Datenschutzerklärung
Verantwortlichkeit und Auftragsverarbeitung
Für diese Website sowie für eigene Vertrags-, Kontakt-, Support- und Abrechnungszwecke ist verantwortlich:
OneGuard GmbH, Welserstraße 3, 87463 Dietmannsried, Deutschland.
Vertreten durch den Geschäftsführer: Lukas Deward.
E-Mail: support@oneguard.app
Bei Fragen zum Datenschutz können Sie sich jederzeit unter der oben genannten Adresse oder per E-Mail an uns wenden.
Für Alters- und Identitätsprüfungen im Zusammenhang mit einem Online-Shop ist stets der jeweilige Shop-Betreiber datenschutzrechtlich Verantwortlicher. OneGuard verarbeitet die Verifikationsdaten ausschließlich als Auftragsverarbeiter gemäß Art. 28 DSGVO im Auftrag und nach dokumentierter Weisung des Shop-Betreibers. Dies gilt auch dann, wenn Sie Ausweis- oder Gesichtsdaten unmittelbar über die Verifikationsoberfläche von OneGuard bereitstellen. Die Kontaktdaten des für Ihren Verifikationsvorgang verantwortlichen Shop-Betreibers finden Sie insbesondere in dessen Datenschutzerklärung oder Bestellprozess.
Shop-Betreiber können den hierfür vorgesehenen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO online abrufen und abschließen.
Erhobene Daten und Verarbeitungszwecke
Wenn Sie unseren Verifikations-Service nutzen (z.B. beim Kauf von altersbeschränkten Produkten in einem Online-Shop, der OneGuard einsetzt), verarbeiten wir im Auftrag des verantwortlichen Shop-Betreibers folgende personenbezogene Daten:
- Identitäts- und biometrische Daten: Bilder Ihres Ausweisdokuments (z.B. Personalausweis, Reisepass oder Führerschein) sowie ggf. Gesichtsaufnahmen in Form von Einzelbildern (Selfies) oder kurzen Videoaufnahmen, um Ihre Identität und Ihr Alter zu überprüfen. Aus den Ausweisdokumenten werden relevante Informationen ausgelesen, darunter Vor- und Nachname, Geburtsdatum, Dokumenttyp und -nummer, Ablaufdatum, Ausstellungsland und Anschrift. Aus den Gesichtsaufnahmen können für den Identitätsabgleich und die Lebenderkennung biometrische Vergleichswerte erzeugt werden.
- Kontaktdaten: Soweit für den Verifikationsprozess erforderlich, verarbeiten wir Ihre Kontaktdaten (z.B. Ihre E-Mail-Adresse), die uns entweder direkt von Ihnen oder vom Shop-Betreiber übermittelt werden. Dies dient dazu, Ihnen einen Verifikationslink zuzusenden oder Sie bei Rückfragen zur Verifizierung zu kontaktieren.
- Verifikationsstatus: Das Ergebnis der Altersprüfung (erfolgreich verifiziert oder nicht) und eine eindeutige Vorgangs-ID werden gespeichert. Gegebenenfalls wird auch vermerkt, welche Art von Dokument geprüft wurde und ob die Prüfung manuell oder automatisiert erfolgte.
Zweck der Verarbeitung: Diese Daten werden ausschließlich zur Durchführung der Alters- und Identitätsprüfung verwendet, um sicherzustellen, dass Sie das erforderliche Mindestalter für den Erwerb des jeweiligen Produkts erreicht haben und zur Betrugsprävention (Verhinderung der Nutzung falscher/gefälschter Identitäten). Die Verarbeitung erfolgt im Interesse der Einhaltung gesetzlicher Jugendschutzvorgaben durch die Shop-Betreiber und zum Schutz Minderjähriger. Sie dient auch dazu, den Shop-Betreiber vor rechtlichen Risiken zu bewahren, die aus dem Verkauf altersbeschränkter Waren an Nicht-Berechtigte entstehen würden. Eine weitergehende Nutzung der Ausweisdaten findet nicht statt.
Automatisierte Verarbeitung: Die Altersverifikation kann teilweise automatisiert erfolgen. Dabei werden die von Ihnen hochgeladenen Ausweisbilder mittels Software und Künstlicher Intelligenz auf relevante Merkmale geprüft und die Altersangabe ermittelt. Zum Einsatz kommt unter anderem ein KI-gestützter Dienst, der die Ausweisdaten (inklusive maschinenlesbarer Zone) aus den Bildern extrahiert und auf Plausibilität prüft. Falls ein Live-Foto (Selfie) erforderlich ist, kann auch eine automatisierte Gesichtserkennungs- und Lebenderkennung (Liveness Check) stattfinden, um zu bestätigen, dass es sich um dieselbe Person wie auf dem Ausweis handelt und dass es sich um eine reale, anwesende Person handelt. Hinweis: Sollte die Überprüfung automatisiert zu einem negativen Ergebnis kommen (Verifikation nicht erfolgreich), wird der Vorgang – sofern möglich – manuell von einem Mitarbeiter überprüft, oder Sie erhalten die Möglichkeit, einen neuen Verifikationsversuch zu starten. Sie haben das Recht, im Falle einer vollständig automatisierten Entscheidung, die für Sie rechtliche Wirkung entfaltet oder Sie erheblich beeinträchtigt, einen menschlichen Ansprechpartner zu verlangen, der die Entscheidung überprüft. Rechtsgrundlagen: Über die Rechtsgrundlagen für die Alters- und Identitätsprüfung entscheidet der jeweilige Shop-Betreiber als Verantwortlicher. Je nach Einzelfall kann er die Verarbeitung insbesondere auf Art. 6 Abs. 1 lit. c DSGVO (Erfüllung einer gesetzlichen Verpflichtung) oder Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Jugendschutz, Betrugsprävention und rechtssicherer Bestellabwicklung) stützen. Soweit besonders sensible Daten verarbeitet werden (z.B. biometrische Daten aus einem Gesichtsfoto für einen Identitätsabgleich), wird – sofern keine andere gesetzliche Erlaubnis greift – vorab Ihre ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO eingeholt. OneGuard holt diese Einwilligung im Auftrag des Shop-Betreibers über die Verifikationsoberfläche ein. Die Bereitstellung Ihrer Ausweisdaten ist erforderlich, um den Altersnachweis zu erbringen; ohne diese können wir die Verifikation nicht durchführen und der Shop darf den Verkauf ggf. nicht abschließen. Weitergabe an den Shop: Im Anschluss an eine erfolgreiche Verifizierung teilen wir dem Shop-Betreiber mit, ob die Altersprüfung bestanden wurde. Welche Daten an den Shop übertragen werden, bestimmen Sie selbst: Sie können in der Verifikationsoberfläche angeben, ob Sie einer Übermittlung Ihrer persönlichen Ausweisdaten (z.B. Name, Geburtsdatum) an den Shop zustimmen. Ohne Ihre Zustimmung übermitteln wir lediglich den Verifikationsstatus (Bestätigung, dass die Altersprüfung erfolgreich war, ohne detaillierte Ausweisdaten). Mit Ihrer Zustimmung können wir zusätzlich bestimmte Daten (z.B. Ihren Vor- und Nachnamen, Geburtsdatum oder eine Kundennummer) an den Shop übermitteln, damit dieser seinen gesetzlichen Dokumentationspflichten nachkommen oder Ihren Kundenaccount als „verifiziert“ markieren kann. Diese Einwilligung können Sie freiwillig erteilen, und sie ist nicht erforderlich, um den Verifikationsprozess abzuschließen – sie dient lediglich der Erleichterung für den Shop. Sie können eine einmal erteilte Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Ohne Ihre Zustimmung bleiben Ihre konkreten Ausweisdaten dem Shop-Betreiber verborgen; dieser erhält dann nur eine Mitteilung, dass Ihre Volljährigkeit bzw. Berechtigung bestätigt wurde.
Kontaktformular und Support-Anfragen
Auf unserer Website (oneguard.app) befindet sich ein Kontaktformular, über das Sie Anfragen stellen oder Support kontaktieren können. Wenn Sie dieses nutzen oder uns per E-Mail kontaktieren, verarbeiten wir folgende Daten:Kontakt- und Inhaltsdaten: Ihr Name, Ihre E-Mail-Adresse und der Inhalt Ihrer Nachricht sowie ggf. ein Betreff oder die Auswahl, ob Sie als „Kunde“ oder „Unternehmen“ anfragen. Sie können freiwillig weitere Angaben machen, die für die Bearbeitung Ihrer Anfrage relevant sind (z.B. eine Bestell- oder Verifikationsnummer, falls Ihre Anfrage sich auf einen konkreten Verifikationsvorgang bezieht).
Zweck: Diese Daten verwenden wir ausschließlich, um Ihre Anfrage zu bearbeiten und mit Ihnen in Kontakt zu treten. Wenn Sie uns z.B. Support-Anfragen oder Fragen zu unseren Dienstleistungen senden, verarbeiten wir die Angaben, um Ihr Anliegen zu beantworten.
Rechtsgrundlage: Die Verarbeitung der im Kontaktformular eingegebenen Daten erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO, wenn die Anfrage in Zusammenhang mit der Vertragsanbahnung oder -durchführung steht (etwa Fragen eines Shop-Betreibers zu unserem Service). In allen anderen Fällen stützen wir die Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) – unser berechtigtes Interesse liegt darin, Anfragen von Nutzern/Kunden zu beantworten und unseren Service zu verbessern. Ihre Angaben im Kontaktformular sind freiwillig; jedoch können wir Ihre Anfrage ohne die Angabe einer gültigen Kontaktmöglichkeit (z.B. E-Mail) nicht beantworten. Hinweis: Support-Anfragen werden von uns ggf. intern dokumentiert (z.B. in Form von Tickets oder E-Mails), um den Verlauf nachvollziehen zu können. Wir verwenden für den Versand und Empfang von Support-E-Mails den Dienst Mailgun (siehe dazu weiter unten unter Drittanbieter). Dabei werden die von Ihnen eingegebenen Daten (inkl. Ihrer E-Mail und Nachricht) an unser internes Support-E-Mail-System weitergeleitet.
Besuch der Website / Server-Logfiles
Beim rein informatorischen Besuch unserer Website (ohne Nutzung des Verifikationsservices oder des Kontaktformulars) werden aus technischen Gründen gewisse Nutzungsdaten automatisch von unserem Webhosting-Provider erfasst. Dies umfasst insbesondere:Server-Logdaten: IP-Adresse des anfragenden Geräts, Datum und Uhrzeit der Anfrage, abgerufene Seite/Datei, übertragene Datenmenge, Meldung über erfolgreichen Abruf, Browsertyp nebst Version, Betriebssystem des Nutzers, verweisende URL (Referrer) und ähnliches.
Zweck: Die Erhebung dieser Logdaten ist notwendig, um die Auslieferung der Website an Ihr Gerät zu ermöglichen und die Stabilität sowie Sicherheit unseres Webangebots zu gewährleisten (z.B. Abwehr von Angriffsversuchen, Fehlersuche). Wir behalten uns vor, die Logdaten nachträglich auszuwerten, wenn konkrete Anhaltspunkte für eine rechtswidrige Nutzung (z.B. ein Cyberangriff) vorliegen. Rechtsgrundlage: Die Verarbeitung der genannten Nutzungsdaten erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der technischen Bereitstellung der Website und der IT-Sicherheit. Cookies & Tracking: Unsere OneGuard-Website verwendet derzeit keine Analyse- oder Marketing-Cookies von Drittanbietern. Es werden nur technisch notwendige Cookies eingesetzt (z.B. für Spracheinstellungen oder zur Aufrechterhaltung Ihrer Sitzung), sofern solche für die Grundfunktionen erforderlich sind. Über etwaige nicht notwendige Cookies oder ähnliche Technologien informieren wir Sie gesondert und holen Ihre Einwilligung ein. (Hinweis: Sollte sich dies ändern, werden wir die Datenschutzerklärung aktualisieren.)
Weitergabe von Daten und eingesetzte Dienstleister (Dritte)
Bei Verifikationsdaten erfolgt eine Weitergabe an Dritte nur im Auftrag und nach dokumentierter Weisung des verantwortlichen Shop-Betreibers. Für Verarbeitungen, bei denen OneGuard selbst Verantwortlicher ist, geben wir personenbezogene Daten nur weiter, wenn dies zur Erfüllung unserer Dienstleistungen erforderlich ist, Sie ausdrücklich eingewilligt haben, eine gesetzliche Verpflichtung besteht oder ein berechtigtes Interesse dies ausnahmsweise erlaubt. Mit allen externen Dienstleistern, die als Auftragsverarbeiter tätig werden, bestehen Verträge gemäß Art. 28 DSGVO. Im Folgenden informieren wir über die Drittanbieter und Infrastruktur-Dienste, die im Rahmen von OneGuard zum Einsatz kommen:Shopify: OneGuard ist als App in Shopify-Shops integrierbar. Wenn ein Online-Shop OneGuard nutzt, übermittelt er nur die für die Zuordnung und Durchführung der Altersverifikation erforderlichen Bestell-, Referenz- und Kontaktdaten an OneGuard, z.B. Bestellnummer, erforderliches Mindestalter, Name und E-Mail-Adresse. Ausweisbilder, Selfies, Videoaufnahmen und biometrische Daten stellen Sie unmittelbar über die Verifikationsoberfläche von OneGuard bereit; sie werden nicht aus dem Shopify-Shop an OneGuard übertragen und nicht an den Shop zurückübermittelt. Nach der Verifikation kann OneGuard den Verifikationsstatus im Shopify-System aktualisieren (z.B. die Bestellung freigeben oder mit einem Verifizierungsvermerk versehen). Zusätzliche Ergebnisdaten werden nur entsprechend Ihrer Auswahl in der Verifikationsoberfläche und der dokumentierten Weisung des Shop-Betreibers übermittelt. Shopify International Ltd. (Irland) und Shopify Inc. (Kanada) sind die Betreiber der Shopify-Plattform. Kanada gilt datenschutzrechtlich als ein sicheres Drittland mit Angemessenheitsbeschluss der EU. Der jeweilige Shop-Betreiber ist für die Verarbeitung im Rahmen des Bestell- und Verifikationsprozesses Verantwortlicher; OneGuard handelt als sein Auftragsverarbeiter nach Art. 28 DSGVO.
WooCommerce/WordPress: OneGuard kann über das Plugin „Oneguard for WooCommerce“ mit einem WooCommerce-Shop verbunden werden. Für altersbeschränkte Bestellungen übermittelt das Plugin die für die Verifikation erforderlichen Bestell- und Kundendaten, darunter Bestell-ID und -nummer, Bestelldatum, Name, E-Mail-Adresse, Rechnungsadressentext, Sprache, erforderliches Mindestalter, Rückgabe-URL und Angaben zu den betroffenen Produkten. WordPress speichert technische Status- und Bestellmetadaten wie Verifikations-ID und -status, erforderliches Alter, Ablaufdatum und betroffene Produkte. Nur entsprechend Ihrer Auswahl in der Verifikationsoberfläche und der dokumentierten Weisung des Shop-Betreibers können zusätzlich ausgewählte Ergebnisdaten wie Dokumenttyp und -nummer, Geburtsdatum und berechnetes Alter zurückübermittelt und gespeichert werden. Dokument- und Gesichtsbilder, Selfie-Videos sowie biometrische und OCR-Rohdaten werden nicht in WordPress gespeichert; die eigentliche Prüfung erfolgt über den externen OneGuard-Dienst.
Stripe: Für Zahlungsabwicklungen und Abrechnung gegenüber unseren Geschäftskunden (Shop-Betreibern) nutzen wir Stripe als Zahlungsdienst. Wenn Sie also z.B. als Händler für OneGuard-Leistungen zahlen, werden Zahlungsdaten an Stripe übermittelt. Stripe ist ein Dienst der Stripe Payments Europe Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland. Dabei kann es sich um Rechnungsbeträge, gewählte Zahlungsmittel und Zahlungskennungen (z.B. Kreditkartentoken) sowie abrechnungsrelevante Kontaktdaten handeln. Stripe fungiert in einigen Fällen als eigener Verantwortlicher für die Zahlungsabwicklung. Soweit Stripe Daten in die USA an die Konzernmutter Stripe, Inc. (USA) übermittelt, geschieht dies auf Basis von Standardvertragsklauseln, um ein angemessenes Datenschutzniveau sicherzustellen. Mehr Informationen finden Sie in der Datenschutzerklärung von Stripe unter https://stripe.com/privacy. (Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, Vertragsdurchführung, für die Übermittlung an Stripe ggf. auch Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse an einer sicheren Zahlungsabwicklung.)
Mailgun (E-Mail-Versand): Wir verwenden Mailgun als E-Mail-Dienstleister, um E-Mails zuverlässig zu versenden – etwa die Nachrichten aus dem Kontaktformular oder Benachrichtigungen im Verifikationsprozess. Anbieter ist die Mailgun Technologies, Inc., 112 E Pecan St #1135, San Antonio, TX 78205, USA (ein Unternehmen der Sinch-Gruppe). Wir nutzen Mailgun über deren EU-Server („api.eu.mailgun.net“), sodass Ihre E-Mails nach Möglichkeit innerhalb der EU verarbeitet werden. Dennoch kann nicht ausgeschlossen werden, dass Mailgun in Einzelfällen Daten in die USA übermittelt oder dort darauf zugegriffen wird. Mit Mailgun haben wir einen Auftragsverarbeitungsvertrag einschließlich der EU-Standardvertragsklauseln abgeschlossen, um ein dem EU-Datenschutz entsprechendes Niveau zu gewährleisten. Mailgun speichert die Inhaltsdaten versandter E-Mails typischerweise bis zu 30 Tage, um z.B. die Zustellung nachverfolgen zu können. Für eigene Kontakt- und Support-E-Mails setzt OneGuard Mailgun auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung oder -durchführung) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem effizienten und sicheren E-Mail-Versand) ein. Benachrichtigungen im Verifikationsprozess versendet OneGuard im Auftrag des verantwortlichen Shop-Betreibers und auf Grundlage seiner dokumentierten Weisung.
OpenAI: Ein Bestandteil des von OneGuard im Auftrag des Shop-Betreibers durchgeführten Verifikationsprozesses kann die automatisierte Auswertung von Ausweisdokumenten mittels Künstlicher Intelligenz sein. Hierzu nutzen wir Dienste der OpenAI, L.L.C., USA. Konkret können die von Ihnen hochgeladenen Ausweis-Bilder oder Textauszüge an die OpenAI-Plattform übermittelt werden, um mithilfe eines KI-Modells die relevanten Daten (Name, Geburtsdatum etc.) auszulesen und Plausibilitätsprüfungen durchzuführen.
Wichtige Hinweise: Einwilligung erforderlich: Der verantwortliche Shop-Betreiber stützt diese Verarbeitung auf Ihre ausdrückliche Einwilligung (Art. 6 Abs. 1 lit. a, Art. 9 Abs. 2 lit. a DSGVO), die OneGuard in seinem Auftrag über die Verifikationsoberfläche einholt. Ohne Einwilligung wird OpenAI nicht eingesetzt; wir bieten Ihnen in diesem Fall alternative Verifikationsmethoden an. OpenAI als eigener Verantwortlicher: Bitte beachten Sie, dass OpenAI im Rahmen der API-Nutzung nicht als reiner Auftragsverarbeiter, sondern als eigener Verantwortlicher agiert. Wir haben dennoch mit OpenAI vertragliche Vereinbarungen (u. a. EU-Standardvertragsklauseln) abgeschlossen. USA-Übermittlung und Risiken: Bei der Übermittlung in die USA besteht – trotz vertraglicher Schutzmaßnahmen – ein erhöhtes Risiko, dass US-Behörden auf die Daten zugreifen können, ohne dass Ihnen wirksame Rechtsbehelfe zur Verfügung stehen (EuGH „Schrems II“). Zusatzmaßnahmen: Um dieses Risiko zu mindern, werden die Daten verschlüsselt übertragen, es werden nur die für den Zweck minimal erforderlichen Inhalte weitergegeben (Datensparsamkeit), und Daten werden – soweit möglich – pseudonymisiert. Speicherdauer: OpenAI speichert übermittelte API-Daten nach eigenen Angaben maximal 30 Tage zur Missbrauchserkennung und löscht sie danach. OneGuard stellt sicher, dass die für die Verifikation verarbeiteten Ausweisbilder, Selfies, Videoaufnahmen und biometrischen Rohdaten auch unter Einbeziehung eingesetzter Dienstleister spätestens 30 Tage nach ihrer Erhebung gelöscht werden. Eine Nutzung für Trainingszwecke findet nicht statt. Rechtsgrundlage des Shop-Betreibers: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), Art. 49 Abs. 1 lit. a DSGVO für die Übermittlung in ein unsicheres Drittland (USA). Hinweis: Sie können Ihre Einwilligung jederzeit verweigern oder widerrufen. In diesem Fall führen wir die Altersverifikation über andere Verfahren durch.
Supabase: Wir speichern die bei der Verifikation anfallenden Daten (z.B. Ihre Verifikations-ID, Prüfergebnis und temporär ggf. Ausweisdaten) in einer Cloud-Datenbank von Supabase. Supabase ist ein Dienst der Supabase, Inc. mit Hauptsitz in den USA (vertretungsweise: Supabase Germany GmbH, c/o WeWork, Eichhornstraße 3, 10785 Berlin, für den EU-Raum). Unser Supabase-Backend wird auf Servern in der EU (eu-west-1 Region) betrieben, soweit wir dies veranlassen können. Dennoch kann nicht ausgeschlossen werden, dass Supabase im Supportfall oder durch die Firmenstruktur Zugriff aus den USA erhält. Auch mit Supabase haben wir einen DSGVO-konformen Auftragsverarbeitungsvertrag einschließlich Standardvertragsklauseln abgeschlossen. Die Speicherung in der Supabase-Datenbank ermöglicht die technische Bereitstellung unseres Services. Soweit dort Verifikationsdaten verarbeitet werden, erfolgt dies im Rahmen unserer Tätigkeit als Auftragsverarbeiter und nach Weisung des verantwortlichen Shop-Betreibers. Die Daten in der Datenbank sind durch Zugriffsbeschränkungen und Verschlüsselung gegen unbefugten Zugriff geschützt. Supabase selbst wirbt mit GDPR-Konformität und Verschlüsselung der Kundendaten.
Hosting:
Unsere Webanwendung und Dienste werden aus Leistungs- und Sicherheitsgründen bei mehreren Hosting- und Infrastruktur-Anbietern betrieben:Die OneGuard-Webseite wird über Netlify, Inc. (USA) bereitgestellt. Netlify hostet statische Inhalte unseres Webauftritts. Bei Aufruf unserer Webseite werden daher Ihre Browser-Anfragen an Netlify-Server geleitet. Netlify ist unter dem EU-US Data Privacy Framework zertifiziert und wir haben zusätzliche Standardvertragsklauseln vereinbart, um den Datenschutz zu gewährleisten. Unsere Server-Komponenten/API für die Verifikation laufen unter anderem auf Render. Render, Inc. (USA) stellt Cloud-Hosting bereit; wir nutzen möglichst deren Rechenzentrums-Standorte in der EU (z.B. Frankfurt) für unsere Dienste. Auch hier kommen EU-Standardvertragsklauseln zum Einsatz, um evtl. Zugriffe aus den USA abzusichern. Zusätzlich verwenden wir Hetzner Online GmbH (Deutschland) als Hosting-Provider. Insbesondere können einzelne Dienste oder Speicher bei Hetzner-Servern in Deutschland liegen. Hetzner unterliegt unmittelbar dem deutschen/europäischen Datenschutzrecht. Diese Hosting-Dienstleister verarbeiten Logdaten und ggf. von uns eingespeiste Daten in unserem Auftrag. Soweit Verifikationsdaten betroffen sind, setzen wir sie als Unterauftragsverarbeiter für den verantwortlichen Shop-Betreiber ein. Für den Betrieb unserer eigenen Website erfolgt der Einsatz auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer ausfallsicheren, effizienten und sicheren Bereitstellung unseres Services). Mit allen genannten Anbietern bestehen Verträge nach Art. 28 DSGVO. Soweit diese Dienstleister außerhalb der EU sitzen (USA), stützen wir die Zusammenarbeit auf geeignete Garantien (z.B. SCC) und achten darauf, dass möglichst EU-Rechenzentren genutzt werden. (Hinweis: Soweit die genannten Dienstleister als Auftragsverarbeiter tätig werden, verwenden sie die Daten nur nach Weisung und zur Erfüllung der jeweiligen Dienstleistung. Soweit ein Anbieter in dem oben beschriebenen Umfang als eigener Verantwortlicher handelt, gelten die dort genannten Zwecke und Rechtsgrundlagen. In Einzelfällen können gesetzliche Vorschriften verlangen, dass wir oder unsere Dienstleister Daten an Behörden herausgeben müssen – etwa auf berechtigte Anfrage von Strafverfolgungsbehörden.)
Datenübermittlung in Drittländer
Wie oben beschrieben, kann es bei einigen der eingesetzten Dienste zu Übermittlungen personenbezogener Daten in Drittländer außerhalb der EU/ des EWR kommen, insbesondere in die USA (z.B. bei Nutzung von OpenAI, Mailgun, Render oder Stripe ggf. an die US-Muttergesellschaft). Die USA weisen derzeit kein der EU gleichwertiges Datenschutzniveau auf, weshalb insbesondere das Risiko besteht, dass US-Behörden auf Ihre Daten zugreifen könnten, ohne dass Ihnen hiergegen zwingend effektive Rechtsbehelfe zustehen. Wir haben daher vertragliche Standarddatenschutzklauseln (Standard Contractual Clauses – SCC) mit den betreffenden Dienstleistern abgeschlossen, die diese zu einem Schutz Ihrer Daten nach EU-Standards verpflichten. Bei Verifikationsdaten holt OneGuard eine gegebenenfalls erforderliche Einwilligung (Art. 49 Abs. 1 lit. a DSGVO) im Auftrag des verantwortlichen Shop-Betreibers ein – dies ist insbesondere bei der OpenAI-Verifikation der Fall. Zusätzlich treffen wir nach Möglichkeit weitere Maßnahmen, wie die Verschlüsselung der übertragenen Inhalte und die Beschränkung auf das Minimum erforderlicher Daten (Datensparsamkeit). Bitte sprechen Sie uns an, wenn Sie hierzu weitere Informationen wünschen oder Kopien der vertraglichen Garantien einsehen möchten.Speicherdauer und Löschung
Verifikationsdaten verarbeitet und speichert OneGuard nur nach dokumentierter Weisung und entsprechend den festgelegten Löschfristen des verantwortlichen Shop-Betreibers. Daten, für die OneGuard selbst Verantwortlicher ist, speichern wir nur so lange, wie es für den jeweiligen Zweck erforderlich und gesetzlich zulässig ist. Danach werden die Daten gelöscht oder in ihrer Verarbeitung eingeschränkt. Im Einzelnen: Ausweis- und biometrische Rohdaten aus der Altersverifikation: Hochgeladene Ausweisbilder, Selfies, Videoaufnahmen und daraus erzeugte biometrische Rohdaten werden spätestens 30 Tage nach ihrer Erhebung endgültig gelöscht. Eine längere Speicherung dieser Bild-, Video- oder biometrischen Rohdaten findet nicht statt. Prüfprotokolle und Ergebnisdaten sind hiervon nicht umfasst; für sie gelten die nachfolgenden Regelungen. Verifikations-Protokolle und Ergebnisdaten: Die textuellen Ergebnisse der Altersprüfung und die zugehörigen Protokolldaten speichern wir nur nach dokumentierter Weisung und entsprechend den festgelegten Aufbewahrungsfristen des verantwortlichen Shop-Betreibers. Nach Wegfall des Zwecks oder Beendigung des Auftrags werden diese Daten nach Wahl des Shop-Betreibers gelöscht oder an ihn zurückgegeben, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.Kontaktdaten aus Verifikationen: Falls wir Ihre E-Mail-Adresse oder Telefonnummer im Rahmen eines Verifikationsvorgangs erhalten haben (z.B. um Ihnen den Verifikationslink zu senden), nutzen wir diese nur im Auftrag des Shop-Betreibers für die Kommunikation im Rahmen der Verifizierung. Eine Nutzung für eigene Werbezwecke findet nicht statt. Die Löschung erfolgt nach dokumentierter Weisung und entsprechend der vom verantwortlichen Shop-Betreiber festgelegten Aufbewahrungsfrist.
Daten aus dem Kontaktformular/Support: Ihre Nachrichten und die darin enthaltenen Daten werden zur Bearbeitung Ihrer Anfrage gespeichert. In der Regel archivieren wir Support-E-Mails für maximal 6-12 Monate, um bei Folgerückfragen den Gesprächsverlauf zu kennen. Bei sensiblen Anfragen oder falls Sie es wünschen, können wir Ihre Nachricht auch früher löschen. Gesetzliche Aufbewahrungsfristen (siehe unten) bleiben unberührt.
Account- und Abrechnungsdaten (für Shop-Betreiber): Wenn Sie als Geschäftskunde (Shop-Betreiber) unseren Dienst nutzen, speichern wir Ihre Registrierungsdaten (Firmenname, Ansprechpartner, Kontaktdaten) und Rechnungsinformationen so lange, wie Ihr Kundenkonto aktiv ist. Nach Vertragsende löschen wir diese Daten routinemäßig binnen einiger Monate, soweit sie nicht noch für Abrechnungszwecke benötigt werden. Rechnungen und buchhalterische Unterlagen bewahren wir entsprechend der gesetzlichen Vorgaben 10 Jahre auf (steuer- und handelsrechtliche Aufbewahrungspflichten nach §257 HGB, §147 AO). Während dieser Zeit werden die Daten jedoch für andere Zwecke gesperrt. Grundsätzlich gilt: Sobald ein Zweck für die Datenverarbeitung wegfällt und keine rechtliche Pflicht zur Aufbewahrung besteht, löschen wir die betreffenden Daten unverzüglich. In einigen Fällen können Daten zunächst nicht vollständig gelöscht, aber gesperrt werden, wenn etwa gesetzliche Fristen einzuhalten sind. Gesperrte Daten werden nicht für andere Zwecke genutzt. Die feste Höchstfrist von 30 Tagen für Ausweisbilder, Selfies, Videoaufnahmen und biometrische Rohdaten bleibt hiervon unberührt.
Datensicherheit
OneGuard trifft umfangreiche technische und organisatorische Sicherheitsmaßnahmen, um Ihre personenbezogenen Daten vor Verlust, Missbrauch und unbefugtem Zugriff zu schützen. Dies umfasst unter anderem: Verschlüsselung der Kommunikationswege (SSL/TLS) bei der Übertragung Ihrer Daten, Verschlüsselung der sensiblen Daten in unseren Datenbanken, Zugriffsbeschränkungen nach dem Need-to-know-Prinzip sowie regelmäßige Sicherheitsüberprüfungen unserer Systeme. Besonders schützenswerte Daten wie Ausweisbilder werden sicher gespeichert und nur autorisiertem Personal bzw. den notwendigen Verifikations-Diensten zugänglich gemacht. Unsere Dienstleister wurden sorgfältig ausgewählt und sind vertraglich auf Datenschutz und geheimhaltung verpflichtet. Wir verbessern unsere Sicherheitsmaßnahmen kontinuierlich entsprechend der technologischen Entwicklung.Rechte der betroffenen Person
Als von der Datenverarbeitung betroffene Person stehen Ihnen nach der DSGVO die folgenden Rechte zu. Für Daten aus einer Alters- oder Identitätsprüfung wenden Sie sich bitte vorrangig an den jeweiligen Shop-Betreiber als Verantwortlichen. Wenn Sie sich stattdessen an OneGuard wenden, leiten wir Ihr Ersuchen unverzüglich an den Shop-Betreiber weiter und unterstützen ihn bei der Bearbeitung. Für Verarbeitungen, bei denen OneGuard selbst Verantwortlicher ist, können Sie uns jederzeit unter den oben angegebenen Kontaktinformationen kontaktieren:Recht auf Auskunft (Art. 15 DSGVO): Sie haben das Recht zu erfahren, welche personenbezogenen Daten wir von Ihnen gespeichert haben, zu welchen Zwecken wir sie verarbeiten, und weitere Informationen über die Verarbeitung. Auf Anfrage stellen wir Ihnen eine Kopie der Daten zur Verfügung, die Gegenstand der Verarbeitung sind.
Recht auf Berichtigung (Art. 16 DSGVO): Sollten Ihre personenbezogenen Daten unrichtig oder unvollständig sein, können Sie die Berichtigung bzw. Vervollständigung dieser Daten verlangen.
Recht auf Löschung (Art. 17 DSGVO): Sie können die Löschung Ihrer personenbezogenen Daten verlangen, sofern die gesetzlichen Voraussetzungen erfüllt sind. Dies ist z.B. der Fall, wenn die Daten für die Zwecke, für die sie erhoben wurden, nicht mehr notwendig sind, Sie eine erteilte Einwilligung widerrufen und es an einer anderweitigen Rechtsgrundlage fehlt, oder wenn wir die Daten unrechtmäßig verarbeitet haben. Bitte beachten Sie, dass bestimmte Daten nicht sofort gelöscht werden dürfen, wenn gesetzliche Aufbewahrungspflichten bestehen oder wenn wir sie zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigen. In solchen Fällen sperren wir die Daten bis zur Löschung.
Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO): Sie haben das Recht, unter bestimmten Umständen die Einschränkung der Verarbeitung Ihrer Daten zu verlangen. Beispielsweise können Sie dies tun, wenn Sie die Richtigkeit der Daten bestreiten (für die Dauer der Überprüfung) oder wenn Sie eine Verarbeitung ablehnen, aber eine Löschung noch nicht gewünscht oder möglich ist. Im Fall der Einschränkung markieren wir die betreffenden Daten und verarbeiten sie – abgesehen von der Speicherung – nur noch für die von der DSGVO zugelassenen Zwecke.
Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Sie haben das Recht, die personenbezogenen Daten, die Sie uns bereitgestellt haben und die wir auf Basis Ihrer Einwilligung oder zur Vertragserfüllung automatisiert verarbeiten, in einem gängigen, maschinenlesbaren Format zu erhalten. Auf Wunsch – und soweit technisch machbar – können wir diese Daten auch direkt einem von Ihnen benannten anderen Verantwortlichen übertragen.
Widerspruchsrecht (Art. 21 DSGVO): Soweit wir die Verarbeitung Ihrer Daten auf ein berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) stützen, haben Sie das Recht, Widerspruch gegen diese Verarbeitung einzulegen, wenn sich aus Ihrer besonderen Situation Gründe ergeben, die gegen die Datenverarbeitung sprechen. Im Falle eines Widerspruchs werden wir Ihre Daten nicht weiter auf dieser Grundlage verarbeiten, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Hinweis: Gegen die Verarbeitung Ihrer Daten zu Werbezwecken können Sie jederzeit ohne Angabe von Gründen Widerspruch einlegen; wir werden die Verarbeitung dann umgehend einstellen.
Recht auf Widerruf von Einwilligungen (Art. 7 Abs. 3 DSGVO): Wenn wir Ihre personenbezogenen Daten aufgrund einer von Ihnen erteilten Einwilligung verarbeiten, können Sie diese Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Durch den Widerruf wird die Rechtmäßigkeit der bis dahin – auf Basis der Einwilligung – erfolgten Datenverarbeitung nicht berührt. Nach Widerruf werden wir die betroffenen Datenverarbeitungen einstellen, sofern nicht eine andere Rechtsgrundlage eingreift.
Beschwerderecht bei einer Aufsichtsbehörde (Art. 77 DSGVO): Wenn Sie der Ansicht sind, dass wir bei der Verarbeitung Ihrer personenbezogenen Daten datenschutzrechtliche Vorschriften verletzen, können Sie sich jederzeit an eine Datenschutz-Aufsichtsbehörde wenden. Sie können dies bei der Behörde in dem EU-Mitgliedstaat Ihres Aufenthaltsortes, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes tun. In Bayern ist die zuständige Aufsichtsbehörde z.B. das Bayerische Landesamt für Datenschutzaufsicht (BayLDA). Das Beschwerderecht gilt unbeschadet anderweitiger verwaltungsrechtlicher oder gerichtlicher Rechtsbehelfe. Wir bitten Sie, sich bei Fragen oder Problemen zunächst an uns zu wenden, damit wir gemeinsam eine Lösung finden können.
Mindestalter
Eine Altersverifikation kann ihrem Zweck entsprechend auch Personen betreffen, die das vom Shop vorausgesetzte Mindestalter noch nicht erreicht haben. Für die Rechtmäßigkeit dieser Verarbeitung und eine gegebenenfalls erforderliche Einwilligung ist der jeweilige Shop-Betreiber als Verantwortlicher zuständig. OneGuard verarbeitet solche Daten ausschließlich in seinem Auftrag und nach seiner dokumentierten Weisung; die oben genannte 30-Tage-Höchstfrist für Ausweis- und biometrische Rohdaten gilt unabhängig vom Ergebnis der Altersprüfung.Änderungen dieser Datenschutzerklärung
Wir behalten uns vor, diese Datenschutzerklärung bei Bedarf zu aktualisieren. Die jeweils aktuelle Version ist auf unserer Website unter oneguard.app/de/privacy abrufbar.Stand dieser Datenschutzerklärung: August 2026.