Kundenbereich

DSGVO-Konformität

Aktualisiert am 23. Oktober 2026

Letzte Aktualisierung: 20. Oktober 2026

Diese Seite stellt dar, wie VerifAge die Verordnung (EU) 2016/679 vom 27. April 2016 („DSGVO“) und das französische Datenschutzgesetz Nr. 78-17 vom 6. Januar 1978 in seiner geänderten Fassung („loi Informatique et Libertés“) einhält. Sie ergänzt die Datenschutzerklärung.

1. Unser Ansatz: Datenschutz durch Technikgestaltung

VerifAge beruht auf einem einfachen Grundsatz: nachzuweisen, dass eine Person volljährig ist, ohne offenzulegen, wer sie ist.

  • Datenminimierung: Es werden ausschließlich die E-Mail-Adresse, die Telefonnummer und das Geburtsdatum abgefragt. Weder Nachname noch Vorname.
  • Doppelte Anonymität: Die Partner kennen die Identität des Nutzers nicht, und VerifAge weiß nicht, bei welchen Partnern der Nutzer seine Volljährigkeit nachweist.
  • Schnelle Löschung sensibler Daten: Video und Ausweisdokument werden gelöscht, sobald die Entscheidung des Operators vorliegt, spätestens innerhalb von 15 Tagen.
  • Wahl der Methode: Der Nutzer kann sein Alter stets ohne biometrische Verarbeitung validieren lassen (Methoden 2, 3 und 4).

2. Verantwortlicher und DPO

Verantwortlicher:

  • SAS INOVA DIGI-TECH – 16 rue de la Côte – Bâtiment D1 – 54000 Nancy
  • RCS Nancy 918 907 809 – SIRET 918 907 809 00027 – contact@verifage.com

Datenschutzbeauftragter:

3. Rolle von VerifAge gegenüber den Partnern

INOVA DIGI-TECH handelt als Verantwortlicher für die Verwaltung der Nutzerkonten und die Validierung ihres Alters.

Die Partner-Websites, -Automaten und -Verkaufsstellen bleiben Verantwortliche für die Verarbeitungen, die sie für ihre eigene Tätigkeit durchführen. VerifAge übermittelt ihnen ausschließlich ein binäres Ergebnis (volljährig / nicht verifiziert), ohne jegliche Identitätsdaten, und erhält von ihnen keinerlei Informationen über die Einkäufe der Nutzer.

Die Anzahl der Verifizierungen wird pro Website oder Automat gezählt, ausschließlich zu Abrechnungszwecken, ohne mit der Identität oder dem Konto des Nutzers verknüpft zu werden.

4. Durchgeführte Verarbeitungen

4.1 Verwaltung der Nutzerkonten

  • Daten: E-Mail, Telefon, Geburtsdatum, Registrierungsdatum, Validierungsmethode, Status.
  • Rechtsgrundlage: Vertragserfüllung (Artikel 6.1.b DSGVO).
  • Dauer: solange das Konto aktiv ist, danach Löschung nach 3 Jahren Inaktivität.

4.2 Altersverifizierung per Video (Methode 1)

  • Daten: Video des Gesichts, Foto des Ausweisdokuments, Ergebnis der Analyse.
  • Rechtsgrundlage: ausdrückliche Einwilligung (Artikel 6.1.a und 9.2.a DSGVO).
  • Dauer: Löschung, sobald die Entscheidung des Operators vorliegt, spätestens 15 Tage nach der Übermittlung.

4.3 Verifizierung bei einem zugelassenen Operator (Methode 2)

  • Daten: Validierungsstatus und Kennung des validierenden Operators. Keine Kopie des Ausweisdokuments.
  • Rechtsgrundlage: Vertragserfüllung.
  • Dauer: Bestandsdauer des Kontos.

4.4 Verifizierung über France Identité (Methode 3)

  • Daten: ausschließlich die Bestätigung „über 18 Jahre“.
  • Rechtsgrundlage: Vertragserfüllung.
  • Dauer: Bestandsdauer des Kontos.

4.5 Validierung per vorregistrierter E-Mail oder Telefonnummer (Methode 4)

  • Daten: vom Operator eingegebene E-Mail oder Telefonnummer, Bestätigungscode.
  • Rechtsgrundlage: Vertragserfüllung; der Nutzer bestätigt die Validierung selbst durch einen Code.
  • Dauer: Code 15 Minuten gültig; E-Mail oder Telefonnummer für die Bestandsdauer des Kontos gespeichert.

4.6 Nachweis der Volljährigkeit gegenüber den Partnern

  • Daten: temporäre Tokens, Codes und QR-Codes (QR-Code alle 30 Sekunden erneuert). Es wird kein Verlauf gespeichert.
  • Rechtsgrundlage: Vertragserfüllung.

4.7 Verwaltung der Geschäftskunden und Rechnungsstellung

  • Daten: Unternehmen, Kontakt, SEPA-Mandat, Rechnungen, Anzahl der Verifizierungen pro Website oder Automat.
  • Rechtsgrundlage: Vertragserfüllung und rechtliche Verpflichtung (Artikel 6.1.c).
  • Dauer: Dauer der Geschäftsbeziehung, danach 5 Jahre; Buchungsbelege 10 Jahre.

4.8 Sicherheit und Betrugsprävention

  • Daten: technische Protokolle, IP-Adresse, Meldungen.
  • Rechtsgrundlage: berechtigtes Interesse (Artikel 6.1.f).
  • Dauer: höchstens 12 Monate.

4.9 Benachrichtigungen und Stabilität der App

  • Daten: Benachrichtigungskennung des Geräts, Absturzberichte.
  • Rechtsgrundlage: Vertragserfüllung und berechtigtes Interesse.
  • Dauer: Bestandsdauer des Kontos; Absturzberichte höchstens 90 Tage.

4.10 Bearbeitung von Anfragen und Ausübung der Rechte

  • Daten: Inhalt der Korrespondenz, Nachweise.
  • Rechtsgrundlage: rechtliche Verpflichtung und berechtigtes Interesse.
  • Dauer: 3 Jahre ab Abschluss der Anfrage.

5. Biometrische Daten

Das in Methode 1 verwendete Video des Gesichts fällt unter die besonderen Kategorien personenbezogener Daten im Sinne von Artikel 9 DSGVO. Diese Verarbeitung ist wie folgt geregelt:

  • Sie wird nur mit der ausdrücklichen Einwilligung des Nutzers durchgeführt, die vor jeder Aufnahme eingeholt wird;
  • sie ist freiwillig: Es werden stets andere Validierungsmethoden ohne biometrische Verarbeitung angeboten;
  • sie dient ausschließlich der Prüfung der Übereinstimmung zwischen Gesicht und Ausweisdokument sowie des Alters, für eine einmalige Validierung;
  • nach der Entscheidung wird kein biometrisches Template gespeichert;
  • die Analyse erfolgt ausschließlich innerhalb der Europäischen Union;
  • das Video und das Ausweisdokument werden gelöscht, sobald die Entscheidung des Operators vorliegt, spätestens jedoch 15 Tage nach ihrer Übermittlung.

Diese Verarbeitung ist Gegenstand einer Datenschutz-Folgenabschätzung (Artikel 35 DSGVO), die laufend aktualisiert wird.

6. Menschliches Eingreifen

Keine Ablehnungsentscheidung beruht ausschließlich auf einer automatisierten Verarbeitung. Das Ergebnis der Analyse durch künstliche Intelligenz wird systematisch von einem menschlichen Operator geprüft, der die endgültige Entscheidung trifft. Gemäß Artikel 22 DSGVO kann der Nutzer seinen Standpunkt darlegen und jede Entscheidung anfechten, indem er an contact@verifage.com schreibt; seine Anfrage wird von einem Operator erneut geprüft.

7. Auftragsverarbeiter

INOVA DIGI-TECH setzt ausschließlich Auftragsverarbeiter ein, die hinreichende Garantien bieten und durch einen Vertrag gemäß Artikel 28 DSGVO gebunden sind:

  • Scaleway SAS (Frankreich) – Hosting der Daten – in Frankreich gehostete Daten.
  • Amazon Web Services, Amazon Bedrock (Inferenzprofil Europa) – automatisierte Analyse des Videos und des Ausweisdokuments – Verarbeitung in der Europäischen Union.
  • Brevo (Frankreich) – Versand der Transaktions-E-Mails – Europäische Union.
  • Twilio – Versand der Bestätigungs-SMS – Vereinigte Staaten.
  • Viva – Einzug der SEPA-Lastschriften der Geschäftskunden – Europäische Union.
  • Google (Firebase) – Benachrichtigungen und Absturzberichte der Android- und iOS-App.
  • Apple – Benachrichtigungen der iOS-App.

Die aktuelle Liste der Auftragsverarbeiter kann auf Anfrage beim DPO angefordert werden.

8. Übermittlungen außerhalb der Europäischen Union

Die Daten werden in Frankreich gehostet, und die biometrischen Daten verlassen die Europäische Union niemals.

Nur begrenzte Verarbeitungen können eine Übermittlung in die Vereinigten Staaten beinhalten: der SMS-Versand (Twilio: Telefonnummer und Code) sowie die Benachrichtigungen und Absturzberichte (Google, Apple). Diese Übermittlungen stützen sich auf den Angemessenheitsbeschluss der Europäischen Kommission zum EU-US Data Privacy Framework und, hilfsweise, auf die Standardvertragsklauseln oder genehmigte verbindliche interne Datenschutzvorschriften.

9. Sicherheit

Gemäß Artikel 32 DSGVO setzt INOVA DIGI-TECH geeignete technische und organisatorische Maßnahmen um, insbesondere:

  • Verschlüsselung der Daten bei der Übertragung (TLS) und der sensiblen Daten im Ruhezustand;
  • Abschottung und Beschränkung der Zugriffe nach dem Prinzip der geringsten Privilegien;
  • verstärkte Authentifizierung der Operatoren und Administratoren;
  • Protokollierung und Nachvollziehbarkeit der Zugriffe;
  • automatische Löschung der Videos und Ausweisdokumente;
  • verschlüsselte Sicherungskopien und Verfahren zur Betriebskontinuität;
  • Vertraulichkeitsverpflichtungen der befugten Personen.

10. Verletzung des Schutzes personenbezogener Daten

Im Falle einer Verletzung des Schutzes personenbezogener Daten dokumentiert INOVA DIGI-TECH diese, meldet sie innerhalb von 72 Stunden an die CNIL (Commission nationale de l’informatique et des libertés), wenn sie voraussichtlich ein Risiko für die Personen zur Folge hat, und benachrichtigt die betroffenen Personen unverzüglich, wenn dieses Risiko hoch ist.

11. Minderjährige

VerifAge ist volljährigen Personen vorbehalten. Ergibt eine Verifizierung, dass eine Person minderjährig ist, wird ihre Registrierung abgelehnt und ihre Daten werden gelöscht.

12. Ausübung der Rechte

Jede betroffene Person verfügt über die Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Widerspruch und Datenübertragbarkeit, das Recht, ihre Einwilligung jederzeit zu widerrufen, das Recht, nicht einer ausschließlich automatisierten Entscheidung unterworfen zu werden, sowie das Recht, Weisungen über den Umgang mit ihren Daten nach ihrem Tod festzulegen.

Anfragen sind zu richten:

  • per E-Mail an: dpo@verifage.com;
  • per Post an: DPO – SAS INOVA DIGI-TECH – 16 rue de la Côte – Bâtiment D1 – 54000 Nancy.

Eine Antwort erfolgt innerhalb eines Monats; diese Frist kann bei komplexen Anfragen um zwei Monate verlängert werden. Bei begründeten Zweifeln an der Identität des Antragstellers kann ein Nachweis verlangt werden. Die Kopie der Daten wird über einen sicheren Link übermittelt, der 24 Stunden gültig ist.

13. Beschwerde bei der CNIL

Jede Person kann eine Beschwerde bei der Commission nationale de l’informatique et des libertés einreichen:

  • CNIL – 3 place de Fontenoy – TSA 80715 – 75334 Paris Cedex 07 – www.cnil.fr

14. Aktualisierung

Diese Seite wird bei jeder wesentlichen Änderung der Verarbeitungen aktualisiert. Das Datum der letzten Aktualisierung steht am Seitenanfang.