# DPA, Datenresidenz und Unterauftragsverarbeiter

Source: https://help.didit.me/de/data-privacy/dpa-and-data-residency
Updated: 2026-10-30

Didit verarbeitet standardmäßig in der EU, auf Enterprise-Verträgen auch landesintern. So erhalten Sie DPA, TOM und Antworten für Ihre Einkaufsprüfung.

**Verarbeitung standardmäßig in der EU**, auf AWS in Irland. Verarbeitung im Land ist bei
Enterprise-Verträgen verfügbar, je nach Verfügbarkeit. **AVV (DPA) und SLA sind
veröffentlicht und bereits Teil der Bedingungen, die Sie akzeptiert haben**; ein
gegengezeichneter AVV, SLA oder MSA auf Ihrem eigenen Papier kommt mit einer
Vorauszahlungsvereinbarung. Das TOM-Dokument ist auf Anfrage erhältlich.

## Wo Daten verarbeitet werden

Standardmäßig werden Verifizierungsdaten in der **EU** verarbeitet und gespeichert, auf AWS-Infrastruktur in **Irland** (`eu-west-1`). Biometrische Operationen laufen in derselben Region.

**Landesinterne Verarbeitung** - lokale Datenresidenz für eine bestimmte Jurisdiktion - ist für Enterprise-Konten verfügbar, vorbehaltlich Verfügbarkeit und Vertrag. Wenn Ihre Anforderung eine bestimmte Region betrifft, fragen Sie direkt, welche Regionen heute verfügbar sind, und lassen Sie sich die Antwort schriftlich geben. Die regionale Verfügbarkeit ändert sich, und genau das ist die Art von Zusage, die eine Einkaufsprüfung belegt statt nur beschrieben sehen möchte.

Eine Region, die es klar zu benennen gilt, weil oft danach gefragt wird: es gibt **keine Verarbeitungsregion in Russland**, auf keinem Plan, sodass eine Anforderung, Daten innerhalb der Russischen Föderation zu halten, nicht erfüllt werden kann.

Wenn Ihre Pflicht lokale Speicherung statt lokaler Verarbeitung ist, nutzen die meisten Kunden das Muster **verarbeiten und löschen**: die Verifizierung über Didit ausführen, das Ergebnis per Webhook empfangen, das Benötigte auf eigener Infrastruktur im eigenen Land speichern und die Sitzung direkt danach bei Didit löschen. Siehe [Sitzungen und personenbezogene Daten löschen](https://help.didit.me/de/data-privacy/delete-verification-data).

> **Note:** "Wo werden die Daten verarbeitet?" und "wo werden die biometrischen Aufrufe
> verarbeitet?" können unterschiedliche Antworten haben, die es sich lohnt,
> getrennt zu bestätigen. Wenn Ihre Verpflichtung die Verarbeitungsregion
> speziell für biometrische Vorgänge betrifft, fragen Sie genau danach, statt
> eine allgemeine Antwort zur Speicherung zu akzeptieren.

## Einen DPA erhalten

Sie haben bereits einen. Der **Auftragsverarbeitungsvertrag (DPA) ist Anhang 2 der Geschäftsbedingungen für Unternehmen**, die Ihre Organisation bei der Registrierung akzeptiert hat, und das **Service Level Agreement (SLA) ist Anhang 1**. Beide sind auch eigenständig veröffentlicht ([Geschäftsbedingungen](https://didit.me/terms/business), [Data Processing Addendum](https://didit.me/terms/data-processing-addendum), [Service Level Agreement](https://didit.me/terms/service-level-agreement)) und bilden die Artikel-28-Vereinbarung zwischen Ihnen und Didit im kostenlosen und im Pay-as-you-go-Plan. Das Dokument zu den technischen und organisatorischen Maßnahmen (TOMs), das Artikel 32 DSGVO erwartet, ist auf Anfrage bei Ihrem Didit-Kontakt erhältlich, ohne NDA.

Was es bei Pay-as-you-go **nicht** gibt, ist eine gegengezeichnete Kopie: der Vertrag sind die veröffentlichten Bedingungen in der akzeptierten Fassung, und der Support kann das Annahmedatum Ihrer Organisation bestätigen, wenn ein Prüfer danach fragt. Wenn Ihre Compliance-Akte einen **unterzeichneten MSA, einen AVV auf Ihrem eigenen Papier oder ein verhandeltes SLA** verlangt, gehört das zu einer Vorauszahlungsvereinbarung, die bei **2.000 USD** beginnt und in nie verfallende Credits umgewandelt wird. Fragen Sie Ihren Didit-Kontakt und halten Sie Firmenname, E-Mail des Unterzeichners und Sitzland bereit.

![Die Seitenleiste der Organisationseinstellungen mit Rechtliche Dokumente unter Integrationen](https://help.didit.me/screenshots/usage-light.webp)

*Öffne Rechtliche Dokumente in den Organisationseinstellungen, um deine Vereinbarungen zu finden.*

Wenn sich Ihre Organisation auf die akzeptierten Bedingungen statt auf eine unterzeichnete Kopie stützt, lassen Sie sich vom Support bestätigen, welche Fassung Sie wann akzeptiert haben. Das ist eine Tatsachenfrage mit einer Tatsachenantwort, und genau diese wird ein Prüfer von Ihnen verlangen.

## Unterauftragsverarbeiter

Die vollständige, aktuelle Liste der Unterauftragsverarbeiter von Didit ist öffentlich unter [didit.me/terms/sub-processors](https://didit.me/terms/sub-processors) einsehbar, mit der Aufgabe jedes Einzelnen, den personenbezogenen Daten, die er verarbeitet, und dem Ort. Auf diese Liste verweist der AVV. Manche Unterauftragsverarbeiter arbeiten für alle Kunden, etwa die Cloud-Infrastruktur in Irland (eu-west-1), in der die Verifizierungsdaten verarbeitet und gespeichert werden; andere erhalten nur dann Daten, wenn Ihre Workflows die Funktion nutzen, die sie unterstützen.

Die gehostete Verifizierungsseite betreibt zwei Monitoring-Tools, eines für das Fehler-Monitoring und eines für die Produktanalyse, beide auf dieser Liste. Sie erhalten die Schritte und Fehler einer Sitzung sowie maskierte Aufzeichnungen von Layout, Tipps und Scrollen, verknüpft mit deren Sitzungs-ID, und nie Kamerabilder, Dokumentenbilder, Selfies oder aus Dokumenten gelesene Daten; es wird keine IP-Adresse gespeichert. Die Einzelheiten stehen unter [welche personenbezogenen Daten eine Verifizierung erhebt](https://help.didit.me/de/data-privacy/personal-data-in-a-verification).

Didit kündigt das Hinzufügen oder Ersetzen eines Unterauftragsverarbeiters mindestens 30 Tage im Voraus an, und Sie können aus datenschutzrechtlichen Gründen widersprechen; wie, regelt der AVV.

## Einen Sicherheitsfragebogen beantworten

Das meiste, wonach eine Sicherheitsprüfung fragt, existiert als Dokument. In etwa der Reihenfolge, in der Fragebögen danach fragen:

| Gefragt wird nach | Was existiert |
|---|---|
| Unabhängige Prüfung der Kontrollen | SOC-2-Type-2-Bericht, verfügbar unter NDA |
| Zertifizierung der Informationssicherheit | ISO/IEC 27001, plus 27017 und 27018 für Cloud |
| Verschlüsselung bei Übertragung und im Ruhezustand | TLS 1.3 und AES-256 |
| Biometrische Anti-Spoofing-Tests | iBeta Level 1 PAD nach ISO/IEC 30107-3 |
| Penetrationstests | Regelmäßige Tests durch Dritte mit nachverfolgter Behebung |
| Bedingungen der Datenverarbeitung | DPA und TOM |
| Aufbewahrung und Löschung | Konfigurierbare Aufbewahrung von 1 Monat bis 10 Jahre; Löschung per API |
| Audit-Trail | 365-tägiges Audit-Protokoll der gesamten API-Aktivität |

Siehe [Zertifizierungen und Compliance](https://help.didit.me/de/data-privacy/certifications-and-compliance) für die vollständige Liste der Nachweise mit Daten.

## Zusagen, die diese Seite nicht für Sie machen kann

Manche Fragen, die im Einkauf aufkommen, sind vertraglicher, nicht technischer Natur, und die ehrliche Antwort ist, dass sie in eine ausgehandelte Vereinbarung gehören:

- **Vertragliche Zusicherungen** zur Löschung, gestützt durch ein prüfbares Audit-Protokoll oder eine regelmäßige Zertifizierung.
- **Fristen zur Meldung von Datenschutzverletzungen** außerhalb der DSGVO-Frist - zum Beispiel das Bewertungsfenster der australischen Notifiable Data Breaches-Regelung.
- **Roadmaps für regionales Hosting** und die dazugehörigen Termine.
- **Aufbewahrungspflichten**, von denen Sie annehmen, dass sie für Sie gelten.

Bringen Sie jede dieser Fragen zu Ihrem Didit-Ansprechpartner und lassen Sie sich die Antwort im Vertrag geben. Eine Hilfeseite, die eine Zusage beschreibt, ist keine Zusage, und das eine wie das andere zu behandeln, ist ein Risiko für Sie, nicht für uns.

## Löschanfragen Ihrer Nutzer

Ihre Nutzer sind Ihre betroffenen Personen, und eine Löschanfrage erreicht Sie als Verantwortlichen. Sie haben die Werkzeuge, um direkt zu handeln: Löschen Sie die Session über die Konsole oder die API, sofort und unwiderruflich. Siehe [Sessions und personenbezogene Daten löschen](https://help.didit.me/de/data-privacy/delete-verification-data).

Wenn Ihr Prozess durchgängig automatisiert sein muss - eine Anfrage in Ihrem Produkt, die die Löschung hier auslöst - ist das der Lösch-Endpunkt plus Ihr eigener Workflow, und das ist ein bewährtes Muster.