Datenschutzerklärung

1. Verantwortlicher

Technopolis GmbH
Nobelstr. 3-5
41189 Mönchengladbach
E-Mail: kontakt@identapi.de

2. Verarbeitungsstruktur und Rollen

IdentAPI ist ein B2B-Dienst, der ausschließlich Geschäftskunden (Unternehmen) als Vertragspartner hat. Je nach Kontext nehmen wir unterschiedliche datenschutzrechtliche Rollen ein:

• Verantwortlicher (Controller, Art. 4 Nr. 7 DSGVO): Für die Verarbeitung von Kontodaten unserer Geschäftskunden (z. B. E-Mail-Adresse, Firmenname).
• Auftragsverarbeiter (Processor, Art. 28 DSGVO): Für alle personenbezogenen Daten, die unsere Geschäftskunden im Rahmen von Identitätsprüfungen über die API übermitteln. In diesem Fall ist der jeweilige Geschäftskunde der datenschutzrechtlich Verantwortliche.

Betroffene Personen, die im Rahmen einer Identitätsprüfung durch einen unserer Geschäftskunden verifiziert werden, müssen ihre Betroffenenrechte gegenüber dem jeweiligen Geschäftskunden (dem Verantwortlichen) geltend machen – nicht gegenüber IdentAPI direkt.

3. Erhebung und Verarbeitung personenbezogener Daten

3.1 Website (identapi.de)

Beim Besuch unserer Website werden automatisch folgende Daten durch den Webserver erfasst:

• IP-Adresse (anonymisiert)
• Datum und Uhrzeit des Zugriffs
• Aufgerufene Seite
• Browser-Typ und -Version
• Betriebssystem

Diese Daten werden ausschließlich zur Sicherstellung des Betriebs und zur Fehlerbehebung verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).

Wir verwenden keine Cookies und keine Tracking-Tools auf dieser Website.

3.2 API-Dienst (api.identapi.de)

Im Rahmen der Identitätsprüfung über unsere API werden folgende personenbezogene Daten verarbeitet:

• Dokumentdaten (Name, Geburtsdatum, Nationalität, Dokumentnummer)
• Biometrische Daten (Gesichtsbild aus Dokument und Selfie)
• Verifikationsergebnisse (OCR-Daten, Face Match Score, Liveness Score)
• Dokumente, die über DocMatch geprüft werden (z. B. Verträge, Nachweise), samt Prüfergebnissen
• Nachweise aus der EUDI-Wallet, sofern Geschäftskunden diese Funktion nutzen
• IP-Adresse des API-Aufrufers

Die Verarbeitung erfolgt ausschließlich im Auftrag unserer Geschäftskunden (B2B-Auftragsverarbeitung). IdentAPI agiert hierbei als Auftragsverarbeiter gemäß Art. 28 DSGVO. Rechtsgrundlage für die Verarbeitung durch den jeweiligen Geschäftskunden als Verantwortlichen richtet sich nach dessen eigener Rechtsgrundlage (i.d.R. Art. 6 Abs. 1 lit. b oder lit. f DSGVO).

Bei biometrischen Daten (Gesichtsbilder) handelt es sich um besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO. Die Verarbeitung erfolgt auf Weisung des jeweiligen Geschäftskunden, der die erforderliche Rechtsgrundlage (z. B. ausdrückliche Einwilligung der betroffenen Person) sicherzustellen hat.

3.3 Dashboard (app.identapi.de)

Für die Nutzung des Dashboards erheben wir:

• E-Mail-Adresse und ggf. Name
• Firmenname, Rollen und Teammitgliedschaften
• Passwort (gehasht mit bcrypt) und ggf. Daten zur Zwei-Faktor-Anmeldung
• Sicherheitsereignisse des Kontos (z. B. Anmeldung, Passwortänderung)

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Für die Anmeldung setzt das Dashboard ein technisch notwendiges Sitzungs-Cookie. Tracking- oder Marketing-Cookies verwenden wir nicht.

4. Speicherdauer

Biometrische Daten, Dokumentbilder und über DocMatch geprüfte Dokumente werden nach Ablauf der planabhängigen Aufbewahrungsfrist automatisch gelöscht:

• Free: 7 Tage
• Starter: 30 Tage
• Pro: 90 Tage
• Enterprise: Individuell vereinbart

Kontodaten unserer Geschäftskunden werden bis zur Kündigung des Accounts und Ablauf gesetzlicher Aufbewahrungsfristen gespeichert.

5. Hosting, Dienstleister und Empfänger

Ausweis-, Bild-, Dokument- und Prüfdaten aus Identitätsprüfungen sowie die Kontodaten werden ausschließlich auf Servern der Hetzner Online GmbH in Deutschland (Standorte Nürnberg/Falkenstein) verarbeitet und gespeichert. Diese Daten werden nicht in Drittländer außerhalb der EU/des EWR übermittelt. Mit Hetzner besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO.

Für einzelne Funktionen setzen wir zusätzlich folgende Dienstleister ein:

• Stripe (Stripe Payments Europe, Ltd., Irland): Zahlungsabwicklung für kostenpflichtige Tarife. Dabei werden Firmen-, Rechnungs- und Zahlungsdaten unserer Geschäftskunden verarbeitet; eine Übermittlung in die USA ist möglich.
• Resend (USA): Versand von Konto-E-Mails, z. B. Einladungen und Passwort-Zurücksetzung. Dabei werden E-Mail-Adresse und Inhalt der jeweiligen E-Mail verarbeitet.

Übermittlungen in die USA erfolgen auf Grundlage geeigneter Garantien nach Art. 44 ff. DSGVO (EU-US Data Privacy Framework bzw. EU-Standardvertragsklauseln). Unsere Geschäftskunden werden über den Einsatz von Unterauftragsverarbeitern in den mit ihnen abgeschlossenen AVVs informiert.

6. Datensicherheit

• Verschlüsselte Übertragung via TLS (Version 1.2 oder höher)
• AES-256 Verschlüsselung für Bilddaten im Ruhezustand
• Zugriffskontrolle über API Keys und Authentifizierung
• Regelmäßige Sicherheitsupdates

7. Rechte unserer Geschäftskunden

Als Verantwortliche für ihre eigenen Kontodaten haben unsere Geschäftskunden folgende Rechte gegenüber IdentAPI:

• Auskunft über gespeicherte Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung der Daten (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)

Zur Ausübung dieser Rechte wenden Sie sich bitte an: kontakt@identapi.de

Hinweis für betroffene Personen (Endnutzer): Wurden Ihre Daten durch einen unserer Geschäftskunden zur Identitätsprüfung übermittelt, ist dieser Geschäftskunde der datenschutzrechtlich Verantwortliche. Bitte wenden Sie sich mit Ihren Betroffenenrechten direkt an das jeweilige Unternehmen.

8. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständige Aufsichtsbehörde für unser Unternehmen ist der Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestr. 2–4, 40213 Düsseldorf, www.ldi.nrw.de.

9. Auftragsverarbeitungsvertrag (AVV)

Alle Geschäftskunden, die personenbezogene Daten über die IdentAPI verarbeiten, schließen mit uns einen AVV gemäß Art. 28 DSGVO ab. Dieser regelt insbesondere Weisungsbefugnisse, Löschpflichten und technisch-organisatorische Maßnahmen (TOMs). Für den Abschluss eines AVV kontaktieren Sie uns unter kontakt@identapi.de.

Stand: Oktober 2026. Handelsregisternummer und ggf. weitere Angaben werden nach Abschluss der GmbH-Gründung ergänzt.