Datenschutzerklärung

Sie sind dabei, einem Fremden ein Foto Ihres Gesichts zu überlassen, um ein amtliches Dokument zu beantragen. Das ist viel verlangt, und ein Gesicht lässt sich nach einem Datenleck nicht ändern wie ein Passwort. Diese Seite sagt genau, was wir erheben, warum, wer sonst damit in Berührung kommt, wie lange es gespeichert bleibt und was wir beschlossen haben, niemals damit zu tun.

Wer für Ihr Foto verantwortlich ist

Verantwortlicher für alles, was Sie hochladen, und für den dazugehörigen Bestelldatensatz ist das Unternehmen, das IDPhoto.now betreibt: BEO TECHNOLOGY SPÓŁKA Z OGRANICZONĄ ODPOWIEDZIALNOŚCIĄ. Die Obhut über das Foto liegt bei uns, und wir geben diese Verantwortung an niemanden ab. Unser Zahlungsdienstleister Dodo Payments ist für die von ihm verarbeiteten Zahlungsdaten ein eigenständiger Verantwortlicher. Siehe „Wer Ihre Daten verarbeitet“.

Wenn Sie den Verantwortlichen wegen Ihrer Daten erreichen möchten, nutzen Sie die Kontaktseite. Geben Sie Ihre Bestellnummer an, wenn Sie eine haben.

Was wir erheben und warum

Welche Browserangabe wir speichern und welche nicht

Zu einer Browsersitzung speichern wir unter Umständen eine grobe Browserkategorie, um Missbrauch aufzuklären. Das ist weder ein User-Agent-String noch ein Fingerprint, sondern genau eines von vier Wörtern: mobile, desktop, automated oder unknown.

Wir speichern keine IP-Adressen in unseren Sitzungsdatensätzen oder in unserem Prüfprotokoll. Das ist eine bewusste Designentscheidung, festgeschrieben im Datenmodell und nicht in einem Versprechen. Unsere Hosting- und Plattformanbieter führen eigene Anfrageprotokolle, die IP-Adressen enthalten und nach deren eigenen Fristen aufbewahrt werden. Diese Protokolle gehören ihnen, nicht uns, und wir werden sie nicht so beschreiben, als hätten wir sie unter Kontrolle.

Auf welcher Rechtsgrundlage wir Daten verarbeiten

Für das Foto, die Messwerte und den Bestelldatensatz: die Erfüllung des Vertrags, den Sie geschlossen haben, als Sie uns mit der Prüfung eines Fotos beauftragt haben, sowie vorvertragliche Maßnahmen auf Ihre Anfrage. Für das Prüfprotokoll und die Maßnahmen gegen Betrug und Missbrauch: unser berechtigtes Interesse daran, einen Dienst zu betreiben, der nachweisen kann, wer mit dem Gesichtsfoto eines Kunden in Berührung kam. Für die Buchhaltungsunterlagen: unsere rechtlichen Pflichten.

Zwei ehrliche Einschränkungen. Erstens gehört die Analyse der Rechtsgrundlagen zu den Punkten, die die ausstehende rechtliche Prüfung klären muss; wir haben sie so dargestellt, wie wir sie verstehen, statt den Abschnitt leer zu lassen. Zweitens wird ein Gesichtsfoto zu biometrischen Daten im Sinne von Artikel 9 DSGVO, wenn es zur eindeutigen Identifizierung einer Person verarbeitet wird. Unser Design vermeidet diesen Zweck bewusst: Wir messen Bildeigenschaften und Gesichtsgeometrie (ein Gesicht wird gezählt; Neigung, Position und Größe des Kopfes werden als Zahlen gemessen und mit den Vorgaben des Dokuments verglichen), wir erstellen keine Templates, und der Detektor führt niemals eine Gesichtserkennung durch, erzeugt kein Gesicht und bearbeitet keines. Wir haben kein Rechtsgutachten, das diese Analyse bestätigt, und werden nicht so tun, als hätten wir eins.

Wer Ihre Daten verarbeitet

Aus dieser Tabelle folgen zwei wichtige Dinge, die in der Werbesprache rund um Merchants of Record regelmäßig verwischt werden.

• Dodo erhält Ihr Foto nie. Dateien werden ausschließlich aus unserem eigenen, zugangsgeschützten Speicher ausgeliefert, nie über einen Auslieferungskanal eines Zahlungsanbieters.
• Dass Dodo Merchant of Record ist, nimmt uns keine unserer Pflichten Ihnen gegenüber ab. Dodo kümmert sich um die Transaktionssteuern und ist der Verkäufer. Jede Datenschutzpflicht für Ihr Foto und die Richtigkeit von allem, was wir über die Funktionen des Dienstes sagen, bleiben bei uns.

Cookies und Analyse

Wir setzen die unten beschriebenen Cookies. Jedes wird für etwas gebraucht, das Sie auf dieser Website nutzen, deshalb gibt es kein Banner, das Ihre Zustimmung verlangt.

• idp_guest: ein zufälliges Token, gesetzt mit HttpOnly und SameSite=Lax, dreißig Tage gültig; bei uns wird nur sein Hash gespeichert. Es enthält keine personenbezogenen Daten: Es sorgt dafür, dass der Browser, in dem eine Bestellung angelegt wurde, zu ihr zurückfindet. Ohne es funktioniert der Dienst nicht.
• locale: die zuletzt genutzte oder gewählte Sprache der Seiten, ein Jahr lang gespeichert. Es ist HttpOnly und Secure, die Seite selbst kann es also nicht lesen, und es enthält sonst nichts.
• Die Anmelde-Cookies von Better Auth, der Software für unsere Anmeldung, die nur gesetzt werden, wenn sich jemand auf der Kontoseite anmeldet. Sie sind HttpOnly und halten Sie angemeldet, bis Sie sich abmelden oder die Sitzung abläuft.

Auf keiner Seite, die ein Foto oder eine Bestellung zeigt, gibt es Analyse-Cookies, Werbepixel oder Tags von Dritten. Wir haben keinen Analyseanbieter ausgewählt, und sollten wir es je tun, ist auf diesen Seiten kein Anbieter zugelassen.

Wie lange wir Daten aufbewahren

• Bilder einer nie bezahlten Bestellung: 24 Stunden.
• Bilder einer bezahlten Bestellung: 30 Tage, damit Sie die Datei erneut abrufen können.
• Früher als beides, wann immer Sie möchten. Auf Ihrer Bestellseite gibt es eine Schaltfläche zum Löschen. Siehe „Fotos und Daten löschen“.

Beide Fristen sind Produktentscheidungen, die bis zur rechtlichen Prüfung gelten, und können sich ändern, sobald die verbraucherrechtlichen und buchhalterischen Fragen geklärt sind. Sie sind keine rechtlichen Schlussfolgerungen.

Der Bestelldatensatz überdauert das Foto, mit Absicht

Werden Bilder gelöscht, bleibt der Bestelldatensatz mit einer Markierung erhalten, dass seine Materialien gelöscht sind. Ebenso bleiben die Zahlungsereignisse, die Erstattungsdatensätze und das Prüfprotokoll. Keiner davon enthält ein Foto. Wir bewahren sie auf, weil Buchhaltung und Reklamationsbearbeitung einen Nachweis darüber brauchen, was verkauft wurde und was geschehen ist, und weil diese Anforderungen so nie zum Grund werden, Ihr Gesicht aufzubewahren.

Eines wollen wir nicht verschweigen: Derzeit bleiben die Messwerte aus Ihrem Foto auch nach dem Löschen des Bildes erhalten, und einige davon sind aus EXIF stammende Zeichenketten wie Kameramodell und Aufnahmedatum. Ob sie mit dem Bild gelöscht werden sollten, ist eine offene Frage unserer rechtlichen Prüfung. Sie steht hier, statt stillschweigend weggelassen zu werden.

Sicherungskopien

Live-Daten werden sofort gelöscht. Unsere Anbieter führen eigene Sicherungen und Snapshots nach eigenen Zeitplänen, die wir nicht steuern und nicht nutzen, um einzelne Kundendatensätze wiederherzustellen. Wir behaupten nicht, dass Daten sofort aus jeder Sicherung der Welt verschwinden, denn das wäre nicht wahr.

Internationale Übermittlungen und was „Hosting in der EU“ nicht bedeutet

Unsere Anbieter sind globale Plattformen, und die Verarbeitung kann außerhalb des Landes stattfinden, in dem Sie sich befinden. Die Datenverarbeitungsvereinbarung von Dodo Payments verweist für dessen eigene Übermittlungen auf die EU-Standardvertragsklauseln (2021/914) und das britische International Data Transfer Addendum. Unsere eigenen Übermittlungsmechanismen und die Verarbeitungsorte der einzelnen Anbieter stehen noch nicht fest, und wir werden hier keinen Satz schreiben, der etwas anderes nahelegt.

Zwei Aussagen treffen wir ausdrücklich nicht:

• Hosting in der EU ist für sich genommen keine DSGVO-Konformität. Es ist ein Faktor unter vielen. Eine Website, die eine EU-Flagge als Konformitätserklärung präsentiert, verkauft Ihnen ein Gefühl.
• Ein Standorthinweis für den Speicher ist ein Hinweis, keine Garantie für den Speicherort. Unser Objektspeicher unterstützt einen Standorthinweis, den der Anbieter als „best effort“ beschreibt. Der einzige Mechanismus, der garantiert, wo Objekte liegen, ist eine Beschränkung auf einen Rechtsraum, die beim ersten Anlegen des Speicher-Buckets festgelegt wird und danach nicht mehr geändert werden kann. Solange diese Seite nicht sagt, dass wir eine solche Beschränkung gewählt haben, haben wir Ihnen kein Versprechen zum Speicherort gegeben.

Was wir niemals tun

Jeden dieser Punkte könnten wir technisch umsetzen und haben uns dagegen entschieden. Es sind Verpflichtungen, keine Absichtserklärungen.

• Wir trainieren keine Modelle mit Kundenfotos. Weder unsere eigenen noch fremde.
• Wir bauen keine Gesichtserkennungsdatenbank auf. Nirgends im System gibt es einen Index, der von einem Gesicht zu einer Person führt.
• Wir erstellen oder speichern keine biometrischen Templates oder Gesichts-Embeddings. Die Werte, die unsere Prüfungen messen, werden als einfache Zahlen in den Prüfzeilen Ihres Berichts gespeichert, zum Beispiel die Zahl der Gesichter, die Augenposition, die Kopfneigung, die Kopfhöhe als Anteil der Fotohöhe, der Abstand zwischen den Augen in Pixeln, der Tonumfang von dunkel bis hell im Gesicht und eine Konfidenzstufe für jedes Ergebnis, auch für die Antworten des Bildmodells. Bei neuen Uploads wird kein Zuschnittsrahmen gespeichert. Ältere Uploads speicherten die Gesichtsposition, nach der die Vorschau zugeschnitten wurde; sie wird mit dem Foto gelöscht. Löscht die Aufbewahrungsregel Ihre Fotos, werden die gespeicherten Bilder entfernt und diese Werte als zu einer gelöschten Datei gehörend markiert; die Zahlen selbst bleiben, wie alle Bestelldaten, für Buchhaltung und Streitfälle erhalten. Weiterhin keine Landmarken, keine Templates, keine Embeddings und keine Gesichtserkennung.
• Wir leiten aus einem Foto keine sensiblen Merkmale ab (weder ethnische Herkunft noch Gesundheit, Religion, Alter oder Geschlecht). Nichts in unserer Verarbeitung versucht das. Die Farbe der Haut im Gesicht messen wir nur, um zu beurteilen, ob die Haut glänzt, und um diesen Glanz auf Ihren Wunsch abzumildern. Wir leiten daraus nichts ab.
• Wir verkaufen, vermieten oder teilen keine Fotos mit Werbetreibenden, Datenhändlern oder sonst jemandem außerhalb der oben genannten Verarbeiter.
• Wir schreiben niemals Fotos, Bilddaten, Zugriffstoken oder vollständige E-Mail-Adressen in Logs oder Protokolleinträge. E-Mail-Adressen in Protokolleinträgen werden auf eine Form wie a*****@example.com gekürzt.
• Wir verwenden ein Foto nicht für mehrere Bestellungen. Eine hochgeladene Datei gehört zu genau einer Bestellung.
• Niemand sieht sich Ihr Foto an, es sei denn, Sie bitten unseren Support darum, und jeder Zugriff durch Mitarbeitende in unserer Anwendung wird mit dem Konto, von dem er kam, im Prüfprotokoll festgehalten.
• Wir verändern weder Gesichtszüge noch Gesichtsform. Glanz auf der Haut mildern wir nur auf Ihren Wunsch ab. Wir erzeugen nichts und vergrößern kein Foto. Bei polnischen, spanischen, französischen und argentinischen Dokumenten können wir den Hintergrund durch eine einheitliche Farbe ersetzen und das ganze Foto drehen, um einen geneigten Kopf auszurichten. Bei mexikanischen Reisepässen und beim kolumbianischen Online-Passantrag können wir den Hintergrund durch Weiß ersetzen. Bei all diesen Dokumenten können wir außerdem einmal die Helligkeit oder den Kontrast des ganzen Fotos ändern und einmal einen Farbstich durch das Licht verringern. Wenn wir etwas davon getan haben, steht es im Bericht. Wo die Behörde bearbeitete Fotos verbietet, ersetzen wir den Hintergrund oder korrigieren Helligkeit oder Kontrast nur auf Ihren Wunsch. Bei einem britischen Passantrag auf Papier können wir die Helligkeit oder den Kontrast einmal ohne Rückfrage korrigieren, weil HM Passport Office seine Sachbearbeiter anweist, eine solche Änderung zu akzeptieren. Mehr dazu: Die Standards, nach denen wir prüfen.
• Wir bitten Sie nie, uns ein Foto per E-Mail zu schicken. Siehe Kontakt.

Standortdaten in Ihrer eigenen Datei

Da wir Ihre Originaldatei unverändert zurückgeben, bleiben alle Metadaten darin, die Ihre Kamera geschrieben hat, auch GPS-Koordinaten, falls Ihr Telefon sie aufgezeichnet hat. Wir lesen diese Koordinaten nicht und speichern sie nicht, entfernen sie aber auch nicht, denn das hieße, die Originaldatei zu verändern.

Wenn Ihnen das wichtig ist, schalten Sie den Standortzugriff der Kamera-App aus, bevor Sie das Foto aufnehmen, oder entfernen Sie den Standort auf Ihrem Telefon aus dem Bild, bevor Sie es hochladen. Das fertige Foto und die Druckbögen, die wir aus Ihrem Upload erstellen, enthalten keine Kamerametadaten, auch keinen Standort.

Kinder

Eines der unterstützten Dokumente, die Online-Verlängerung des US-Reisepasses, steht nach den Regeln des State Department nur Antragstellern ab 25 Jahren offen. Wir verkaufen außerdem ein Kinderprofil: das Foto für den polnischen Kinderreisepass, Online-Antrag. Wir richten keine Werbung an Kinder. Wir erheben kein Geburtsdatum und können niemandes Alter prüfen, deshalb bauen wir nichts um eine Altersprüfung herum, die wir nicht haben. Ob das Kinderprofil einen gesonderten Hinweis braucht, ist ein offener Punkt der rechtlichen Prüfung.

Ihre Rechte und wie Sie sie ausüben

Je nachdem, wo Sie leben, haben Sie einige oder alle der folgenden Rechte an Ihren personenbezogenen Daten: eine Kopie zu erhalten, sie berichtigen zu lassen, sie löschen zu lassen, ihre Verarbeitung einschränken zu lassen oder ihr zu widersprechen, sie in einem übertragbaren Format zu erhalten und sich bei Ihrer Datenschutzaufsichtsbehörde zu beschweren. Wir machen es Ihnen bei keinem davon unnötig schwer.

• Die Löschung Ihrer Fotos erledigen Sie selbst, und sie wirkt sofort. Öffnen Sie Ihre Bestellseite und klicken Sie auf die Schaltfläche zum Löschen. Die Seite „Fotos und Daten löschen“ erklärt genau, was dabei entfernt wird und was bleibt.
• Alles andere läuft über die Kontaktseite. Um eines der übrigen Rechte auszuüben, wenden Sie sich über die Kontaktseite an uns und nennen Sie Ihre Bestellnummer (sie beginnt mit ord_). Bitte hängen Sie das Foto nicht an.

Wir bitten Sie nachzuweisen, dass die Anfrage von Ihnen stammt, und kommen dabei mit so wenig Daten wie möglich aus, in der Regel, indem wir die Anfrage mit einer Bestellung verknüpfen, die Sie bereits öffnen können. Wir verlangen keinen Scan Ihres Reisepasses und kein Foto von Ihnen als Identitätsnachweis. Können wir eine Anfrage wirklich keiner Bestellung zuordnen, sagen wir Ihnen das, statt auf Verdacht die Daten einer anderen Person zu löschen.

Sicherheit

Kurz gesagt: Bilddateien liegen in einem privaten Objektspeicher ohne jede öffentliche Adresse; Kennungen sind lange Zufallswerte, und ihre Kenntnis allein berechtigt zu nichts; Zugriffstoken werden nur als Hashes gespeichert; jede private Seite ist so gekennzeichnet, dass sie weder zwischengespeichert noch indexiert wird; und Links, die wir per E-Mail senden, sind nur einmal gültig und laufen nach einer Stunde ab. Die ausführliche Fassung, einschließlich der uns bekannten Lücken, ist ein Arbeitsdokument und kein Werbetext, und diese Seite wird aktualisiert, wenn es sich ändert.

Wovor wir Sie nicht schützen können

Es wäre einfach, beim vorigen Abschnitt aufzuhören. Das sind die Grenzen, klar benannt: ein kompromittiertes Telefon oder ein kompromittierter Browser, bei dem das Foto offenliegt, bevor es uns überhaupt erreicht; jemand, der dauerhaft Zugriff auf Ihr E-Mail-Postfach hat; alles, was Sie mit einer Datei tun, nachdem Sie sie heruntergeladen haben; eine rechtmäßige Anordnung gegenüber uns oder einem unserer Anbieter; und ein schwerer Sicherheitsvorfall bei einem Anbieter. Wir begrenzen den möglichen Schaden (privater Speicher, nicht erratbare Schlüssel, kurze Aufbewahrung) und behaupten nicht, ihn ausgeschlossen zu haben.

Änderungen dieser Erklärung

Ändert sich diese Seite wesentlich, ändert sich auch das Datum oben. Wenn die rechtliche Prüfung abgeschlossen ist, verschwindet der Entwurfshinweis, und die offenen Fragen auf dieser Seite bekommen Antworten, statt stillschweigend gelöscht zu werden.

Verwandte Seiten

• Fotos und Daten löschen
• Nutzungsbedingungen
• Kontakt