Sicherheit & Datenschutz

Diese Seite fasst für Einkauf, Datenschutz und IT-Sicherheit zusammen, wie IdentAPI Ausweis-, Bild- und Dokumentdaten verarbeitet und schützt. Verbindlich sind die Datenschutzerklärung und der Auftragsverarbeitungsvertrag (AVV).

1. Einsatzbereich

• IdentAPI ist ein B2B-Dienst für KYC-light-Prozesse: Onboarding auf Marktplätzen und Plattformen, Altersprüfung, HR-Onboarding und Dokumentenprüfung im Backoffice.
• IdentAPI ist kein Identifizierungsverfahren nach dem Geldwäschegesetz (GwG), bietet keine qualifizierte elektronische Signatur (QES) und kein eIDAS-Vertrauensniveau „hoch“.
• Für regulierte Prozesse bereiten wir Partnerlösungen mit zertifizierten Vertrauensdiensteanbietern vor.

2. Hosting und Datenfluss

• Ausweis-, Bild-, Dokument- und Prüfdaten werden ausschließlich auf Servern der Hetzner Online GmbH in Deutschland (Nürnberg/Falkenstein) verarbeitet und gespeichert.
• Texterkennung (OCR) und Gesichtsabgleich laufen auf unseren eigenen Servern mit Open-Source-Modellen (PaddleOCR, InsightFace). Es werden keine Ausweis- oder Gesichtsbilder an externe KI- oder Cloud-Dienste übermittelt.
• Diese Daten werden nicht in Drittländer außerhalb der EU/des EWR übermittelt.

3. Rollen

Für die Daten aus Identitätsprüfungen ist der jeweilige Geschäftskunde Verantwortlicher, IdentAPI handelt als Auftragsverarbeiter nach Art. 28 DSGVO. Den AVV erhalten Sie auf Anfrage unter kontakt@identapi.de.

4. Technische und organisatorische Maßnahmen (Auszug)

• Verschlüsselung: Ausweisbilder, Selfies und über DocMatch hochgeladene Dokumente werden mit AES-256-GCM verschlüsselt gespeichert. Alle Verbindungen zur API sind TLS-verschlüsselt.
• API-Schlüssel: werden nur einmal bei der Erstellung angezeigt und ausschließlich als Hash (bcrypt) gespeichert.
• Dashboard-Zugang: Zwei-Faktor-Anmeldung, Rollen (Owner, Admin, Member, Viewer, Billing) und serverseitig widerrufbare Sitzungen. Die Betreiberverwaltung hat eine eigene, getrennte Anmeldung.
• Protokollierung: Audit-Log für alle Ereignisse einer Prüfung sowie Sicherheitsereignisse der Konten (z. B. Anmeldung, Passwortänderung).
• Netz: Datenbank, Objektspeicher, Cache und Auswertungsdienst sind nur lokal auf dem Server erreichbar, nicht aus dem Internet.
• Missbrauchsschutz: Anfragelimits pro API-Schlüssel und pro IP-Adresse.
• Webhooks: mit HMAC-SHA256 signiert, damit Empfänger die Herkunft prüfen können.
• Verfügbarkeit: tägliche Datenbanksicherung mit 7 Tagen Aufbewahrung, Server-Backups beim Hoster und laufendes Monitoring mit öffentlicher Statusseite.

5. Aufbewahrung und Löschung

Bild- und Dokumentdaten werden nach Ablauf der tarifabhängigen Frist automatisch gelöscht:

• Free: 7 Tage
• Starter: 30 Tage
• Pro: 90 Tage
• Enterprise: individuell vereinbart

6. Unterauftragsverarbeiter und Dienstleister

• Hetzner Online GmbH (Deutschland): Hosting und Speicherung aller Prüf- und Kontodaten.
• Stripe Payments Europe, Ltd. (Irland): Zahlungsabwicklung für kostenpflichtige Tarife; nur Firmen-, Rechnungs- und Zahlungsdaten der Geschäftskunden.
• Resend (USA): Versand von Konto-E-Mails wie Einladungen und Passwort-Zurücksetzung.

Keiner dieser Dienstleister außer Hetzner erhält Ausweis-, Bild- oder Dokumentdaten. Einzelheiten stehen in der Datenschutzerklärung.

7. Transparenz: Was wir nicht behaupten

• IdentAPI verfügt derzeit über keine externe Zertifizierung wie ISO 27001 oder SOC 2. Wir legen unsere Maßnahmen offen und beantworten Sicherheitsfragebögen auf Anfrage.
• Die frühere Einzelbild-Lebenderkennung ist deaktiviert. Eine belastbare Video-Lebenderkennung über einen spezialisierten Anbieter ist noch nicht aktiviert.

8. Kontakt

Fragen zu Sicherheit und Datenschutz, AVV-Anfragen und Hinweise auf Schwachstellen richten Sie bitte an kontakt@identapi.de.

Stand: Oktober 2026.