Datenschutzerklärung für das Fernsignatursystem sign-me

Information für Betroffene

Der Schutz Ihrer Daten ist uns sehr wichtig. Mit dieser Datenschutzerklärung erhalten Sie umfassende Informationen zur Verwendung Ihrer Daten bei der D-TRUST GmbH, eines Unternehmens der Bundesdruckerei Gruppe GmbH.

1. So können Sie uns als Verantwortliche kontaktieren:

D-Trust GmbH

Kommandantenstr. 15

10969 Berlin

https://www.d-trust.net/

info@d-trust.net

Telefon: +49 30 25 93 91 0

Kontakt zu unserer Datenschutzbeauftragten: datenschutz@d-trust.net

2. Verarbeitungsrahmen

2.1 Kategorien personenbezogener Daten, die verarbeitet werden

• Ausweisdaten: Name, Vorname, Gültig von bis, Geburtsort, Staatsangehörigkeit, Geburtsname, Geburtsdatum, Meldeadresse, Ausweisnummer (zum Abgleich Antrag, Ausweis, Identifizierungsnachweis), Ausstellende Behörde
• Weitere: Titel, akademischer Grad, Kontakt E-Mail, E-Mail Zertifikat, Handynummer, Rechnungsadresse, Organisation, produktspezifische ID, Benutzername
• Nachweise: VideoIdent Nachweis (Aufnahme Person, Ausweis/Pass/ID-Dokument)
• Zertifikat
• IP-Adressen, Zugriffszeitpunkte
• Ggf. Dokumentation zu Übermittlungen gemäß §8 Abs. 2 VDG
• Ggf. zu signierende Daten im Selfservicebereich

2.2 Quelle der personenbezogenen Daten

Daten der Betroffenen werden

• bei der Selbst-Registrierung über ein Webformular aufgenommen
• von Identitfizierungsdienstleistern als verifizierter Datensatz übernommen
• von Kunden, die über API mit der sign-me Anwendung kommunizieren übernommen
• bei Kontaktpersonen von Kunden aus Verträgen und Formularen übernommen
• aus Service- und Supportanfragen von Unternehmen, die für ihre eigenen Endkunden Support erbringen übernommen
• aus direkten Supportanfragen der Betroffenen übernommen

2.3 Dauer der Speicherung

Die Nachvollziehbarkeit der Identifizierung auf deren Grundlage ein Zertifikat ausgestellt wird, ist ein Qualitätsmerkmal des Zertifikats. Die gesetzlichen oder in Zertifizierungen vorgegebenen Aufbewahrungsfristen sind produktabhängig umgesetzt.

Für qualifizierte Signaturzertifikate gelten für Zertifikate, Zertifikatsnachweisdaten, einschließlich der Kontaktdaten die Vorgaben des § 16 Abs. 4 Vertrauensdienstegesetz zur dauerhaften Aufbewahrung. Dies entspricht der gesamten Dauer des Betriebes des Vertrauensdiensteanbieters. Vor Aufgabe des Betriebs ist, die Übergabe an die Bundesnetzagentur oder einen anderen qualifizierten Vertrauensdiensteanbieter vorgeschrieben.

Alle anderen Zertifikatsnachweisdaten werden 8 Jahre nach Ablauf der Gültigkeit des letzten auf den Daten ausgestellten Zertifikats gelöscht. Gleiches gilt für die Zertifikate. Rechnungsdaten werden nach 10 Jahren gelöscht.

Dokumentationen zu Übermittlungen gemäß §8 Abs. 2 VDG werden zwölf Monate aufbewahrt.

Dokumente, die der sign-me Nutzer im Selfservicebereich zur Signatur hochlädt, werden nach spätestens 5 Tagen gelöscht.

2.4 Zwecke der Verarbeitung

Die Daten werden für die folgenden Zwecke verarbeitet: Zur Feststellung der Identität des Antragstellers, Antragsprüfung und -abwicklung, Abrechnung, Wahrung der Dokumentationspflichten, Gewährleistung des Zertifikatslebenszyklus einschließlich Sperrung und Betrieb des Verzeichnisdienstes (Statusauskunftsdienst), Wirtschaftlichkeits- und Qualitätsprüfung, für statistische Zwecke (anonymisiert) und in Einzelfällen zur Fehlerbehebung insbesondere bei Supportanfragen.

Die Zertifikate werden im Rahmen der Signaturerstellungsdienstleistung genutzt, um für den Zertifikatsinhaber (Betroffener) Signaturen zu erstellen. Mittels Eingabe der korrekten E-Mailadresse können angeschlossene Portalbetreiber Art und Status Ihrer Zertifikate abfragen, um mehrfache Identifizierungsvorgänge zu vermeiden und den Signaturprozess für Sie zu verkürzen. Nach Löschung Ihres Accounts ist der Abruf für diese nicht mehr möglich.

Im Rahmen der Maßnahmen zur Aufrechterhaltung der Informationssicherheit insbesondere zum Erkennen und Abwehren von Angriffen, einschließlich interner und externer Auditierung, der Exportkontrolle und der Sanktionslistenprüfung findet ebenfalls Datenverarbeitung statt. Im Fall von Anfragen gemäß §8 Abs. 2 VDG werden Übermittlungen an zuständige Stellen vorgenommen.

Im Selfservicebereich hat der sign-me Nutzer die Möglichkeit PDF-Dokumente hochzuladen zu signieren. Zweck der Verarbeitung ist das Aufbringen der Signatur.

2.5 Rechtsgrundlage für die Verarbeitung

Zertifikate und Zertifikatsnachweisdaten, Kontaktdaten, Bestelldaten, Rechnungsdaten, Dokumentation zu Support-/Servicefällen und ggf. zu signierende Dokumente werden verarbeitet zur Erfüllung des Vertrags mit dem Betroffenen. Die Bereitstellung der Art der Zertifikate und deren Status gegenüber Protalbetreibern ist ebenfalls Teil der Vertragserfüllung.

Die eIDAS-Verordnung (Nr. 910/2014) und das Vertrauensdienstegesetz stellen den gesetzlichen Rahmen für die Vertrauensdienste. Für die Kopie des Ausweises, Reisepasses oder sonstigen ID-Dokuments wird die Einwilligung des Betroffenen eingeholt.

Rechtsgrundlage für Übermittlungen an zuständigen Stellen ist §8 Abs. 2 VDG.

Betroffenenanfragen werden auf Grundlage der Art. 12 – 23 DSGVO bzw. § 32-37 BDSG verarbeitet.

Die Übermittlungen an die verbundenen Konzernunternehmen erfolgen aufgrund von Interessensabwägungen.

2.6 Berechtigte Interessen

Ein berechtigtes Interesse der D-Trust im Sinne von Art. 6 Abs. 1 lit. f DSGVO liegt in folgenden Fällen vor:

Es werden Maßnahmen der Informationssicherheit einschließlich der Prävention durch technische und organisatorische Maßnahmen einschließlich der Vorfallsbehandlung durchgeführt, um mögliche Schäden für das Unternehmen (D-Trust), für die von der Datenverarbeitung Betroffenen und für die Nutzer der Vertrauensdienste abzuschätzen und zu verhindern.

Die Verantwortliche ist Teil einer Unternehmensgruppe. Die Bundesdruckerei GmbH als Unternehmen der Bundesdruckerei Gruppe GmbH hat im Sinne EW 48 DSGVO ein berechtigtes Interesse bestimmte Verarbeitungen zentral abzuwickeln. Die Sanktionslisten- und Exportkontrollprüfung, Teile des Mahnwesens, der Vertriebstätigkeit und des Supports werden durch die Bundesdruckerei GmbH erbracht.

2.7 Erforderlichkeit der Daten

Die Verantwortliche ist als Vertrauensdiensteanbieter verpflichtet die Identität der Zertifikatsnehmer sicherzustellen. Die Verarbeitung der als Pflichtfelder gekennzeichneten Daten ist notwendig, um dieser Verpflichtung nachzukommen. Bei Nichtangabe oder Falschangabe kann das Zertifikat nicht ausgestellt werden. Gleiches gilt für die Einrichtung von Nachweisen, wie beispielsweise Organisationszugehörigkeit oder Berufsattribute. Ohne Nachweis können die Daten nicht in das Zertifikat aufgenommen werden.

Die Mobilfunknummer oder deutsche Festnummer des Betroffenen ist zwingend erforderlich, da sie im Rahmen der Authentifizierung zur Signaturauslösung als zweiter Faktor genutzt wird. Ohne diesen Sicherheitsmechanismus, der auf der Angabe dieser Nummer beruht, kann der Dienst nicht erbracht werden. 

2.8 Weitergabe und Auslandsbezug

Zur Erbringung der Supportdienstleistung werden die erforderlichen Daten dem Customer Service der Bundesdruckerei GmbH sowie der INCO Spólka z o.o. (Tochterunternehmen der Bundesdruckerei Gruppe GmbH in Polen) übermittelt.

Betreiber von Partneranwendungen (z. B. Portale oder Shopanwendungen für Signaturguthaben), die das sign-me API nutzen, können über den Benutzernamen erfahren, welchen Status die Zertifikate der Nutzer haben (Art und Gültigkeit des Zertifikats) und Informationen zu einem eventuellen Signaturguthaben einsehen. Ein Nutzer kann interner Mitarbeiter oder externer Dritter, der zu einer Signatur aufgefordert wird, sein. Ein Betreiber der Partneranwendung erhält auf diese Weise die Information, ob ein Nutzer bei sign-me registriert ist und wenn ja, welche Zertifikate bereits für den Nutzer vorhanden sind.

Wenn mit dem Zertifikat signiert wird, ist es für den Empfänger der Signatur wichtig zu wissen, ob die Signatur tatsächlich vom angegebenen Unterzeichner und aus vertrauenswürdiger Quelle stammt. Die eingesetzte Software wird für diese Überprüfung u. a. eine Statusabfrage zum Zertifikat veranlassen. Die D-Trust GmbH bietet für diesen Zweck einen Statusabfragedienst an. Dort kann zu einem bestimmten Zertifikat abgefragt werden, ob es gesperrt wurde. Zusätzlich wird das Zertifikat in einem Verzeichnisdienst veröffentlicht, wenn der Nutzer dieser Veröffentlichung zustimmt. Der Verzeichnisdienst ist mit einem Telefonbuch vergleichbar, in dem die Zertifikate eingestellt werden. Das Zertifikat ist online abrufbar.

Des Weiteren erhalten identifizierende Personen, Auditoren, Aufsichtsbehörden, ggf. zuständige Stellen gemäß §8 Abs. 2 VDG Zugriff auf die jeweils erforderlichen Daten.

Im Rahmen der Exportkontrolle werden Name und ggfs. Organisation an den Sanktionslistenserver der Bundesdruckerei GmbH übermittelt. Im Fall von Fehltreffern werden Geburtsdatum, Geburtsort und Staatsangehörigkeit sowie Geburtsname herangezogen. Zusätzlich werden Versandadresse, Versandland, Adresse des Rechnungsempfängers und ggf. weiterer Partner durch die Bundesdruckerei exportkontrollrechtlich bewertet.

Vertriebstätigkeit und Mahnwesen werden teilweise durch die Bundesdruckerei GmbH erbracht.

Es besteht weder die Praxis noch die Absicht die personenbezogenen Daten an ein Drittland oder eine internationale Organisation zu übermitteln.

3. Verwendung von Cookies

Beim Aufruf einzelner Seiten werden so genannte temporäre Cookies zur technischen Diensteerbringung verwendet. Diese Session Cookies beinhalten keine personenbezogenen Daten und verfallen nach Ablauf der Sitzung. Techniken, wie zum Beispiel Java-Applets oder Active-X- Controls, die es ermöglichen das Zugriffsverhalten der Nutzer nachzuvollziehen, werden nicht eingesetzt.

4. Betroffenenrechte

Sollten Sie Anfragen zur Auskunft über Ihre Daten oder deren Berichtigung, Löschung oder Einschränkung der Verarbeitung haben, richten Sie diese bitte an die obenstehende Postadresse oder signiert an datenschutz@d-trust.net. Gleiches gilt, falls Sie im Sinne des Art. 21 DSGVO Widerspruch gegen die Verarbeitung einlegen wollen oder eine Anfrage zur Datenübertragbarkeit haben.

Sollten Sie Fragen oder Beschwerden zu einem Verfahren haben, wenden Sie sich bitte über die oben genannten Kontaktmöglichkeiten an uns. Sollten Sie darüber hinaus Grund für Beschwerden sehen, besteht für Sie die Möglichkeit, sich an unsere Aufsichtsbehörde (Berliner Beauftragte für Datenschutz und Informationsfreiheit, Alt-Moabit 59-61, 10555 Berlin) zu wenden.

5. Hinweisgebersystem

Die Einhaltung, gesetzlicher Vorschriften und interner Regeln, wie unseres Verhaltenskodexes, aber auch die Einhaltung unseres Verhaltenskodexes für Geschäftspartner hat für die Bundesdruckerei-Gruppe höchste Priorität. Das gilt für unseren eigenen Geschäftsbereich ebenso wie für unsere Lieferketten.

Uns ist wichtig, dass Risiken frühzeitig erkannt und Verstöße möglichst vermieden werden. Wir wollen rechtzeitig entsprechende Gegenmaßnahmen einleiten und mögliche Schäden für Betroffene, Kunden, Mitarbeiter, Geschäftspartner und unsere Unternehmensgruppe vermeiden.

Deshalb haben wir ein unabhängiges, unparteiisches und vertrauliches Hinweisgebersystem eingerichtet, das internen und externen Hinweisgebenden auch anonyme Meldungen ermöglicht.

Mithilfe des transparenten Beschwerdeverfahrens schaffen wir insbesondere für die Betroffenen, die Hinweisgebenden und die Mitarbeitenden, die an der Aufklärung der gemeldeten Sachverhalte mitwirken, größtmöglichen Schutz. Im Rahmen des Beschwerdeverfahrens können alle tatsächlichen und vermeintlichen Verstöße gegen gesetzliche Vorgaben, den Verhaltenskodex und den Verhaltenskodex für Geschäftspartner gemeldet werden. Ebenso können menschenrechtliche oder umweltbezogene Risiken oder Pflichtverletzungen entlang der gesamten Lieferkette unserer Konzernunternehmen sowie in unserem eigenen Geschäftsbereich Gegenstand einer Meldung sein.

Einheitliche und schnelle Prozesse sowie eine vertrauliche und professionelle Bearbeitung von Hinweisen durch interne Experten bilden das Fundament dieses vom Grundsatz des fairen Verfahrens getragenen Systems.

Benachteiligungen oder Bestrafungen von Hinweisgebenden und Personen, die mit der Bearbeitung von Beschwerden und Hinweisen betraut sind, werden nicht toleriert.

Das vorgenannte Beschwerdeverfahren gilt für die Bundesdruckerei Gruppe GmbH und die Konzerngesellschaften Bundesdruckerei GmbH, Maurer Electronics GmbH, genua GmbH, D-Trust GmbH, Maurer Electronics Split d.o.o, iNCO Sp. z o.o., und die Xecuro GmbH (zusammen „Bundesdruckerei-Gruppe“).

a) Zweck und Rechtsgrundlage der Datenverarbeitung

Der Zweck der Verarbeitung personenbezogener Daten ist die Verwaltung des Hinweisgebersystems, einschließlich der Aufdeckung schwerwiegender Verstöße oder möglicher Verstöße gegen geltendes Recht oder anderer schwerwiegender Angelegenheiten.

Die Verarbeitung personenbezogener Daten ist zur Erfüllung rechtlicher Verpflichtungen erforderlich, der wir unterliegen, vgl. Art. 6 Abs. 1 S. 1 lit. c) DSGVO. Dies ist das Gesetz für einen besseren Schutz hinweisgebender Personen (Hinweisgeberschutzgesetz - HinSchG).

Die Verarbeitung dient der Wahrung des berechtigten Interesses an der Aufdeckung schwerwiegender Verstöße oder potenzieller Verstöße gegen geltendes Recht oder anderer schwerwiegender Angelegenheiten gem. Art. 6 Abs. 1 S. 1 lit. f) DSGVO.

Was die Verarbeitung besonderer Kategorien personenbezogener Daten betrifft, so ist die Verarbeitung auf der Grundlage des Hinweisgeberschutzgesetzes aus Gründen eines erheblichen öffentlichen Interesses erforderlich, vgl. Art. 9 Abs. 2 lit. g) DSGVO. Die Verarbeitung besonderer Kategorien personenbezogener Daten erfolgt gem. Art. 9 Abs. 2 lit. f) DSGVO i.V.m. Art. 6 Abs. 1 S. 1 lit. f) DSGVO zur Feststellung, Ausübung oder Verteidigung von Rechtsansprüchen.

Betroffene Personen sind Personen, die Inhalt der Meldung sind. Dies können Beschäftigte, Vertragspartner oder andere Personen, die mit uns beruflich verbunden sind, sein. Darüber hinaus verarbeiten wir personenbezogene Daten über die hinweisgebende Person, wenn diese hinweisgebende Person ihre Kontaktinformationen oder andere Informationen, welche auf die hinweisgebende Person schließen lassen, übermittelt bzw. mitteilt. Hinweisgebende Personen müssen sich daher bewusst sein, dass wir im Zusammenhang mit der Bearbeitung des gemeldeten Falls personenbezogene Daten über sie verarbeiten können.

b) Kategorien personenbezogener Daten

Die Meldung kann anonym erfolgen. In diesem Fall werden keine personenbezogenen Daten der hinweisgebenden Person verarbeitet.

Die Kategorien personenbezogener Daten, die verarbeitet werden, hängen von den gemeldeten Informationen ab. Wenn die hinweisgebende Person personenbezogene Daten über eine andere Person, einschließlich der gemeldeten Person oder Personen, meldet, werden auch diese personenbezogenen Daten verarbeitet. Die folgenden Kategorien von personenbezogenen Daten können verarbeitet werden:

• Allgemeine personenbezogene Daten (Name, Adresse, E-Mail-Adresse, Telefonnummer, Position usw.)
• Personenbezogene Daten über strafrechtliche Verurteilungen oder den Verdacht auf solche
• Besondere Kategorien personenbezogener Daten (Informationen, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder philosophische Überzeugungen oder die Mitgliedschaft in einer Gewerkschaft hervorgehen, Daten über die Gesundheit und Daten über das Sexualleben oder die sexuelle Ausrichtung einer Person)

Wir weisen die hinweisgebende Person darauf hin, nur Informationen zu melden, die für den gemeldeten Fall von konkreter Bedeutung sind, und insbesondere keine sensiblen Informationen zu melden, es sei denn, diese sind von zentraler Bedeutung für die Bearbeitung des gemeldeten Falls.

c) Verpflichtung zur Bereitstellung personenbezogener Daten

Es besteht keine Verpflichtung zur Bereitstellung der unter Abschnitt b aufgeführten personenbezogenen Daten, da auch anonym gemeldet werden kann. Allerdings kann es sein, dass eine Bearbeitung der Meldung ohne Angabe der personenbezogenen Daten für uns nicht möglich ist.

d) Empfänger personenbezogener Daten

Die Meldungen werden in der Bundesdruckerei GmbH als Vorgang im WhistleB-System dokumentiert. Nach einer Bewertung werden die Vorgänge intern an die zuständigen Fachbereiche weitergegeben und ggf. Folgemaßnahmen eingeleitet. Sofern eine Meldung eine der Konzerngesellschaften der Bundesdruckerei-Gruppe betreffen sollte, werden diese Vorgänge an die zuständigen Personen der jeweiligen Konzerngesellschaft weitergegeben und von der zuständigen Person intern bewertet und ggf. Folgemaßnahmen eingeleitet. Hierbei werden personenbezogene Daten nur zweckgebunden und nach dem Grundsatz der Datenminimierung weitergegeben, d.h. es werden nur die personenbezogenen Daten weitergegeben, die zwingend erforderlich sind, um die Meldung zu bearbeiten.

Wir geben personenbezogene Daten über die hinweisgebende Person an Behörden weiter, wenn dies notwendig ist, um schwerwiegende Verstöße oder schwerwiegende Angelegenheiten zu behandeln oder um das Recht auf Verteidigung der betroffenen Personen zu gewährleisten. In anderen Fällen werden personenbezogene Daten über die hinweisgebende Person nur mit Zustimmung der hinweisgebenden Person weitergegeben. Personenbezogene Daten über andere Personen als die hinweisgebende Person werden nur im Rahmen der Weiterverfolgung eines gemeldeten Falles oder zur Behandlung von schwerwiegenden Verstößen oder schwerwiegenden Angelegenheiten weitergegeben.

Die Meldeplattform wird durch den Auftragsverarbeiter die WhistleB Whistleblowing Centre AB, Stockholm, Schweden, bereitgestellt. Weitere Informationen zu WhistleB, Whistleblowing Centre AB sind in den Nutzungsbedingungen nachzulesen.

e) Speicherdauer

Personenbezogene Daten, die sich als irrelevant für die Bearbeitung eines gemeldeten Falles erweisen, sowie Meldungen, die wir als unbegründet erachten, werden unverzüglich als "nicht relevant" kategorisiert und ein eventuell vorhandener Personenbezug (sofern es sich nicht bereits um eine anonyme Meldung handelt) entfernt. Zur Gewährleistung der gesetzlich geforderten Dokumentationspflicht bzw. gesetzlichen Löschfrist aus § 11 Abs. 1, Abs. 5 HinSchG wird diese Meldung anschließend zunächst (ohne Personenbezug) archiviert, aber noch nicht gelöscht. Archivierte Fälle dienen ausschließlich der Erfüllung der Dokumentationspflichten und können daher hiernach auch nicht mehr zur Bearbeitung aufgerufen werden.

Meldungen und personenbezogene Daten, die im Rahmen der Bearbeitung einer Meldung erhoben werden, bilden die Grundlage für die weitere Bearbeitung und werden frühestmöglich anonymisiert. Sollte sich die Notwendigkeit zu Folgemaßnahmen i.S.d. §§ 3 Abs. 8, 18 HinSchG ergeben, ist es jedoch möglich, dass aufgrund von behördlicher Anordnung oder zur Sicherung von Rechtsansprüchen von der Anonymisierung abgewichen werden muss. In diesem Fall wird grundsätzlich eine Pseudonymisierung angestrebt, sofern sich nicht (z.B. aus einer richterlichen Anordnung) etwas anderes ergibt. Die Dokumentation wird drei Jahre nach Abschluss des Verfahrens gelöscht. Die Dokumentation kann länger aufbewahrt werden, um die Anforderungen nach diesem Gesetz oder nach anderen Rechtsvorschriften zu erfüllen, solange dies erforderlich und verhältnismäßig ist.

Diese Datenschutzerklärung ist vom Stand: 21.12.2023.