Datenschutzrichtlinie
Ihr Datenschutz ist uns wichtig. Diese Richtlinie erläutert, wie wir Ihre personenbezogenen Daten erfassen, verwenden und schützen, wenn Sie unsere Plattform nutzen.
Rechtsgrundlage
Die AML Proof, s.r.o. verarbeitet personenbezogene Daten in Übereinstimmung mit der Datenschutz-Grundverordnung (Verordnung (EU) 2016/679, „DSGVO“), dem Eckpfeiler des europäischen Datenschutzrechts.
Die DSGVO wurde vom Europäischen Parlament und dem Rat der Europäischen Union verabschiedet und wird unter der Aufsicht des Europäischen Datenschutzausschusses (EDSA) gemeinsam mit den nationalen Datenschutzbehörden der einzelnen EU-Mitgliedstaaten durchgesetzt.
Die AML Proof, s.r.o. bestimmt als Verantwortlicher die Zwecke und Mittel der Verarbeitung Ihrer personenbezogenen Daten bei der Nutzung unserer Plattform.
Die AML Proof, s.r.o. tritt in Bezug auf personenbezogene Daten der Kunden der Verpflichteten als Auftragsverarbeiter auf. Verantwortlicher dieser Daten bleiben Sie als Verpflichteter. Das Vertragsverhältnis zwischen uns und Ihnen wird durch einen Auftragsverarbeitungsvertrag (AVV) geregelt, der Bestandteil unserer Allgemeinen Geschäftsbedingungen ist.
Rechtliche Verpflichtung
Umfasst: Kundenidentifizierung und Sorgfaltsprüfung gemäß das AML-Gesetz, AML-Aufzeichnungsverwaltung, Sanktionsprüfung, Meldung verdächtiger Transaktionen an die FIU.
Berechtigtes Interesse
Umfasst: Sicherheitsüberwachung der Plattform, Betrugsprävention, Plattformverbesserung (pseudonymisierte Analytik), kommerzielle Mitteilungen an bestehende Kunden, Verhinderung des Missbrauchs der Plattform und Schutz von Geschäftsgeheimnissen (Risikobewertung registrierter Organisationen), Messung von Öffnungen und Klicks in Geschäfts-E-Mails.
Vertragliche Notwendigkeit
Umfasst: Betrieb des Benutzerkontos, Generierung von Compliance-Berichten, Zugang zu Plattformfunktionen.
Informationen, die wir erfassen
Personenbezogene Daten
- • Name und Kontaktdaten
- • E-Mail-Adresse und Telefonnummer
- • Berufsposition und Organisation
- • Berufliche Zulassungen
- • Kontoeinstellungen
Nutzungsdaten
- • Plattformnutzungsmuster
- • Interaktionen mit Funktionen
- • Sitzungsdauer und -häufigkeit
- • Geräte- und Browserinformationen
- • IP-Adresse und Standortdaten
Compliance-Daten
- • Informationen zu AML-Kundenprüfungen
- • Risikobewertungsdaten
- • Schulungsaufzeichnungen
- • Audit-Trail-Informationen
- • Daten zum regulatorischen Reporting; E-Sign-Aufzeichnungen (Name und E-Mail der Unterzeichner, IP-Adresse, OTP-Code, Einwilligung, Audit-PDF)
Technische Informationen
- • Cookies und Tracking-Pixel
- • Protokolldateien und Fehlerberichte
- • Leistungsmetriken
- • Aufzeichnungen von Sicherheitsereignissen
- • API-Nutzungsstatistiken
Wie wir Ihre Informationen verwenden
Dienstleistungserbringung
- Bereitstellung und Pflege unserer AML-Compliance-Plattform
- Bearbeitung und Verwaltung von Compliance-Fällen
- Generierung von Berichten und Analysen
- Erleichterung von Schulungen und Zertifizierungen
Kommunikation
- Versand von Dienstaktualisierungen und Benachrichtigungen
- Bereitstellung von Kundensupport
- Weitergabe regulatorischer Aktualisierungen
- Versand von Schulungsmaterialien
Verbesserungen
- Analyse von Nutzungsmustern und Leistung
- Entwicklung neuer Funktionen und Dienste
- Verbesserung von Sicherheitsmaßnahmen
- Optimierung der Benutzererfahrung
Compliance
- Erfüllung rechtlicher und regulatorischer Verpflichtungen
- Reaktion auf gesetzliche Anforderungen
- Pflege von Prüfungsaufzeichnungen
- Schutz vor Betrug und Missbrauch
- Das Risiko eines Missbrauchs der Plattform bewerten (Verdachtswert der Organisation anhand von E-Mail-Domains und Art der Tätigkeit)
Sicherheit & Datenschutz
Wir implementieren umfassende Sicherheitsmaßnahmen zum Schutz Ihrer personenbezogenen Daten vor unbefugtem Zugriff, Nutzung oder Offenlegung. Dateisicherung. Auf die Plattform hochgeladene Dateien, insbesondere Kopien von Ausweisdokumenten und Dokumente, die bei der Identifizierung und Überprüfung des Kunden erhoben werden, sichern wir in einem getrennten Speicher von Amazon Web Services in der EU (Region Stockholm, Schweden). Die Sicherung ist verschlüsselt und dient ausschließlich der Wiederherstellung der Daten nach einer technischen Störung oder versehentlichem Löschen. Plattformnutzer haben darauf keinen Zugriff. Wird eine Datei von der Plattform gelöscht, sei es auf Anweisung der meldepflichtigen Person oder automatisch nach Ablauf der Aufbewahrungsfrist nach dem AML-Gesetz, wird ihre Sicherungskopie nach 90 Tagen automatisch und unwiderruflich entfernt. In dieser Zeit wird die Sicherungskopie in keiner Weise verarbeitet.
Technische Schutzmaßnahmen
- Datentransmissionsverschlüsselung (TLS)
- Erweiterte Verschlüsselung für ruhende Daten
- Moderne Authentifizierung (Magic Link, OAuth 2.0 und optionale 2FA mit Authenticator-App)
- Überwachung von Fehlern und Sicherheitsereignissen
Betriebliche Kontrollen
- Rollenbasierte Zugriffskontrolle
- Sicherheitsschulungsprogramme für Mitarbeiter und Personen in vergleichbarer Stellung
- Verfahren zur Reaktion auf Vorfälle
- Tägliche verschlüsselte Dateisicherungen und Datenbankhistorie zur Wiederherstellung
Datenschutz bei KI-Nutzung
- Zur Generierung von Texten für Geschäftskommunikation verwenden wir die Google Gemini API; keine personenbezogenen Daten werden an sie gesendet.
- Für das Screening negativer Medien verwenden wir Google Gemini 2.5 Flash über Google Vertex AI (Google LLC). Die folgenden minimalen Daten werden an das Modell gesendet: vollständiger Name der gescannten Person (erforderlich für das Screening), Geburtsjahr, Land (Staatsangehörigkeit/Registrierung) und bis zu 3 Aliase (erste in vollem Umfang, übrige als Initialen). Vollständiges Geburtsdatum, Dokumentnummern, Adressen und Kontaktdaten werden nicht gesendet. Für die automatische Formularausfüllung aus einem gescannten Dokument (Scan to Fill) wird das Dokumentbild an Google Vertex AI (gemini-2.5-flash, Region europe-west1) gesendet – extrahierte Felder umfassen Name, Geburtsdatum, Geburtsnummer, Adresse und Dokumentnummer. In der kostenpflichtigen Version verwendet Google API-Daten nicht zur Produktverbesserung oder zum Modelltraining.
Ihre Datenschutzrechte
Sie haben wichtige Rechte bezüglich Ihrer personenbezogenen Daten. Kontaktieren Sie uns zur Ausübung dieser Rechte.
Auskunft
Kopien Ihrer personenbezogenen Daten anfordern
Berichtigung
Unrichtige Informationen aktualisieren oder korrigieren
Löschung
Löschung Ihrer personenbezogenen Daten beantragen, soweit rechtlich zulässig. Bestimmte AML/CTF-Compliance-Aufzeichnungen können vor Ablauf der Pflichtaufbewahrungsfristen nicht gelöscht werden.
Portabilität
Ihre Daten in einem portablen Format exportieren
Widerspruchsrecht
Widerspruch gegen die Verarbeitung auf Basis berechtigter Interessen oder für Direktmarketingzwecke einlegen (Art. 21 DSGVO)
Recht auf Einschränkung der Verarbeitung
Vorübergehende Einschränkung der Verarbeitung Ihrer personenbezogenen Daten in den in Art. 18 DSGVO genannten Fällen beantragen
Widerspruchsrecht
Der Verarbeitung auf Grundlage des berechtigten Interesses, einschließlich Profiling (Risikobewertung der Organisation), können Sie jederzeit unter hello@amlproof.ai widersprechen. Über die Einschränkung oder Sperrung eines Kontos entscheidet immer ein Mensch, niemals allein eine automatisierte Bewertung.
Datenspeicherung
Wir speichern Ihre personenbezogenen Daten nur so lange, wie es für die in dieser Richtlinie genannten Zwecke und zur Einhaltung rechtlicher Verpflichtungen erforderlich ist.
Kontodaten
Betriebsdaten des Benutzerkontos (Anmeldedaten, Einstellungen, Voreinstellungen) werden innerhalb von 30 Tagen nach Schließung des Kontos gelöscht.
Compliance-Aufzeichnungen
Wir speichern die Kundendaten verpflichteter Unternehmen für die Dauer der Vereinbarung. Die Aufbewahrungsfrist gemäß dem AML-Gesetz wird vom verpflichteten Unternehmen getragen. Nach Beendigung der Vereinbarung können Daten 90 Tage lang exportiert werden, danach werden die Daten gelöscht (Allgemeine Geschäftsbedingungen, Art. 6.6 und 8.8).
Nutzungsanalyse
Anonymisierte oder pseudonymisierte Nutzungsdaten werden 3 Jahre zur Dienstverbesserung gespeichert.
Supportanfragen
Supportanfragen – 2 Jahre nach Lösung. Ungelöste Anfragen werden 2 Jahre nach Erstellung gelöscht.
Geschäftskontakte
Geschäftskontakte – bis zur Abmeldung, höchstens 3 Jahre ohne Rückmeldung. Nach der Abmeldung speichern wir nur die E-Mail-Adresse auf einer Suppressionsliste, um Sie nicht erneut zu kontaktieren.
Elektronische Signatur — Verarbeitung personenbezogener Daten
Bei der Nutzung der Funktion für elektronische Signaturen (E-Sign) verarbeitet die Plattform personenbezogene Daten der Unterzeichner der signierten Dokumente.
Verarbeitete Daten
- Name und E-Mail-Adresse des Unterzeichners
- IP-Adresse zum Zeitpunkt der Verifizierung und Unterzeichnung
- Datum und Uhrzeit der Unterzeichnung
- Zustimmung zum Dokumenteninhalt (OTP-Verifizierung)
- Audit-PDF mit vollständiger Unterzeichnungshistorie
Rechtsgrundlage der Verarbeitung
Berechtigtes Interesse des Verantwortlichen (Art. 6 Abs. 1 lit. f DSGVO) an der Nachweisbarkeit rechtlicher Handlungen oder Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) mit dem Unterzeichner.
Aufbewahrungsfrist
Signaturdaten sind Teil des entsprechenden AML-Falls und werden auf die gleiche Weise wie der Fall aufbewahrt (Allgemeine Geschäftsbedingungen, Art. 6.6 und 8.8).
Datenempfänger
Signaturdaten (Audit-PDF) werden im Vercel Blob Cloud-Speicher, Rechenzentrum FRA1 (Frankfurt, EU), gespeichert. E-Mails mit Signaturlinks und OTP-Codes werden über die Resend-Plattform zugestellt, die als Datenverarbeiter unter einem abgeschlossenen DPA fungiert. Eine Sicherung dieser Daten wird in Amazon Web Services S3 (EU – Schweden) gespeichert.
Anhang Nr. 1: Auftragsverarbeitungsvertrag (AVV)
Version ab 21. November 2026 gültig.
1. Gegenstand und Rollen
Diese Vereinbarung regelt die Beziehung zwischen dem Kunden als verpflichtetes Unternehmen (Verantwortlicher) und AML Proof, s.r.o. (Auftragsverarbeiter). Der Auftragsverarbeiter verarbeitet personenbezogene Daten für den Verantwortlichen, um dem Verantwortlichen die Erfüllung seiner Verpflichtungen gemäß dem AML-Gesetz zu ermöglichen.
Beschreibung der Verarbeitung
Gegenstand: Betrieb der AML PROOF-Plattform für den Verantwortlichen. Dauer: für die Laufzeit der Vereinbarung und den Exportzeitraum (Art. 6). Art und Zweck: Kundenidentifizierung und Due Diligence, PEP- und Sanktionsprüfung, Risikobewertung, laufende Überwachung, elektronische Signatur, Dokumentation, internes Whistleblower-System. Datentypen: Identifizierungsdaten, Dokumentenkopien, Geburtsnummer, Daten der wirtschaftlichen Eigentümer, Informationen zum PEP-Status und Sanktionen, Transaktionsdaten, Materialien für einen Bericht über verdächtige Transaktionen, Unterzeichnerdaten. Kategorien von Betroffenen: Kunden des Verantwortlichen, Personen, die im Namen eines Kunden handeln, wirtschaftliche Eigentümer, Unterzeichner, Whistleblower.
2. Pflichten des Auftragsverarbeiters
- Daten nur auf der Grundlage dokumentierter Weisungen des Verantwortlichen verarbeiten (einschließlich der in der Anwendung festgelegten Parameter).
- Sicherstellen, dass sich die zur Datenverarbeitung befugten Personen zur Vertraulichkeit verpflichten.
- Geeignete technische und organisatorische Maßnahmen durchführen (Verschlüsselung der Übertragung und ruhender Daten, sicheres Hosting in der EU, Minimierung der an externe Auftragsverarbeiter übermittelten personenbezogenen Daten).
- Den Verantwortlichen bei der Erfüllung seiner Pflicht unterstützen, auf Anfragen betroffener Personen zur Ausübung ihrer Rechte zu reagieren.
- Daten nur auf dokumentierte Anweisung des Verantwortlichen verarbeiten, einschließlich Übertragungen in Drittländer.
- Den Verantwortlichen unverzüglich benachrichtigen, wenn die Anweisung nach Ansicht des Auftragsverarbeiters gegen die DSGVO verstößt.
- Den Verantwortlichen ohne unangemessene Verzögerung benachrichtigen, nachdem der Auftragsverarbeiter von einer Verletzung des Schutzes personenbezogener Daten Kenntnis erlangt hat. Diese Benachrichtigung muss mindestens Folgendes enthalten: (a) eine Beschreibung der Art der Verletzung (einschließlich, soweit möglich, der Kategorien und der ungefähren Anzahl der betroffenen Datensubjekte und Datensätze); (b) die Kontaktdaten einer Anlaufstelle, bei der weitere Informationen zur Verletzung des Schutzes personenbezogener Daten erhältlich sind; (c) die wahrscheinlichen Folgen und die ergriffenen oder geplanten Maßnahmen zur Abhilfe, einschließlich zur Abschwächung möglicher nachteiliger Auswirkungen. Wenn es nicht möglich ist, alle diese Informationen gleichzeitig bereitzustellen, muss die erste Benachrichtigung die zu diesem Zeitpunkt verfügbaren Informationen enthalten, und weitere Informationen müssen, sobald sie verfügbar werden, ohne unangemessene Verzögerung nachträglich bereitgestellt werden.
- Den Verantwortlichen bei der Einhaltung seiner Verpflichtungen gemäß Art. 32 bis 36 DSGVO unterstützen.
3. Einschaltung weiterer Auftragsverarbeiter
Der Verantwortliche erteilt eine allgemeine Genehmigung zur Beauftragung weiterer Auftragsverarbeiter. Die aktuelle namentliche Liste der Unterauftragsverarbeiter (Name, Zweck, Ort, Datenkategorien) ist auf der Seite Datenverarbeitung (amlproof.ai/data_processing) verfügbar. Der Auftragsverarbeiter kündigt jede beabsichtigte Änderung an, indem er die aktualisierte Liste auf dieser Seite mindestens 30 Tage vor Inkrafttreten der Änderung veröffentlicht. Innerhalb dieser Frist kann der Verantwortliche unter hello@amlproof.ai einen begründeten Einspruch einlegen. Der Auftragsverarbeiter erlegt weiteren Auftragsverarbeitern dieselben Datenschutzpflichten auf wie diese Vereinbarung und haftet dem Verantwortlichen vollständig für deren Erfüllung.
4. Sicherheit
Der Auftragsverarbeiter führt technische und organisatorische Maßnahmen nach Art. 32 DSGVO durch. Personenbezogene Daten werden außerhalb des EWR nur an solche weiteren Auftragsverarbeiter übermittelt, für die dies in der Liste angegeben ist, auf der Grundlage von Standardvertragsklauseln (Art. 46(2)(c) DSGVO). Daten werden nicht für das Training von KI-Modellen weitergegeben.
5. Audit
Der Auftragsverarbeiter ermöglicht dem Verantwortlichen Audits oder Inspektionen und stellt die für den Nachweis der Einhaltung von Art. 28 DSGVO erforderliche Zusammenarbeit bereit.
6. Beendigung
Nach Beendigung der Vereinbarung ermöglicht der Auftragsverarbeiter dem Verantwortlichen den Export der Daten für 90 Tage (Allgemeine Geschäftsbedingungen, Art. 8.8) und löscht dann alle personenbezogenen Daten. Der Verantwortliche ist für die Aufbewahrung von Daten nach dem AML-Gesetz verantwortlich. Sicherungskopien von Dateien werden spätestens 90 Tage nach der Löschung entfernt.
Verarbeitung personenbezogener Daten im Whistleblowing-System
AML PROOF betreibt ein internes Meldesystemmodul gemäß the whistleblowing legislation zum Schutz von Whistleblowern. AML Proof, s.r.o. fungiert ausschließlich als Auftragsverarbeiter der technischen Infrastruktur — der Verantwortliche des Systems ist die verpflichtete Stelle (Ihre Organisation).
Verarbeitete personenbezogene Daten
Meldungen können die Verarbeitung von: Whistleblower-Identität (sofern nicht anonym eingereicht), Kontaktdaten, Meldungsinhalt und Anhänge, Tracking-Schlüssel, der jeder Einreichung zugewiesen ist, umfassen. Anonyme Einreichungen erfordern keine personenbezogenen Daten.
Rechtsgrundlage
Die Verarbeitung ist erforderlich zur Erfüllung einer gesetzlichen Verpflichtung gemäß Art. 6 Abs. 1 Buchstabe c DSGVO in Verbindung mit the whistleblowing legislation.
Aufbewahrungsdauer
Personenbezogene Daten im Zusammenhang mit Meldungen werden für den in the whistleblowing legislation erforderlichen Zeitraum gespeichert (5 Jahre ab Eingang der Meldung), sofern eine besondere Regelung nicht anders vorsieht.
Whistleblower-Rechte gemäß DSGVO (Zugang, Berichtigung, Löschung) können bei dem Verantwortlichen des Systems — der verpflichteten Stelle — geltend gemacht werden. Bei anonymen Einreichungen können diese Rechte technisch nicht erfüllt werden, da das System keine Identifizierung des Whistleblowers ermöglicht.
Haben Sie Fragen zu Ihrem Datenschutz?
Wenn Sie Fragen zu dieser Datenschutzerklärung oder zum Umgang mit Ihren personenbezogenen Daten haben, kontaktieren Sie uns unter hello@amlproof.ai. AML Proof, s.r.o. hat keinen Datenschutzbeauftragten benannt.
Wenn Sie der Meinung sind, dass Ihre personenbezogenen Daten rechtswidrig verarbeitet wurden, haben Sie auch das Recht, eine Beschwerde beim Büro für den Schutz personenbezogener Daten (ÚOOÚ) oder der lokalen Aufsichtsbehörde im Europäischen Wirtschaftsraum einzureichen.