Die folgenden Datenschutzhinweise ergänzen die Allgemeinen Datenschutzhinweise der Deutschen Post AG um spezifische Besonderheiten zu den angebotenen Identifizierungs- und Signaturverfahren.

• POSTIDENT durch Postfiliale
  
• POSTIDENT durch Videochat
  
• POSTIDENT durch Online-Ausweisfunktion
  
• POSTIDENT durch Foto
• POSTIDENT E-Signing

Inhalt

1. Allgemeines

2. Zweck, Verwendung und Rechtsgrundlage

3. Art und Umfang

4. Weitergabe der Daten

5. Hinweise und Beschreibung der Verfahren

6. Abbruch und Wiedereinstieg

7. Speicherdauer und Löschung von Daten

8. Datensicherheit des POSTIDENT Portals und Ihrer Daten

9. Speicherung IP Adresse

1. Allgemeines

Für viele Unternehmen (nachfolgend "Geschäftspartner" genannt) besteht der Bedarf nach einer Identifizierung ihrer Vertragspartner ("Nutzer"). So verlangt z. B. das Geldwäschegesetz (GwG), dass Unternehmen bestimmter Branchen wie z. B. Finanzdienstleister, Versicherungen mit speziellen Versicherungsprodukten, Spielbanken oder Veranstalter/Vermittler von Glücksspielen die Identität ihrer Nutzer prüfen müssen. Neben den Anforderungen aus dem GwG bestehen weitere Verifizierungspflichten wie z.B. die Überprüfung der Identität nach dem Erwerb einer Prepaid Sim Karte nach dem Telekommunikationsgesetz (TKG), die Altersverifikation bei Nutzung von jugendschutzbedürftigen Diensten oder Online-Gaming.

Neben der Überprüfung von Identitäten benötigen bestimmte Unternehmen zudem die Verifizierung konkreter personenbezogener Befugnisse. So ist es z. B. für Carsharing- oder Mietwagenanbieter erforderlich zu überprüfen, ob ihre Nutzer im Besitz einer gültigen Fahrerlaubnis sind. Darüber hinaus stellt die Identifikation des Nutzers (Signierenden) für die Erstellung einer qualifizierten elektronischen Signatur (digitale Unterschrift) eine wesentliche Voraussetzung dar.

Der Schutz der Privatsphäre der zu identifizierenden Person (nachfolgend "Nutzer") bei der Verarbeitung personenbezogener Daten ist für die Deutsche Post AG ein wichtiges Anliegen, welches bei allen POSTIDENT Verfahren berücksichtigt wird.

POSTIDENT – bezeichnet die Verfahren zur Erhebung von Identitätsdaten oder die Identitätsfeststellung als in sich abgeschlossenen Vorgang (z.B. in der Filiale oder per Videochat) für einen Geschäftspartner.

Identifizierungsdaten – bezeichnet die Daten, welche im Rahmen eines POSTIDENT Verfahrens für einen Geschäftspartner erhoben und an diesen zur zweckgemäßen Verwendung bereitgestellt werden (z.B. Ausweisdaten).

Nachweisdaten – bezeichnet Daten und Aufnahmen, welche aufgrund gesetzlicher Bestimmung oder berechtigtem Interesse zum Nachweis der Durchführung der Identifikationen aufgenommen und verarbeitet werden müssen (z.B. Scan des Ausweises).

2. Zweck, Verwendung und Rechtsgrundlage

Sämtliche im Rahmen der POSTIDENT Verfahren erhobenen bzw. erlangten Daten werden von der Deutschen Post AG ausschließlich für die Zwecke der Personenidentifizierung für den jeweiligen Geschäftspartner verwendet. Eine Ausnahme stellt das Verfahren POSTIDENT E-Signing dar. Siehe hierzu Details unter POSTIDENT E-Signing (digitale Unterschrift). Eine andere Verwendung erfolgt nur mit Zustimmung des Nutzers.

Die Identifizierung ist notwendig für das Vertragsverhältnis zwischen dem Nutzer und dem Geschäftspartner zumeist aufgrund von gesetzlichen Vorgaben, Rechtsgrundlage bilden somit Art. 6 Abs. 1 lit. b) und lit. c) DSGVO.

3. Art und Umfang

Der Umfang der von der Deutsche Post AG vorgenommenen Verarbeitung und Nutzung der Daten im Rahmen der Identifikation richtet sich nach dem Identifikationsanlass, also dem beabsichtigten oder dem bereits bestehenden Vertragsverhältnis zwischen Ihnen als Nutzer und dem jeweiligen beteiligten Geschäftspartner, sowie den rechtlichen Vorgaben für den Identifikationsnachweis (z.B. nach den Vorgaben des Geldwäschegesetz, Telekommunikationsgesetz, etc.).

Bei der Durchführung einer Identifikation mit POSTIDENT Verfahren erhebt die Deutsche Post AG (je nach Verwendungsanlass) maximal vom Nutzer die nachfolgenden Daten

1. Ausweisdaten

• Anrede
• Titel/ Akademischer Grad
• Name
• Vorname (alle Vornamen)
• Geburtsname
• Geburtsort
• Geburtsdatum
• Staatsangehörigkeit
• Straße und Hausnummer
• Postleitzahl und Ort
• Ausweisdaten (wie Ausweisart, Ausweisnummer, Ausstellungsort, -datum, ausstellende Behörde, Gültigkeitsdauer)
• Mobilfunknummer
• E-Mail Adresse

Im Rahmen Ihrer Identifizierung kann Ihnen eine Vorgangsnummer per E-Mail zugesandt werden, mit welcher jederzeit der Identifizierungsprozess aufgenommen werden kann. Hierzu wird die E-Mailadresse des Nutzers benötigt. Die Mobilfunknummer wird als sicherer zweiter Faktor im Sinne einer Zwei-Faktor-Authentisierung für eine TAN Übermittlung bei einzelnen Verfahren benötigt.

2. Führerscheindaten

Sofern der Nutzer sich für einen Anbieter von Mobilitätsdienstleistungen (z.B. Carsharing oder Mietwagen) identifiziert, ist ein gültiger, amtlicher Führerschein erforderlich. Im Rahmen der Identifizierung erhebt die Deutsche Post AG dabei zusätzlich die nachfolgenden Daten:

• Führerscheinnummer
• Ausstellungsland
• Gültigkeitsdatum des Führerscheins
• Erteilungsdatum
• Fahrerlaubnisklassen (inkl. Erteilungsdatum, Gültigkeitsdauer und ggf. Zusatzangaben)

3. Nachweisdaten

Fordert der Geschäftspartner eine Identifizierung konform nach bestimmten gesetzlichen Vorgaben (z.B. Geldwäschegesetz (GwG), Telekommunikationsgesetz (TKG), eIDAS (electronic IDentification, Authentication and trust Services)-Verordnung, o.ä.), schließt dies die Übermittlung der Ausweisdaten und – abhängig vom Identifizierungsverfahren - die Daten des Nachweises der Identifizierung (Nachweisdaten) ein. Dies können je nach Verfahren folgende Daten sein:

• Foto/Screenshot des Nutzers
• Foto/Scan des Ausweisdokumentes
• Foto/Scan des Führerscheines
• Aufzeichnung (Audio und Video) des gesamten Identifikationsprozesses
  
  

4. Weitergabe der Daten

Wenn die Identifizierung im Rahmen eines konkret gewünschten Vertragsschlusses mit einem Geschäftspartner durchgeführt wird, werden nach Abschluss der Identifikation die für den jeweiligen Identitätsnachweis erforderlichen Daten an den gewünschten Geschäftspartner übermittelt.

Im Rahmen von Kundenservice und IT-Dienstleistungen sind Serviceunternehmen und Dienstleister eingebunden.

Eine Datenverarbeitung erfolgt ausschließlich auf dem Gebiet der Europäischen Union (EU) und im Europäischen Wirtschaftsraum (EWR) in überprüften Rechenzentren.

5. Hinweise und Beschreibung der Verfahren

Darüber hinaus gelten für die jeweiligen Identifizierungsverfahren die folgenden Regelungen:

Wesentliche Schritte der Identifizierung

• Start der Identifizierung durch Vorlage des POSTIDENT-Coupons durch den Nutzer
• Prüfung des Ausweises des Nutzers mit Ausweislesegerät durch den Mitarbeiter in der Filiale und automatische Übernahme der Ausweisdaten
  
• Lichtbildabgleich des Nutzers mit dem Ausweisdokument und Prüfung der Daten durch den Mitarbeiter in der Filiale
• Prüfung der Daten durch den Nutzer und Erhebung der Unterschriftsprobe
• Übermittlung der Daten an den Geschäftskunden
  

Erläuterungen zu erfassten und übermittelten Daten

Aufgrund regulatorischer Anforderungen wird bei der in einer Postfiliale Ihrer Wahl durchgeführten Identifizierung zusätzlich ein Scan Ihres Ausweisdokuments vorgenommen.

Die Ausweisdaten und die digitale Kopie des Ausweisdokumentes werden in diesem Zusammenhang ausschließlich für die Übermittlung an den Geschäftspartner und zur Verifizierung der Daten erhoben. Die Übermittlung der digitalen Kopie des Ausweisdokuments erfolgt nur an Geschäftspartner, die einer entsprechenden regulatorischen Anforderung unterliegen (z.B. dem Geldwäschegesetz (GwG), dem Telekommunikationsgesetz (TKG) oder der eIDAS-Verordnung).

Wesentliche Schritte der Identifizierung

Erläuterungen zu erfassten und übermittelten Daten

Im Rahmen der Durchführung des Verfahrens POSTIDENT durch Videochat wird zusätzlich

• ein Foto/Screenshot des Nutzers (Portraitfoto)
• ein Foto/Screenshot des Ausweisdokumentes sowie
• eine vollständige audio-visuelle Gesprächsaufzeichnung angefertigt.
  

Wesentliche Schritte der Identifizierung

• Überführung des Nutzers von der Website des Geschäftspartners zur Identitätsprüfung auf das POSTIDENT Portal
• Dort stehen dem Nutzer POSTIDENT durch Online-Ausweisfunktion als Verfahren über Desktop oder über Smartphone zur Wahl
• Bei der Wahl der Identifizierung über Desktop automatische Umleitung auf die AusweisApp2 Website mit der Software vom Dienstleister des Bundes (Governikus) und Start der AusweisApp2
• Bei der Wahl der Identifizierung über Smartphone Durchführung der Identifizierung über die Postident App
• Der Nutzer stimmt mit der Eingabe seiner persönlichen 6-stelligen PIN seines Ausweises der verschlüsselten Datenübermittlung der zuvor angezeigten Informationen zu

Erläuterungen zu erfassten und übermittelten Daten

Die Ausweisdaten werden in diesem Zusammenhang ausschließlich für die Übermittlung an den Geschäftspartner erhoben.

Wesentliche Schritte der Identifizierung

Erläuterungen zu erfassten und übermittelten Daten

Die Fotos und Daten des Ausweisdokuments und/oder des Führerscheins sowie die kurze Videosequenz des Portraits des Nutzers werden in diesem Zusammenhang ausschließlich für die Übermittlung an den Geschäftspartner erhoben.

Wesentliche Schritte der digitalen Unterschrift

Erläuterungen zu erfassten und übermittelten Daten

Die erhobenen Daten des Nutzers werden ausschließlich zum Zweck der Erbringung des Identifizierungs-, Zertifikatserstellungs- und Signatur-Services genutzt und anschließend archiviert. Die entsprechenden Daten werden gemäß der Vorgaben der eIDAS Verordnung bis zur Einstellung der Tätigkeit des Vertrauensdienstes bei der DPAG vorgehalten. Sollte die DPAG die Tätigkeit einstellen, werden die Daten anschließend an die Bundesnetzagentur (zuständige nationale Aufsichtsbehörde für eIDAS) übergeben, so dass bei Gerichtsverfahren entsprechende Beweise geliefert und die Kontinuität des Dienstes sichergestellt werden kann (siehe eIDAS Artikel 24 h).
Die im Identifizierungsverfahren erhobenen und vorgangsbezogen vorgehaltenen Nutzerdaten sind unter POSTIDENT durch Videochat beschrieben.

Abbruch des POSTIDENT Verfahrens und Widerruf

Der Nutzer hat jederzeit die Möglichkeit, den Identifizierungs- oder Signaturvorgang abzubrechen und die Erfassung und Weitergabe der Daten zu widerrufen. Sofern bis zu dem Zeitpunkt noch keine Übermittlung der Identitätsnachweise an den jeweiligen Geschäftspartner erfolgt ist, werden die erfassten Daten vorbehaltlich gesetzlicher Aufbewahrungsfristen oder sonstiger rechtlicher Vorgaben gelöscht.

Wiedereinstieg in das POSTIDENT Verfahren

Für den Fall, dass es zu Unterbrechungen im Online-Identifizierungs- oder Signaturprozess bei den Verfahren POSTIDENT durch Online-Ausweisfunktion, POSTIDENT durch Videochat, POSTIDENT durch Foto oder POSTIDENT E-Signing kommen sollte, wird dem Nutzer zur unkomplizierten Wiederaufnahme des Prozesses bei den entsprechenden Verfahren ein Link an seine E-Mail-Adresse gesendet. Diese Daten werden bei Beendigung des Vorgangs POSTIDENT durch Videochat, POSTIDENT durch Online-Ausweisfunktion, POSTIDENT durch Foto oder POSTIDENT E-Signing nach spätestens 90 Tagen gelöscht. Im Falle eines Signaturvorgangs im Rahmen von POSTIDENT E-Signing, ist bei einem Wiedereinstieg nach der Online-Identifizierung aus Sicherheitsgründen eine Authentifizierung über eine SMS-TAN nötig.

7. Speicherdauer und Löschung von Daten

Abhängig vom Fortschritt des gewählten Identifikationsverfahrens gelten unterschiedliche Speicher- und Löschfristen:

8. Datensicherheit des POSTIDENT Portals und Ihrer Daten

Die vorgenannten Identifizierungsverfahren erfüllen ein Höchstmaß an Datensicherheit. Im Rahmen der Nutzung des Portals und seiner Leistungen bieten wir Ihnen die vollumfängliche Sicherheit Ihrer Daten. Alle Seiten innerhalb des Portals sind durch eine SSL-Verschlüsselung (Secure Socket Layer) geschützt, so dass die Datenübertragungen nicht von Unbefugten gelesen oder verändert werden können.

• Ihre Daten sind vertraulich, eine Datenübertragung über das Internet erfolgt nur verschlüsselt;
• die Authentizität des Servers steht fest; eine Datenverarbeitung erfolgt ausschließlich auf dem Gebiet der Europäischen Union (EU) und im Europäischen Wirtschaftsraum (EWR) in überprüften Rechenzentren;
• Ihre Daten sind vor Manipulation geschützt; mittels Algorithmen wird geprüft, ob die Daten vollständig und unverändert unsere Server erreichen.

9. Speicherung IP Adresse

Bei Nutzung von POSTIDENT online speichert der Webserver der Deutschen Post AG aufgrund regulatorischer Anforderungen und aus Gründen der Sicherheit die IP-Adresse, die Webseite, von der aus der Nutzer die Webseite besucht, die Seiten, die der Nutzer bei der Deutschen Post AG besucht sowie das Datum und den Zeitpunkt des Zugriffs. Die Speicherdauer dieser Daten beträgt maximal 90 Tage.