1. Beteiligte und Rollen
Bitora/Meinivo entscheidet, warum die Prüfung erforderlich ist, welcher Ablauf verwendet und wie das Ergebnis für die Auszahlung genutzt wird. Didit Identity Spain, S.L., Calle Nápoles 227, P. 1, 08013 Barcelona, Spanien, und Didit Identity, Inc., 1111B S Governors Ave STE 34855, Dover, Delaware 19904, USA, stellen die Verifikation bereit. Didit handelt typischerweise als Auftragsverarbeiter/Dienstleister und für begrenzte Zwecke wie Sicherheit, Missbrauchsabwehr, gesetzliche Pflichten, Audit und Rechtsansprüche als eigenständig Verantwortlicher.
2. Verarbeiteter Workflow
Der veröffentlichte Workflow „Meinivo First Payout KYC“ (UUID e6127c95-eaea-44cb-8417-cece72c3167d, Provider-Version 1) verarbeitet Ausweisdokument/-bild, ausgelesene Identitäts-/Altersdaten, Selfie-/passive Lebenderkennungsaufnahme, daraus abgeleitete biometrische Gesichtsmerkmale und Match-/Liveness-Ergebnis. Er prüft ein Mindestalter von 16 Jahren und lehnt darunter ab. AML/Monitoring, NFC, Adressnachweis, Dokument-KI-Zusatzmodul, E-Mail, Telefon und das optionale Geräte-/IP-Analysemodul sind deaktiviert; erforderliche IP-, Browser- und Sitzungsdaten des gehosteten Dienstes können dennoch anfallen. Meinivo speichert keine Ausweisbilder, Selfies, Videos, Dokumentnummern oder vollständigen Didit-Entscheidungen, sondern nur Konto-/Sitzungszuordnung, Workflow- und Hinweisversion, Status/Zeitpunkte sowie einen Integritäts-Hash.
3. Zweck, Rechtsgrundlage und Einwilligung
Die einmalige Prüfung schützt vor Identitätsmissbrauch, Mehrfachkonten und Auszahlungsbetrug. Normale Dokument-, Status- und Sicherheitsverarbeitung stützt Meinivo je nach anwendbarem Recht auf Vertrag, berechtigte Interessen oder Rechtspflichten. Für besondere biometrische Daten benötigt Meinivo zusätzlich eine tragfähige Bedingung nach dem anwendbaren Recht und verwendet dafür eine getrennte, ausdrückliche, nicht vorausgewählte Einwilligung. Ob diese Einwilligung trotz der Verknüpfung mit der Auszahlung frei erteilt werden kann und ob der Ablauf notwendig und verhältnismäßig ist, muss vor Freigabe je Rechtsraum geprüft sein.
Die Erklärung der Version meinivo-didit-kyc-v2 lautet: „Ich willige ausdrücklich ein, dass Didit meine Selfie-/Lebenderkennungsaufnahme und daraus abgeleitete biometrische Gesichtsmerkmale zum einmaligen Identitäts- und Gesichtsabgleich vor der ersten Auszahlung verarbeitet.“ Version v2 kennzeichnet den geänderten verpflichtenden Auszahlungs-Kontext; frühere v1-Nachweise werden nicht als Einwilligung in diesen Kontext umgedeutet. Ohne Einwilligung kannst du den Auszahlungsauftrag abbrechen. Ein Widerruf wirkt für die Zukunft und lässt die Rechtmäßigkeit bereits abgeschlossener Verarbeitung unberührt.
4. Vertrag, Empfänger und Transfers
Für EU-/EWR-Kunden ist Didit Identity Spain, S.L. Vertragspartner. Die veröffentlichten Business Terms werden nach ihrer Ziffer 0 durch Registrierung, Zustimmung oder Nutzung angenommen; deren Annex 2 ist ein integrierter Auftragsverarbeitungsvertrag. Didit bleibt für begrenzte Sicherheits-, Missbrauchs-, Rechts-, Audit- und Anspruchszwecke sowie für dort beschriebene anonymisierte/pseudonymisierte Verbesserungszwecke eigenständig Verantwortlicher.
Didit kann notwendige Gruppenunternehmen sowie Hosting-/Cloud-, Kommunikations-, Identitäts-/Dokument-, Fraud-, Analyse-, Audit-, Sicherheits- und professionelle Dienstleister einsetzen. Der DPA erteilt eine allgemeine Unterauftragsverarbeiter-Genehmigung und sieht Änderungsinformation sowie Widerspruch vor; die detaillierten Schutzmaßnahmen sind laut Anbieter auf schriftliche Anfrage und unter NDA erhältlich. Didit nennt den EWR als primären Hosting-Ort und für Drittlandtransfers Angemessenheitsbeschlüsse, EU-Standardvertragsklauseln oder andere anerkannte Instrumente.
5. Aufbewahrung und Löschung
Die eigene Didit-Anwendung „Meinivo“ ist für Verifikations- und Feature-Daten auf einen Monat Aufbewahrung eingestellt. Davon getrennte Didit-Control-Plane-Auditlogs werden nach Anbieterangabe 365 Tage aufbewahrt. Biometrische Daten werden früher gelöscht, wenn das anwendbare Recht dies verlangt. Kurzlebige Verifikations-URLs löscht Meinivo lokal bei terminalem Status; Meinivo-Webhook-Deduplizierungsmarker normalerweise nach 180 Tagen.
Bei Kontolöschung weist Meinivo zuerst die Löschung jeder bekannten Didit-Sitzung an. Didit dokumentiert HTTP 204 als sofortige und irreversible Löschung der Sitzung, Entscheidung, extrahierten Daten, zugehörigen Feature-Datensätze und gespeicherten Sitzungsmedien; ein wiederholter Löschaufruf kann für eine unbekannte oder bereits gelöschte Sitzung 404 liefern. Separat angelegte Blocklist-Einträge, bereits ausgestellte Hosted-Flow-Share-Tokens, eingeplante Webhooks und ein getrenntes übergeordnetes Didit-User-/Business-Objekt sind davon laut Anbieter nicht umfasst. Meinivos Workflow verwendet keine optionalen Blocklist-Module. Lokale KYC-Zeilen werden erst nach bestätigtem 204 oder einem bereits gelöschten 404 entfernt. Ein Providerfehler wird als erneut versuchbar angezeigt und nicht fälschlich als abgeschlossene Löschung gemeldet.
6. Automatisierung, Rechte und Kontakt
Didit bewertet Dokumentechtheit, Altersdaten, Lebenderkennung und Gesichtsabgleich automatisiert und kann Fälle menschlich prüfen. Die API legt vor einem authentifizierten Approved-Status keine Auszahlung und keine Guthabenreservierung an. Meinivo bleibt für seine Auszahlungsentscheidung verantwortlich. Du kannst Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch, Widerruf und menschliche Überprüfung über colin-mario.koese@bitora.de verlangen. Didit erreichst du unter privacy@didit.me beziehungsweise dpo@didit.me.
Didit Business Terms und DPA · Didit Verifikations-Datenschutz · Didit Bedingungen für Identitätsprüfung