einwilligung widerrufen. Nach dem Widerruf löschen wir die aufbewahrte Gesichtsgeometrie aus unserem Speicher und weisen die Auftragsverarbeiter an, dasselbe innerhalb von 7 Tagen zu tun. Hinweis: Der Widerruf der Einwilligung macht eine vor dem Widerruf erfolgte rechtmäßige Verarbeitung nicht rückwirkend ungültig. Die Ergebnisse früherer Live-Selfie-Prüfungen (das Ergebnis und zwei Werte, keine Bilder) werden für die in Abschnitt 3 genannten Zeiträume aufbewahrt.
• Auskunft verlangen über alle biometrischen Datensätze, die wir über Sie führen (DSGVO Art. 15, BIPA 15(d)).
• Löschung verlangen. Sie können jederzeit eine Löschung verlangen, unabhängig vom Widerruf der Einwilligung.
• Datenübertragbarkeit verlangen für Ihr Verifizierungsergebnis (Bestanden/Nicht-bestanden-Flag), der Rohwert der Gesichtsgeometrie ist jedoch nach den aktuellen APIs der Unterauftragsverarbeiter nicht übertragbar.

7. Sicherheitsvorkehrungen

Biometrische Identifikatoren während der Übertragung sind durch TLS 1.3 geschützt. Im Ruhezustand werden sie mit AES-256 innerhalb der Infrastruktur des jeweiligen Auftragsverarbeiters verschlüsselt. Der Zugriff ist auf die eng begrenzte automatisierte Pipeline beschränkt, die den Gesichtsabgleich durchführt; kein menschlicher Bediener bei HoopFrog Inc. sieht im gewöhnlichen Geschäftsbetrieb biometrische Rohdaten ein.

8. Kontakt

Fragen, Auskunftsanfragen oder Widerrufe der Einwilligung in Bezug auf biometrische Daten:

HoopFrog Inc.
z. Hd.: Datenschutzbeauftragter (Biometrie-Anfragen)
3-11 Bellerose Drive, Suite 312
St. Albert, AB T8N 5C9, Kanada
E-Mail: support@datesteady.com

9. Änderungen dieser Richtlinie

Wenn wir diese Richtlinie wesentlich ändern, zum Beispiel durch Hinzufügen eines neuen Unterauftragsverarbeiters oder Verlängerung der Aufbewahrungsfrist, erhöhen wir die Versionsnummer und holen die Einwilligung der betroffenen Nutzer erneut ein, bevor wir ihre biometrischen Daten unter den neuen Bedingungen weiterverarbeiten.