Datenschutzerklärung

Zuletzt aktualisiert: 21. Oktober 2026

1. Wer wir sind

Die Weltrepublik („Weltrepublik“, „wir“, „uns“ oder „unser“) betreibt die Anwendung und die Website der Weltrepublik unter https://www.worldrepublic.org (der „Dienst“). Dieselbe Anwendung wird außerdem unter einem zweiten Namen angeboten, Raised by Humanity, unter https://www.raisedbyhumanity.org. Diese Website läuft mit derselben Software, nutzt dieselben Konten und dieselbe Datenbank und wird von uns betrieben. In dieser Erklärung meint „der Dienst“ beide Websites, und diese Erklärung gilt auf beiden. Die Weltrepublik ist ein Schweizer Verein nach Art. 60 ff. des Schweizerischen Zivilgesetzbuchs mit Sitz in Zug, Schweiz. Sie besitzt nach Art. 60 Abs. 1 des Zivilgesetzbuchs Rechtspersönlichkeit und ist nicht im Handelsregister eingetragen. Der Dienst wird von unserem Vorstand aus Ungarn verwaltet; für die Zwecke der Datenschutz-Grundverordnung der EU (DSGVO) ist die Weltrepublik daher in der Europäischen Union niedergelassen, und unsere federführende Aufsichtsbehörde dort ist die ungarische Nationale Behörde für Datenschutz und Informationsfreiheit (NAIH).

Für die meisten der unten beschriebenen Verarbeitungen sind wir der Verantwortliche. Bei der Identitätsverifizierung sind wir der Verantwortliche und Amazon Web Services handelt als unser Auftragsverarbeiter / Dienstleister. Ein zweiter Anbieter, Didit, wird unten für einen Eskalationsweg genannt, der derzeit nicht angeboten wird — siehe Abschnitt 4.2.

• Datenschutzkontakt: privacy@worldrepublic.org
• Kontakt in der Europäischen Union: Balázs Kónya, Vorstandsmitglied, 3626 Hangony, Dózsa György út 5., Ungarn (privacy@worldrepublic.org)

2. Geltungsbereich

Diese Erklärung gilt weltweit für alle, die den Dienst nutzen. Soweit örtliches Recht dir zusätzliche Rechte gibt — darunter die DSGVO der EU und die UK-DSGVO, das revidierte Schweizer Bundesgesetz über den Datenschutz (revDSG), der California Consumer Privacy Act in der Fassung des CPRA sowie die Biometriegesetze einzelner US-Bundesstaaten (Illinois BIPA, Texas CUBI, Washington) —, sind diese Rechte in Abschnitt 10 beschrieben.

Die Weltrepublik führt derzeit unverbindliche Testwahlen durch. Wir nehmen noch keine Mitglieder auf; die Teilnahme ist experimentell.

3. Welche Informationen wir erheben

3.1 Informationen, die du angibst

• Kontoinformationen: Wenn du dich mit Google anmeldest, erhalten wir ein Authentifizierungs-Token und die Kennung deines Google-Kontos. Die Kennung behalten wir; sie ist es, die dein Konto mit deiner Google-Anmeldung verknüpft. Deinen Google-Namen, deine E-Mail-Adresse und dein Foto speichern wir nicht, und das Token, das diese Angaben enthält, bewahren wir nicht auf.
• Passkey-Zugangsdaten: Wenn du einen Passkey (WebAuthn) verwendest, speichern wir den öffentlichen Schlüssel, eine Kennung und die Gerätemetadaten, die nötig sind, um dich zu authentifizieren.
• Profilinformationen: ein Nutzername, den wir bei der Erstellung deines Kontos erzeugen und den du in den Kontoeinstellungen jederzeit ändern kannst. Dein Nutzername wird überall veröffentlicht, wo du im Dienst erscheinst — siehe Abschnitt 6 —, und wenn du deinen eigenen Namen einträgst, ist dein eigener Name das, was veröffentlicht wird. Außerdem erzeugen wir für jedes Konto einen Einladungscode; nichts im Dienst verwendet ihn.
• Inhalte, die du erstellst: Namen, Beschreibungen und Links politischer Parteien.
• Eine Meldung zu einer Partei: Wenn du den Registereintrag einer Partei meldest, halten wir fest, welche Partei es war, welchen Grund du gewählt hast, was du geschrieben hast und wann. Bei den meisten Gründen fragen wir außerdem nach deinem Namen und einer E-Mail-Adresse, denn das Gesetz, das uns verpflichtet, deine Meldung anzunehmen, verpflichtet uns auch, dir ihren Eingang zu bestätigen und dir unsere Entscheidung mitzuteilen — und wir haben keinen anderen Weg, dich zu erreichen. Bei einem Grund fragen wir nach beidem nicht und bewahren beides nicht auf: bei einer Meldung, dass der Inhalt Material über sexuellen Kindesmissbrauch ist. Wenn du angemeldet bist, halten wir außerdem fest, welches Konto die Meldung eingereicht hat. Dies ist die einzige Stelle, an der wir eine E-Mail-Adresse aufbewahren, die du uns gegeben hast; Abschnitt 8 sagt, wie lange, und Abschnitt 10.1 sagt, wofür wir sie verwenden und wofür nicht.
• Altersbestätigung: dass du bestätigt hast, 18 Jahre oder älter zu sein, und wann. Wir fragen das einmal, vor der Identitätsverifizierung. Wir fragen nicht nach deinem Geburtsdatum und speichern keines — nur, dass die Bestätigung abgegeben wurde, für welches Alter sie abgegeben wurde und wann.
• Das Ergebnis der Prüfung deiner Partei: ob die automatische Prüfung nach Abschnitt 5.1 deine Partei standardmäßig gelistet oder als Spam markiert hat, welchen Grund sie angegeben hat, welche ihrer beiden Prüfungen (oder welcher Mensch) entschieden hat, welches Modell entschieden hat, sofern ein Modell entschieden hat, und wann.
• Ob deine Partei sagt, was sie beim Thema KI will: ob der Name oder die Beschreibung deiner Partei sagt, was die Partei beim Thema künstliche Intelligenz will, nach der Lesart der Prüfung in Abschnitt 5.2; die Zeile, die sie dazu angegeben hat und die deine eigenen Worte zitieren kann; was die Antwort gegeben hat (der automatische Klassifikator oder eine Person); welches Modell, sofern ein Modell geantwortet hat; und wann.
• Eine Entscheidung, deine Partei zu entfernen: Unabhängig von der Prüfung oben kann eine Partei, deren Inhalte wir für rechtswidrig halten, ganz aus dem Register genommen werden — ihre Seite öffnet sich dann für niemanden mehr, sie ist nicht auffindbar, und sie kann keine Stimmen erhalten. Das ist eine andere und deutlich schwerere Maßnahme als das Prüfergebnis oben, das nur betrifft, ob eine Partei standardmäßig gelistet wird. Wenn wir das tun, halten wir das Datum fest, die Rechtsgrundlage, auf die wir uns gestützt haben, unsere eigene schriftliche Begründung, warum diese Grundlage für deine Partei gilt, ob eine Meldung oder unsere eigene Prüfung dazu geführt hat, und eine Kennzeichnung für die Person, die entschieden hat. Alles davon außer dem Letzten wird dir angezeigt, im Dienst, auf der Seite deiner eigenen Partei — die sich für dich weiterhin öffnet, auch wenn sie sich für niemanden sonst öffnet. Wir nennen die Person nicht, die entschieden hat, und wir sagen dir nicht, wer dich gemeldet hat, falls dich jemand gemeldet hat.
• Wahlbilanz: dass du in einer bestimmten Testwahl abgestimmt hast, und wann. Nicht, für welche Partei du gestimmt hast. In dieser Erklärung ist dein Stimmzettel die Stimme, die du in einer Testwahl abgibst. Dein Stimmzettel ist vertraulich: Deine Stimme fließt in die Gesamtzahl der Partei ein und wird nicht bei deinem Konto gespeichert. Abgesehen von der Bestätigung, die dein eigenes Gerät anzeigt, während du abstimmst, zeigt kein Bildschirm im Dienst, wie du abgestimmt hast, und wir veröffentlichen es nicht. In manchen Fällen kann jemand mit direktem Zugriff auf unsere Datenbank (Abschnitt 11) oder auf eine Kopie davon einen Stimmzettel dennoch mit der Person verknüpfen, die ihn abgegeben hat. Abschnitt 5.3 sagt, wann und wie lange.
• Transaktionsdaten: bei einer WDD-Auszahlung die Ziel-Wallet-Adresse, der Betrag und das gewählte Netzwerk.

3.2 Identitätsverifizierung und biometrische Daten

Damit Testwahlen fair bleiben (eine verifizierte Person, eine Stimme) und um Betrug und Doppelkonten zu verhindern, überprüfen wir, dass du eine einmalige, lebende, echte Person bist. Die vollständige, gesonderte Erläuterung zu biometrischen Daten steht in Abschnitt 4 — bitte lies sie aufmerksam.

3.3 Informationen, die automatisch erhoben werden

• Geräte- und Protokollinformationen: Geräte- und Browsertyp, Betriebssystem und ähnliche technische Daten.
• IP-Adresse: Wir verarbeiten deine IP-Adresse, um Anfragebegrenzungen durchzusetzen und Missbrauch zu verhindern (kurzzeitig in unseren Aufzeichnungen zu diesen Begrenzungen gespeichert). Außerdem speichern wir deine IP-Adresse und den User-Agent deines Browsers als Teil eines Einwilligungsnachweises, wenn du unseren Nutzungsbedingungen erstmals zustimmst und diese Erklärung zur Kenntnis nimmst oder wenn du eine biometrische Einwilligung erteilst, als Nachweis dieser Zustimmung oder Einwilligung. Deine IP-Adresse und der User-Agent deines Browsers werden auch in den Sicherheitsaufzeichnungen festgehalten, die in Abschnitt 8 beschrieben sind: wenn dein Gerät bei einer Gesichtsprüfung die Lebendigkeitsprüfung startet, und jedes Mal, wenn du die Bilder aus deinen Gesichtsprüfungen herunterlädst.
• Nutzungsinformationen: genutzte Funktionen und Aktionen im Dienst.
• Kopien deiner Daten: Wenn du die in Abschnitt 10.1 beschriebene maschinenlesbare Datei oder die Bilder aus deinen Gesichtsprüfungen herunterlädst, halten wir fest, dass eine Kopie erstellt wurde, wann, welche der beiden es war und welche Teile des Datenbestands sie enthielt (bei den Bildern der Teil der Verifizierung, zu dem sie gehören). Bei den Bildern wird der Eintrag angelegt, wenn der Download beginnt; ein Download, der danach auf deinem Gerät fehlschlägt, erscheint also trotzdem in der Liste und zählt für die Grenze mit. Wir bewahren das auf, damit jedes Gerät, auf dem du angemeldet bist, dieselbe Liste liest — es ist die einzige Möglichkeit, die wir haben, dir mitzuteilen, dass jemand mit deiner Sitzung eine Kopie von allem mitgenommen hat, denn wir haben keine Adresse, an der wir es dir sagen könnten. Das Lesen der Kopie am Bildschirm wird nicht aufgezeichnet; was die Liste erfasst, ist die Kopie, die das Gerät verlässt.

3.4 Cookies und lokaler Speicher

Wir verwenden ausschließlich unbedingt erforderliche und funktionale Cookies und lokalen Speicher:

• Authentifizierung und Sicherheit (Cookies für die Sitzung und für die Kontoverknüpfung).
• Einstellungen (z. B. deine gewählte Sprache).
• Funktionaler Zustand (z. B. Rückkehr zur Seite nach der Verifizierung).
• Eine Kopie deines Kontobildschirms, aufbewahrt, damit der Dienst ihn sofort wieder aufbauen kann, wenn du zurückkommst. Sie enthält, was dieser Bildschirm zeigt: dein WDD-Guthaben, deine letzten Transaktionen — darunter die Ziel-Wallet-Adresse und das Netzwerk jeder Auszahlung, die du vorgenommen hast — und ob dein Konto verifiziert ist oder deine Gesichtsprüfung abgelehnt wurde. Beim Abmelden wird sie durch eine leere Kopie ersetzt. Bis du dich abmeldest, bleibt sie auf dem Gerät; melde dich deshalb ab, wenn andere Menschen dieses Gerät benutzen.

Wir verwenden keine Werbe-Cookies, und wir setzen keine SDKs für Werbung oder seitenübergreifendes Tracking ein.

4. Biometrische Daten (Gesichtsprüfung auf Lebendigkeit) — bitte lesen

Um in einer Testwahl abzustimmen und um eine Partei zu registrieren, musst du eine Gesichtsprüfung auf Lebendigkeit abschließen. Diese Erklärung nennt diese Prüfung die Gesichtsprüfung. Die Gesichtsprüfung verarbeitet biometrische Daten; das sind sensible personenbezogene Daten besonderer Kategorien. Darüber wollen wir vollständig transparent sein.

4.1 Was passiert

• Dein Gerät nimmt ein kurzes Live-Video deines Gesichts auf, das von Amazon Web Services (AWS) Amazon Rekognition Face Liveness verarbeitet wird, um zu bestätigen, dass eine echte, lebende Person anwesend ist (Schutz vor Täuschungsversuchen).
• AWS speichert für diese Sitzung ein Referenzbild deines Gesichts. AWS speichert dieses Bild unabhängig davon, ob die Prüfung bestanden wird oder nicht; auch eine nicht bestandene Prüfung hinterlässt also ein Bild. Du kannst dieses Bild jederzeit vernichten lassen (Abschnitt 4.4).
• Besteht die Prüfung, fügen wir einer gesicherten AWS-Rekognition-Collection einen Gesichtsvektor (Template) hinzu, der aus diesem Bild erzeugt wird. Eine Prüfung, die als Doppelung abgelehnt wird, fügt der Collection keinen Vektor hinzu.
• Mit dieser Collection führen wir einen 1:n-Abgleich mit den Gesichtsvektoren anderer Personen durch, um zu prüfen, ob dasselbe Gesicht bereits für ein anderes Konto verifiziert ist.

Die Ablehnung erfolgt automatisch. Findet der Abgleich eine Übereinstimmung, wird die Verifizierung für dieses Konto in diesem Moment abgelehnt, durch den Abgleich selbst, und kein Mensch ist an der Entscheidung beteiligt. Gewichtet wird allein, wie stark der aus deinem Scan erzeugte Gesichtsvektor einem Vektor ähnelt, der bereits in der Collection liegt, gemessen an einem einzigen festen Ähnlichkeitsschwellenwert; nichts anderes über dich fließt ein. Ein abgelehntes Konto kann nicht in Testwahlen abstimmen und keine Partei registrieren, und die Ablehnung bleibt für dieses Konto bestehen, sofern sie nicht ein Mensch ändert.

Du kannst eine Prüfung dieser Entscheidung durch einen Menschen anfordern. Schreib an privacy@worldrepublic.org oder frag in unserer Hilfe-Community, und wir antworten innerhalb eines Monats. Ein Mensch vergleicht das Referenzbild aus deiner Prüfung mit dem Bild, das für das übereinstimmende Konto gespeichert ist, soweit beide noch vorhanden sind — jedes der beiden Bilder kann nach Abschnitt 4.5 bereits vernichtet worden sein —, und kann die Ablehnung aufheben und dich verifizieren.

Wenn die Bilder nicht mehr da sind, ist die Sache damit nicht zu Ende. Wurde das Gesicht, mit dem deine Prüfung übereingestimmt hat, inzwischen vernichtet — weil dieses Konto gelöscht wurde oder weil die Person dahinter ihre Einwilligung widerrufen hat —, kann ein Mensch stattdessen die Ablehnung aufheben, sodass du die Prüfung erneut ablegen darfst. Das ist keine Entscheidung darüber, dass du verifiziert bist: Die neue Prüfung läuft vollständig ab, gegen denselben Abgleich, und kann dich erneut ablehnen. Damit beide Wege möglich sind, bewahren wir den Eintrag über die Übereinstimmung zusammen mit der abgelehnten Prüfung auf: welches Konto übereingestimmt hat und wie nah der Abgleich war (Abschnitt 8).

4.2 Eskalation an Didit

Dieser Weg wird derzeit nicht angeboten, und es lässt sich keine Prüfung starten. Er wird hier beschrieben, weil er entworfen ist.

Gedacht ist eine Eskalation an Didit, einen Anbieter für Identitätsverifizierung, für den Fall, dass die Gesichtsprüfung jemanden zu Unrecht ablehnt — eine falsche Übereinstimmung zwischen Menschen, die sich ähnlich sehen. Sie würde deine ausdrückliche Einwilligung einholen und Didit in unserem Auftrag ein Ausweisdokument und ein Selfie prüfen lassen.

Heute läuft nichts davon: Der Dienst hat keinen Bildschirm, der das anbietet, und der Weg, der eine Prüfung starten würde, lehnt jede Anfrage ab. Didit hält keine unserer Verifizierungsdaten. Wenn die Gesichtsprüfung dich abgelehnt hat, steht dir der Weg aus Abschnitt 4.1 offen: Frag in unserer Hilfe-Community, dann kann ein Mensch beide Einträge ansehen und die Verifizierung wieder öffnen.

Sollte die Eskalation je angeboten werden, wird dieser Abschnitt vorher sagen, was sie erhebt und was wir erhalten.

4.3 Hinweis zu Dienstleistern (AWS und Didit)

Die Weltrepublik setzt für die Identitätsverifizierung Dienstleister ein. Biometrische Identifikatoren und biometrische Informationen („biometrische Daten“), namentlich Scans deiner Gesichtsgeometrie sowie die dazugehörigen Gesichtsbilder und Templates, dürfen von diesen Dienstleistern (AWS; und Didit, falls die Eskalation aus Abschnitt 4.2 je angeboten wird) im Auftrag der Weltrepublik erhoben, gespeichert und verwendet werden, zu dem Zweck, zu bestätigen, dass du eine einmalige, lebende, echte Person bist, und doppelte oder betrügerische Konten zu verhindern. Die Weltrepublik vernichtet die biometrischen Daten, die AWS in ihrem Auftrag speichert, wenn der ursprüngliche Zweck ihrer Erhebung erfüllt ist, wenn du die Löschung verlangst oder früher, wenn das Gesetz es verlangt. Didit hält keine unserer biometrischen Daten und keine unserer Identitätsdaten, denn die Eskalation wird nicht angeboten. Sollte sie je angeboten werden, werden die Bedingungen, unter denen Didit diese Daten speichern darf und löschen muss, zuvor festgelegt und hier genannt. Biometrische Daten dürfen zwischen der Weltrepublik und ihren Dienstleistern übermittelt werden, soweit das zur Erbringung dieses Dienstes erforderlich ist.

4.4 Deine Einwilligung und deine Entscheidung

Dieser Prüfung liegen zwei Dinge zugrunde, und wir nennen beide.

Die Prüfung selbst ist für den Dienst erforderlich, um den du uns bittest. Eine Testwahl, in der eine verifizierte Person eine Stimme hat, lässt sich nur durchführen, wenn für jede abstimmende Person belegt ist, dass sie nur einmal eingetragen ist, und wir haben heute keinen weniger eingriffsintensiven Weg, das zu belegen. Weil die Prüfung biometrische Daten verarbeitet, ist zusätzlich ein Zweites nötig: deine ausdrückliche, aktiv erteilte Einwilligung, und auf sie stützen wir uns für die biometrischen Daten selbst. Wir holen diese Einwilligung zu Beginn der Gesichtsprüfung ein, und ohne sie verarbeiten wir keine biometrischen Daten.

Was es dich kostet, sie abzulehnen. Die Gesichtsprüfung ist heute der einzige Weg zum Abstimmen. Lehnst du sie ab, kannst du in einer Testwahl nicht abstimmen und keine neue Partei registrieren. Mehr kostet es dich nicht: Du kannst weiterhin WDD halten, WDD auszahlen, eine zuvor von dir registrierte Partei führen und den übrigen Dienst nutzen. Vor jeder Wahl, deren Ergebnis für irgendjemanden verbindlich ist, werden wir einen Weg zum Abstimmen anbieten, der ohne Gesichtsprüfung auskommt.

Du kannst diese Einwilligung jederzeit widerrufen, und du musst dafür dein Konto nicht löschen. Öffne in der App Konto → Verifizierung → Meine Gesichtsdaten löschen. Der Widerruf wirkt sofort und vernichtet sowohl die Referenzbilder als auch das Gesichts-Template, mit dem wir abgleichen. Wenn du eine Kopie der Bilder haben möchtest, lade sie vorher herunter, auf demselben Bildschirm (Abschnitt 10.1). Dein Konto, dein WDD-Guthaben, jede Partei, die du führst, und jede Stimme, die du bereits abgegeben hast, bleiben davon unberührt. Du kannst erst wieder abstimmen, wenn du eine neue Gesichtsprüfung abgeschlossen hast, was dir jederzeit freisteht — es sei denn, deine Prüfung wurde bereits als Doppelung eines anderen Kontos abgelehnt (die automatische Ablehnung aus Abschnitt 4.1). Der Widerruf vernichtet die Daten, ändert diese Entscheidung aber nicht; um sie anzufechten, wende dich an privacy@worldrepublic.org.

Eine Ausnahme, und es ist dieselbe, die Abschnitt 4.5 für die Kontolöschung beschreibt: Wenn eine Testwahl, in der du abgestimmt hast, beim Widerruf noch läuft, endet deine Einwilligung sofort, die biometrischen Daten selbst werden aber erst vernichtet, wenn diese Wahl endet — es sei denn, du schließt vorher eine neue Gesichtsprüfung ab; dann gilt diese neue Einwilligung und es wird nichts vernichtet. Wie Abschnitt 4.5 darlegt, wartet die Vernichtung nie länger als vierzehn Tage: Eine Wahl, die erst mehr als vierzehn Tage nach deinem Widerruf endet, hält die Vernichtung überhaupt nicht auf. Du kannst stattdessen auch dein ganzes Konto löschen (Abschnitt 9) oder dich an uns wenden, um eines der Rechte aus Abschnitt 10 auszuüben.

4.5 Speicherung und Vernichtung

Wir speichern biometrische Daten nur so lange, wie es für die Verifizierung und die Verhinderung von Doppelungen nötig ist. Wir vernichten sie, wenn der Zweck erfüllt ist, auf dein Löschverlangen hin, wenn dein Konto gelöscht wird, oder drei Jahre nach deiner letzten Interaktion mit dem Dienst — je nachdem, was zuerst eintritt. Eine Aufzeichnung wird länger aufbewahrt: der in Abschnitt 1 unserer Richtlinie zur Speicherung und Vernichtung biometrischer Daten beschriebene Eintrag im Sicherheits-Auditprotokoll, der die Positionen deiner Augen, deiner Nase und deines Mundes und den Winkel deines Kopfes festhält. Unsere schriftliche Richtlinie zur Speicherung und Vernichtung biometrischer Daten legt jeden dieser Auslöser vollständig dar, und Abschnitt 2 jener Richtlinie zählt auf, was als Interaktion gilt. Die Vernichtung umfasst das Löschen des AWS-Referenzbildes (Amazon S3) und des Gesichtsvektors (Rekognition-Collection).

Eine Ausnahme, begrenzt und hier genannt, weil du sie kennen solltest, bevor du handelst: Wenn du dein Konto löschst — oder deine biometrische Einwilligung nach Abschnitt 4.4 widerrufst —, während eine Testwahl, in der du abgestimmt hast, noch läuft, behalten wir deine biometrischen Daten, bis diese Wahl endet, und vernichten sie dann. Hast du widerrufen und verifizierst dich vor dem Ende der Wahl erneut, wird die ausstehende Vernichtung abgebrochen, denn die neue Gesichtsprüfung ist eine neue Einwilligung; eine Kontolöschung wird auf diesem Weg nie abgebrochen. Eine abgegebene Stimme lässt sich nicht wieder aus der Gesamtzahl der Partei herausnehmen, sie bleibt also gezählt, und nur die Gesichtsprüfung verhindert, dass dieselbe Person ein neues Konto verifiziert und in derselben Wahl ein zweites Mal abstimmt. Die Verzögerung geht nie über das verbleibende Zeitfenster der Wahl hinaus und nie über vierzehn Tage: Eine Wahl, die erst mehr als vierzehn Tage nach deinem Handeln endet, hält die Vernichtung überhaupt nicht auf. An der Löschung wartet sonst nichts.

4.6 Wo biometrische Daten verarbeitet werden

Deine Gesichts-Templates und Referenzbilder werden von AWS in der Europäischen Union (Irland) verarbeitet und gespeichert. Die zugehörigen Verifizierungs-Metadaten (zum Beispiel Konfidenzwerte und Speicherverweise) liegen in unserer primären Datenbank (siehe Abschnitt 7).

5. Wie wir Informationen verwenden und unsere Rechtsgrundlagen

5.1 Automatische Prüfung von Parteiregistrierungen

Wenn du eine Partei registrierst oder bearbeitest, prüft ein Programm sie, bevor sie standardmäßig gelistet wird. Kein Mensch ist an diesem Schritt beteiligt.

• Was es liest: Name, Beschreibung und Website-Link der Partei sowie den Nutzernamen der Person, die sie führt — sonst nichts über dich.
• Was es entscheidet: ob die Partei in den Standardlisten, in der Suche und in der Parteienliste der Wahl erscheint oder als Spam markiert wird. Eine markierte Partei wird nicht entfernt: Sie bleibt unter ihrer eigenen Adresse erreichbar, sie lässt sich finden, indem man alle Parteien einblendet, und man kann für sie stimmen.
• Die Gründe: Werbung für etwas außerhalb des Dienstes (darunter das Vortäuschen, der Dienst oder eine etablierte Partei zu sein), das Angebot, einzelne Stimmen zu bezahlen, Aufruf zu Gewalt und Obszönität. Politische Ansichten sind nie ein Grund, und die Prüfung muss zitieren, was sie beanstandet.
• Wie es entscheidet: Ein großes Sprachmodell, GLM-5.3 Flash von Z.ai, wendet diese Regeln auf den Text an. Ist dieses Modell nicht verfügbar, wendet GLM-5.3 desselben Herstellers dieselben Regeln an. Beide laufen bei Baseten in den Vereinigten Staaten (Abschnitte 6 und 7); Baseten bewahrt von keiner der beiden Anfragen etwas auf, sobald sie beantwortet ist, und trainiert nicht damit. Eine zweite, feste Regel vergleicht den Namen der Partei mit den Namen etablierter Parteien. Das Ergebnis, sein Grund, welche Prüfung entschieden hat und — wenn ein Modell entschieden hat — welches der beiden Modelle, werden bei der Partei aufbewahrt (Abschnitt 8).
• Warum ein Programm darüber entscheiden darf: Ein Register, in dem jeder Eintrag eine echte Parteiregistrierung ist, gehört zu dem Dienst, für den du eine Partei registrierst, und genau das erlaubt es, diese Entscheidung einem Programm zu überlassen. Eine Parteiregistrierung drückt außerdem politische Ansichten aus. Die Entscheidung wird nie nach diesen Ansichten getroffen — die Gründe oben sind Dinge, die eine Registrierung tut, nicht Dinge, um die es in ihr geht, und eine Registrierung wird nie dafür beanstandet, wofür sie eintritt. Diese Ansichten werden nur gelesen, weil sie in dem geprüften Text stehen, und du machst sie selbst öffentlich, indem du die Partei zur Veröffentlichung im öffentlichen Register anmeldest. Du musst keine Partei registrieren, um abzustimmen, WDD zu halten oder irgendetwas anderes zu nutzen.
• Deine Möglichkeiten: Die Person, die die Partei führt, sieht das Ergebnis und den Grund auf der Seite der Partei. Beim Bearbeiten der Partei wird sie erneut zur Prüfung eingereicht. Du kannst eine Prüfung des Ergebnisses durch einen Menschen anfordern — über die Hilfe-Community, die in diesem Hinweis verlinkt ist, oder indem du an privacy@worldrepublic.org schreibst.

5.2 Ob eine Partei sagt, was sie beim Thema KI will

Raised by Humanity ist eine Kampagne darüber, wie künstliche Intelligenz geregelt werden soll. Um zu erkennen, welche Parteien dazu Position beziehen, stellt dieselbe Anfrage, in der die Prüfung nach Abschnitt 5.1 erfolgt, auch eine zweite, gesonderte Frage.

• Was es fragt: ob jemand, der die öffentliche Debatte über KI verfolgt, aus dem Namen oder der Beschreibung der Partei erkennen könnte, was die Partei beim Thema KI will — wie KI entwickelt, genutzt, geteilt, begrenzt oder geregelt werden soll. Jede Position zählt, ob dafür oder dagegen, und keine zählt mehr als eine andere. Eine Partei muss das Wort „KI“ nicht verwenden. KI zu erwähnen oder sie zu nutzen oder zu verkaufen, ist keine Position.
• Was es liest: dieselben Felder wie in Abschnitt 5.1, in derselben Anfrage — Name, Beschreibung und Website-Link der Partei sowie den Nutzernamen der Person, die sie führt. Mehr wird nicht gesendet, und es wird sonst nirgendwohin gesendet.
• Was es festhält: die Antwort — die Partei sagt, was sie beim Thema KI will, oder nicht — mit einer Zeile, die die Worte zitiert, auf die sich die Antwort stützt, dem Modell, das geantwortet hat, und dem Zeitpunkt. Sie wird bei der Partei aufbewahrt (Abschnitt 8).
• Was es ändert: eine einzige Ansicht, und nur für eine lesende Person, die sie verlangt. Wenn jemand „Nur Parteien zum Thema KI-Politik anzeigen“ in der Parteienliste oder in der Parteienliste einer Wahl einschaltet, werden nur die Parteien angezeigt, deren Antwort lautet, dass sie sagen, was sie beim Thema KI wollen. Der Filter ist ausgeschaltet, es sei denn, die lesende Person schaltet ihn ein. Die Antwort spielt bei der Prüfung nach Abschnitt 5.1 keine Rolle. Ohne diesen Filter ändert sie nichts an dem, was irgendjemand sieht, darunter die Standardlisten, die Suche und die Parteienliste einer Wahl, und sie wirkt sich nie auf eine Abstimmung aus. Ändert sich das, wird dieser Abschnitt es ab dem Tag der Änderung sagen.
• Wie es entscheidet: dieselben Modelle wie in Abschnitt 5.1 — GLM-5.3 Flash von Z.ai oder, wenn dieses Modell nicht verfügbar ist, GLM-5.3 —, die bei Baseten in den Vereinigten Staaten laufen; Baseten bewahrt von der Anfrage nichts auf, sobald sie beantwortet ist, und trainiert nicht damit.
• Deine Möglichkeiten: Bei jeder Bearbeitung der Partei wird die Frage erneut gestellt, und ihre Antwort ersetzt die bisherige. Die Antwort ist in der Kopie deiner Daten enthalten, die der Dienst dir gibt (Abschnitt 10). Du kannst eine Prüfung der Antwort durch einen Menschen anfordern oder ihr widersprechen, indem du an privacy@worldrepublic.org schreibst. Lautet die Antwort, dass deine Partei nicht sagt, was sie beim Thema KI will, zeigt die Karte deiner Partei das an, solange du diesen Filter eingeschaltet hast.
• Warum es eine politische Position lesen darf: Dies ist die einzige Stelle, an der der Dienst liest, wofür eine Partei eintritt, und nicht nur, was sie tut. Er liest nur die Worte, die die Partei selbst veröffentlicht hat, zu einem einzigen Thema, und behandelt jede Position zu diesem Thema gleich. Du machst diese Worte selbst öffentlich, indem du die Partei zur Veröffentlichung im öffentlichen Register anmeldest. Du musst keine Partei registrieren, um abzustimmen, WDD zu halten oder irgendetwas anderes zu nutzen.

5.3 Dein Stimmzettel

Wenn du abstimmst, erhält unser Server zusammen, wer du bist und wie du dich entschieden hast, denn er muss prüfen, ob du abstimmen darfst, und die Stimme dann zählen. Er speichert beides getrennt, in drei Einträgen, die zusammen gespeichert werden: ein Eintrag, dass du in dieser Wahl abgestimmt hast, und wann; ein Eintrag zu deiner Einwilligung in die Zählung deiner Stimme, der die Wahl und den Tag nennt; und eine weitere Stimme, die der Gesamtzahl der Partei hinzugefügt wird. Kein Eintrag speichert deine Stimme zusammen mit deinem Konto. In manchen Fällen lässt sich dein Stimmzettel dennoch mit dir verknüpfen, und dieser Abschnitt sagt, wann.

• Während eine Wahl läuft. Unsere Datenbank versieht jede Änderung, die sie speichert, mit einer Referenznummer. Alle drei Einträge werden in derselben Änderung gespeichert und tragen deshalb dieselbe Nummer. Während eine Wahl läuft, könnte jemand mit direktem Zugriff auf unsere Datenbank (Abschnitt 11) deshalb herausfinden, wer den jeweils letzten Stimmzettel für jede Partei abgegeben hat, und — durch Beobachten, wie sich die Gesamtzahlen ändern — wer in dieser Zeit jeden einzelnen Stimmzettel abgegeben hat. Mit Werkzeugen, die den Speicher der Datenbank direkt auslesen, ließe sich außerdem herausfinden, von wem andere kürzlich abgegebene Stimmzettel stammen, anhand älterer Versionen der Gesamtzahlen, die die Datenbank noch nicht bereinigt hat. Unsere Testwahlen nehmen drei Tage lang Stimmzettel entgegen, und der Dienst nimmt in einer Wahl nie länger als vierzehn Tage Stimmzettel entgegen.
• Nach ihrem Ende. Kurz nachdem eine Wahl endet, in der Regel innerhalb von Minuten, schreiben wir ihre Gesamtzahlen in einer gesonderten Änderung neu. Danach verknüpft kein Eintrag in unserer Hauptdatenbank — der Datenbank, auf der der Dienst läuft — einen Stimmzettel mit der Person, die ihn abgegeben hat. Ältere Versionen der Gesamtzahlen können im Speicher der Datenbank bleiben, bis sie überschrieben werden, und dieselben Werkzeuge können sie weiterhin auslesen.
• Im Wiederherstellungsverlauf und in den Datensicherungen unseres Anbieters. Unser Datenbankanbieter führt einen Wiederherstellungsverlauf der Datenbank, den wir derzeit auf etwa sechs Stunden eingestellt haben. Er kann jeden Stimmzettel, der in dieser Zeit abgegeben wurde, mit der Person verknüpfen, die ihn abgegeben hat, und er kann die Gesamtzahlen so zurückholen, wie sie waren, bevor wir sie neu geschrieben haben, mit den Verknüpfungen, die sie enthielten. Der Anbieter bewahrt außerdem eigene Datensicherungen auf, nach eigener Angabe 30 Tage lang; was diese Datensicherungen umfassen, haben wir uns von ihm noch nicht bestätigen lassen. Diese Datensicherungen und jede Kopie unserer Datenbank (Abschnitt 11), die erstellt wurde, bevor die Gesamtzahlen neu geschrieben wurden, behalten diese Verknüpfungen, bis sie ablaufen oder gelöscht werden, und eine Kopie, die wir löschen, kann in diesen Datensicherungen bleiben, bis sie ablaufen.
• In dem, was wir veröffentlichen. Wir veröffentlichen die Gesamtzahl jeder Partei, sobald die Wahl beendet ist (Abschnitt 6); solange sie läuft, zeigen wir nur, wie viele Stimmzettel insgesamt abgegeben wurden. Stimmen alle in einer Wahl für dieselbe Partei, zeigen die Gesamtzahlen allen, die wissen, dass sie abgestimmt haben, wie jede dieser Personen abgestimmt hat. Und wenn sehr wenige Menschen abstimmen, kann, wer weiß, wie die anderen abgestimmt haben, den Rest erschließen.

Nichts im Dienst nutzt irgendetwas davon, um einen Stimmzettel mit der Person zu verknüpfen, die ihn abgegeben hat.

Weil aus deiner Stimme eine politische Meinung hervorgeht, bitten wir dich um deine ausdrückliche Einwilligung, bevor wir sie zählen. Der Bildschirm, auf dem du deine Stimme abgibst, hat in jeder Testwahl ein nicht angekreuztes Kästchen, das um diese Einwilligung bittet, und es muss angekreuzt sein, bevor die Stimme abgegeben wird; unser Server lehnt einen Stimmzettel ohne sie ab. Wir halten diese Einwilligung mit der Wahl, der Fassung und der Sprache der Worte, die du angekreuzt hast, und dem Tag fest. Wir halten dazu keine IP-Adresse und keinen Browser fest und nur den Tag, weil sie im selben Moment gespeichert wird wie der Eintrag, dass du abgestimmt hast, und eine genaue Uhrzeit ein zweiter Eintrag darüber wäre, wann du abgestimmt hast. Du kannst diese Einwilligung widerrufen (Abschnitt 10).

6. Wie wir Informationen weitergeben

Wir verkaufen deine personenbezogenen Daten nicht. Dieser Abschnitt legt dar, wer Informationen über dich erhält und in welcher Rolle. Einen Teil davon verarbeiten Dienstleister für uns, nach unseren Weisungen und zu keinem eigenen Zweck. Ein Teil gelangt zu einem Unternehmen, das selbst entscheidet, was es mit diesen Informationen tut, und dieser Abschnitt nennt diese Empfänger. Einen Teil müssen wir offenlegen, um das Gesetz einzuhalten, und bei einer Fusion, einer Übernahme oder einer Vermögensübertragung ginge das, was wir gespeichert haben, auf die erwerbende Seite über, vorbehaltlich rechtmäßiger Schutzvorkehrungen — ausgenommen deine biometrischen Daten, die auf diesem Weg nie übergehen. Und einen Teil veröffentlicht der Dienst gegenüber anderen Menschen.

Dienstleister, die für uns tätig sind. Diese Anbieter verarbeiten Informationen nach unseren Weisungen und zu keinem eigenen Zweck. Didit ist in der folgenden Liste nur der Vollständigkeit halber genannt und verarbeitet heute nichts für uns:

• Google Workspace — betreibt unsere Postfächer, darunter privacy@worldrepublic.org und legal@worldrepublic.org. Alles, was du uns an eine dieser Adressen schreibst, und alles, was du mitschickst — auch das, was du schickst, um zu zeigen, dass eine Anfrage von dir stammt (Abschnitt 10.3) —, wird von Google als unserem Anbieter verarbeitet. Die im Eintrag zu Amazon Web Services unten beschriebenen betrieblichen Warnmeldungen werden ebenfalls per E-Mail zugestellt, und eine der Adressen, die sie erreichen, liegt auf unserer eigenen Domain. Eine Warnmeldung, die eine Ziel-Wallet-Adresse enthält, wird deshalb auch von Google verarbeitet. Die Anmeldung mit Google ist ein anderes Verhältnis, und dieser Abschnitt legt dieses Verhältnis weiter unten dar.
• Amazon Web Services (AWS) — vier Dinge. Amazon Rekognition Face Liveness, Amazon S3 (Referenzbilder) und Amazon Cognito (temporäre Gastzugangsdaten), als unser Dienstleister für die biometrische Verifizierung (Region EU). Amazon Simple Notification Service, der unsere betrieblichen Warnmeldungen transportiert. AWS CloudTrail, der das Sicherheits-Auditprotokoll unserer Cloud-Konten und unsere Aufzeichnung der Zugriffe auf Bilder aus Gesichtsprüfungen führt (Abschnitt 8). Und Amazon Simple Email Service, der die beiden Nachrichten transportiert, die wir einer Person schulden, die eine Partei meldet — dass uns die Meldung vorliegt und wie wir entschieden haben. Diese Nachrichten gehen an die Adresse, die diese Person uns gegeben hat, und enthalten den Namen der Partei, das Datum und eine Referenz; sie enthalten nie den gewählten Grund und nie das, was die Person geschrieben hat. Eine Warnmeldung sagt uns, dass etwas Aufmerksamkeit braucht — zum Beispiel eine Auszahlung, die schiefgegangen ist, ein Konto, das eine der Grenzen erreicht hat, die wir dafür setzen, wie oft es handeln darf, eine Parteiregistrierung, die die automatische Prüfung nicht lesen konnte, oder eine Vernichtung biometrischer Daten, die nicht abgeschlossen wurde. Das sind Beispiele und nicht die ganze Liste. Eine Warnmeldung kann eine Ziel-Wallet-Adresse enthalten, den Betrag und das Netzwerk einer Auszahlung und die Referenz, die wir dieser Auszahlung in unseren eigenen Aufzeichnungen geben, die interne Kennung eines Kontos und die Kennung einer Partei. Wurde eine Überweisung gesendet, kann eine Warnmeldung außerdem den Hash dieser Transaktion auf der Blockchain und die Referenz enthalten, die der Zahlungsdienstleister ihr gegeben hat. Eine Warnmeldung enthält nie den eigenen Namen oder die Beschreibung einer Partei und nie das, was die automatische Prüfung dazu gesagt hat.
• Didit — Identitätsverifizierung im Eskalationsfall. Wird derzeit nicht angeboten und hält keine unserer Daten (Abschnitt 4.2). Siehe Didits Verification Privacy Notice und End User Terms for Identity Verification.
• Coinbase — führt WDD-Auszahlungen auf der Blockchain aus; erhält die Zieladresse, den Betrag, das Netzwerk und die Referenz, die wir dieser Auszahlung in unseren eigenen Aufzeichnungen geben, und sonst nichts.
• Neon — Datenbank-Hosting für die Daten des Dienstes. Unsere Datenbank läuft in Singapur, und Neon verarbeitet auch in den Vereinigten Staaten (Abschnitt 7).
• Vercel — Hosting der Anwendung und Infrastrukturprotokolle. Unsere Anwendung läuft in Singapur, und Vercel verarbeitet auch in den Vereinigten Staaten (Abschnitt 7). Das AI Gateway von Vercel transportiert außerdem die Anfrage zur Parteiprüfung aus den Abschnitten 5.1 und 5.2 — eine einzige Anfrage — zu Baseten und nirgendwo sonst.
• Baseten — betreibt die Sprachmodelle, die Parteiregistrierungen prüfen (Abschnitte 5.1 und 5.2); erhält Name, Beschreibung und Link der Partei sowie den Nutzernamen der Person, die sie führt, bewahrt davon nichts auf, sobald die Anfrage beantwortet ist, und trainiert nicht damit (Vereinigte Staaten).

Eine aktuelle Liste der Unterauftragsverarbeiter stellen wir auf Anfrage zur Verfügung.

Google, wenn du dich anmeldest. Die Anmeldung mit Google ist ein Austausch zwischen dir und Google, und Google entscheidet selbst, was es mit diesem Austausch tut. Google handelt hier nicht allein nach unseren Weisungen, deshalb ist Google dafür nicht unser Dienstleister. Wir erhalten ein Authentifizierungs-Token und eine Kennung deines Google-Kontos, und wir behalten nur die Kennung (Abschnitt 3.1). Was Google mit einer Anmeldung tut, richtet sich nach Googles eigener Datenschutzerklärung (policies.google.com/privacy).

Unsere Hilfe-Community. Die Abschnitte 4.1 und 5.1 verweisen dich auf unsere Hilfe-Community, wenn du möchtest, dass ein Mensch sich eine automatische Entscheidung ansieht. Diese Community ist ein öffentlicher Kanal auf Telegram. Was du dort schreibst, lesen Telegram und alle anderen in diesem Kanal. Wir haben keine Kontrolle über diesen Kanal. Wenn du lieber nicht öffentlich schreiben möchtest, schreib stattdessen an privacy@worldrepublic.org: Dieser Weg erreicht denselben Menschen, und Abschnitt 10.1 legt ihn dar.

Offenlegungen, die das Gesetz verlangt, und der Fall, dass der Dienst auf eine andere Organisation übergeht. Wir dürfen Informationen offenlegen, um das Gesetz oder rechtmäßige Anfragen von Behörden zu erfüllen. Wir dürfen Informationen auch bei einer Fusion, einer Übernahme oder einer Vermögensübertragung offenlegen (vorbehaltlich rechtmäßiger Schutzvorkehrungen). Deine biometrischen Daten sind nie Teil einer solchen Übertragung. Wir verkaufen, vermieten oder handeln sie nicht und ziehen sonst keinen Gewinn aus ihnen, und wir geben sie nicht zusammen mit dem Übrigen, was wir gespeichert haben, an eine erwerbende Seite weiter. Abgesehen von dem Anbieter, der sie für uns und nach unseren Weisungen speichert (Abschnitt 4.3), legen wir biometrische Daten nur offen, wenn du darin einwilligst, wenn ein Gesetz es verlangt oder wenn ein gültiger richterlicher Beschluss oder eine gültige Vorladung dazu zwingt. Eine Fusion, eine Übernahme und eine Vermögensübertragung sind nichts davon.

Was der Dienst veröffentlicht. Ein Teil dessen, was du tust, wird anderen Menschen gezeigt. Das ist keine Weitergabe an einen Anbieter. Es ist eine Veröffentlichung, und sie lässt sich nicht rückgängig machen, indem man einen Anbieter bittet, damit aufzuhören:

• Das Parteienregister. Wenn du eine Partei registrierst, werden Name, Beschreibung und Link der Partei, dein Nutzername und die gesamte Förderung in WDD, die der Partei zugeteilt wurde, im Register veröffentlicht. Das Register ist offen: Alle können es ohne Konto lesen, und Suchmaschinen können es indexieren.
• Auszahlungen. Eine WDD-Auszahlung ist eine öffentliche Blockchain-Transaktion. Die Zieladresse, der Betrag, das Netzwerk, die Uhrzeit und die Referenz, die wir dieser Auszahlung in unseren eigenen Aufzeichnungen geben, werden auf der Blockchain veröffentlicht, nicht von uns, und niemand kann sie entfernen. Wir schreiben diese Referenz in die Transaktion, damit sich belegen lässt, dass eine Auszahlung genau einmal vorgenommen wurde. Die Referenz ist nicht die Kennung deines Kontos. Jede Auszahlung hat ihre eigene Referenz, und eine Referenz gehört zu nur einer Auszahlung. Um zu prüfen, ob eine Auszahlung vorgenommen wurde, bitten wir einen öffentlichen Blockchain-Dienst, die Transaktion für uns nachzuschlagen. Diese Dienste sehen, was die Blockchain ohnehin veröffentlicht — die Adresse, den Betrag und die Referenz — und sonst nichts von dem, was wir über dich gespeichert haben.
• Wahlergebnisse. Die Gesamtzahl der Stimmen jeder Partei wird veröffentlicht, sobald die Wahl beendet ist. Solange eine Wahl läuft, wird keine Gesamtzahl einer Partei angezeigt, nur, wie viele Stimmzettel insgesamt abgegeben wurden. Wir veröffentlichen nur Gesamtzahlen, nie einen einzelnen Stimmzettel. Haben alle für dieselbe Partei gestimmt, können die Gesamtzahlen dennoch jemandem, der weiß, dass du abgestimmt hast, zeigen, wie du abgestimmt hast; und wenn sehr wenige abgestimmt haben, jemandem, der außerdem weiß, wie die anderen abgestimmt haben (Abschnitt 5.3). Abschnitt 5.3 sagt, wann ein Stimmzettel in unserer Datenbank mit dir verknüpft werden kann.

Dein Nutzername ist der Name, der in all dem erscheint, und du wählst ihn selbst (Abschnitt 3.1).

7. Internationale Datenübermittlungen

Unser Sitz ist in der Schweiz, für die ein Angemessenheitsbeschluss der EU gilt, und wir sind außerdem in der Europäischen Union niedergelassen (Abschnitt 1). Deine Daten werden in mehr als einem Land verarbeitet:

• Biometrische Daten (Gesichts-Templates und Referenzbilder) werden von AWS in der Europäischen Union (Irland) verarbeitet und gespeichert.
• Das Sicherheits-Auditprotokoll unserer Cloud-Konten und unsere Aufzeichnung der Zugriffe auf Bilder aus Gesichtsprüfungen (Abschnitt 8): Die Einträge über dich werden in der Europäischen Union aufbewahrt — in Irland, wo die Gesichtsprüfung läuft, und in Deutschland, wo wir unsere Kopien aufbewahren.
• Konto- und Anwendungsdaten liegen in unserer Datenbank bei Neon und werden von Vercel ausgeliefert. Beide laufen in Singapur, und ein Teil dieser Daten gelangt auch in die Vereinigten Staaten: Der Auftragsverarbeitungsvertrag von Vercel führt aus, dass sich die primären Verarbeitungsanlagen in den Vereinigten Staaten befinden, und Neon schließt über eine Muttergesellschaft in den Vereinigten Staaten ab, deren Bedingungen einen US-Anbieter für die Überwachung der Infrastruktur nennen. Was auf diesem Weg geht, sind Anfrage- und Serverprotokolle — deine IP-Adresse, der User-Agent deines Browsers, die Seite, die du angefordert hast, und in manchen Fehlereinträgen die interne Kennung eines Kontos.
• Parteiregistrierungen in Prüfung (Name, Beschreibung, Link, Nutzername der Person, die die Partei führt) werden für die automatische Prüfung nach den Abschnitten 5.1 und 5.2 an Baseten in den Vereinigten Staaten gesendet und dort nicht gespeichert.
• Auszahlungsdaten — die Zieladresse, der Betrag, das Netzwerk und die Referenz, die wir dieser Auszahlung in unseren eigenen Aufzeichnungen geben — gehen an Coinbase, ein Unternehmen mit Sitz in den Vereinigten Staaten. In welchen Ländern Coinbase diese Daten selbst verarbeitet, haben wir nicht festgestellt.
• Betriebliche Warnmeldungen werden von Amazon Simple Notification Service transportiert (Abschnitt 6), und eine Warnmeldung kann eine Ziel-Wallet-Adresse enthalten, den Betrag und das Netzwerk einer Auszahlung und die Referenz, die wir dieser Auszahlung in unseren eigenen Aufzeichnungen geben, die interne Kennung eines Kontos und die Kennung einer Partei. Wurde eine Überweisung gesendet, kann eine Warnmeldung außerdem den Hash dieser Transaktion auf der Blockchain und die Referenz enthalten, die der Zahlungsdienstleister ihr gegeben hat. Eine Warnmeldung enthält nie den eigenen Namen oder die Beschreibung einer Partei und nie das, was die automatische Prüfung dazu gesagt hat. Dieser Dienst läuft in der Amazon-Region, die wir dafür eingerichtet haben, und diese Region kann außerhalb der Europäischen Union liegen. Die Warnmeldung wird dann per E-Mail zugestellt, und eine der Adressen, die sie erreicht, liegt auf unserer eigenen Domain, die Google Workspace in den Vereinigten Staaten hostet (Abschnitt 6).
• Nachrichten an eine Person, die eine Partei gemeldet hat, werden von Amazon Simple Email Service in der Europäischen Union (Irland) transportiert — derselben Region wie die biometrischen Daten, unter derselben Vereinbarung.
• Anmeldedaten gehen an Google, das diese Daten in den Vereinigten Staaten und in anderen Ländern verarbeitet.
• Die Ausweis-Eskalation aus Abschnitt 4.2 sendet nichts irgendwohin, denn sie wird nicht angeboten und es lässt sich keine Prüfung starten. Das Didit-Unternehmen, das mit der Kundschaft in Europa Verträge schließt, ist Didit Identity Spain, S.L., und Didit gibt an, dass seine wichtigsten Verarbeitungssysteme innerhalb des Europäischen Wirtschaftsraums liegen. Diese Angabe stammt von Didit selbst, und wir haben sie nicht eigenständig bestätigt. Bevor der Weg angeboten wird, werden wir in diesem Abschnitt bestätigen, wo eine Prüfung verarbeitet würde, und die Garantie nennen, die sie abdeckt.
• Was du an privacy@worldrepublic.org oder an legal@worldrepublic.org schreibst, wird in den Vereinigten Staaten von Google Workspace verarbeitet (Abschnitt 6).

Für Singapur gibt es weder einen Angemessenheitsbeschluss der EU noch einen der Schweiz, und für die Vereinigten Staaten gilt ein solcher nur für Empfänger, die nach dem Data Privacy Framework zertifiziert sind. Wir stützen uns nicht für alle diese Übermittlungen auf eine einzige Garantie. Wir sagen dir lieber, welche Garantie welchen Empfänger abdeckt, als ein Instrument zu nennen, das wir nicht haben:

• Vercel und, über das Gateway von Vercel, Baseten: die Standardvertragsklauseln der Europäischen Kommission und das International Data Transfer Addendum des Vereinigten Königreichs, beide in den Auftragsverarbeitungsvertrag von Vercel einbezogen. Ob dieser Vertrag auch die Ergänzung trägt, die das Schweizer Recht verlangt, haben wir nicht festgestellt. Mit Baseten haben wir keinen eigenen Vertrag.
• Google, für unsere Postfächer: die Standardbedingungen von Google Workspace, die den Auftragsverarbeitungszusatz von Google und die Standardvertragsklauseln einbeziehen.
• Google, für die Anmeldung: keine eigene. Google entscheidet selbst, wie es mit einer Anmeldung umgeht; Google handelt hier also nicht allein nach unseren Weisungen, und wir haben für die Anmeldung keinen Auftragsverarbeitungsvertrag mit Google. Google gibt an, nach dem EU-US Data Privacy Framework zertifiziert zu sein. Für diese Übermittlung haben wir kein eigenes Instrument eingeholt.
• AWS: der Auftragsverarbeitungsvertrag von AWS. Deine biometrischen Daten liegen in der Europäischen Union (Irland) und werden überhaupt nicht aus der Europäischen Union übermittelt. Wenn du eine Kopie der Bilder aus deinen eigenen Gesichtsprüfungen herunterlädst (Abschnitt 10.1), ruft dein Browser sie direkt bei AWS in der Europäischen Union (Irland) ab, wo auch immer du bist: Sie laufen nicht über unsere Server, und wir bewahren keine Kopie dessen auf, was du herunterlädst. Die oben beschriebenen betrieblichen Warnmeldungen werden unter derselben Vereinbarung transportiert, in der Amazon-Region, die wir dafür eingerichtet haben. Die Nachrichten, die wir an eine Person senden, die eine Partei gemeldet hat, werden unter derselben Vereinbarung transportiert, in der Europäischen Union (Irland).
• Neon: die Standardbedingungen von Neon, die automatisch gelten, wenn wir Neon nutzen. Die Übermittlungsklauseln zu diesem Vertrag stehen in den Bedingungen der Muttergesellschaft von Neon, und wir haben sie noch nicht eingeholt.
• Coinbase: die Standard-Entwicklerbedingungen von Coinbase. Nach unserem Verständnis enthalten diese Bedingungen einen Übermittlungsanhang; bestätigt haben wir das noch nicht.

Soweit ein Angemessenheitsbeschluss eine Übermittlung abdeckt — die Europäische Union und die Schweiz erkennen einander gegenseitig an —, stützen wir uns auf diesen Beschluss, und ein weiteres Instrument ist nicht nötig.

Zwei weitere Dinge, die du wissen solltest, statt sie vermuten zu müssen. Für keine der oben genannten Übermittlungen haben wir eine Folgenabschätzung für Datenübermittlungen durchgeführt. Wir stützen uns auf keine zusätzlichen Maßnahmen über die Sicherheitsmaßnahmen in Abschnitt 11 hinaus. Wir arbeiten daran, die fehlenden Instrumente zu schaffen, und wir aktualisieren diesen Abschnitt, sobald jeweils eines davon vorliegt.

Du kannst uns um eine Kopie der oben genannten Garantien bitten. Schreib an privacy@worldrepublic.org (Abschnitt 10.1).

8. Speicherung von Daten

9. Löschung des Kontos

Du kannst dein Konto im Dienst löschen. Die Löschung vernichtet die biometrischen Daten, die AWS in unserem Auftrag speichert, und entfernt deine Verifizierungsdatensätze. Sie vernichtet deine Anmeldedaten — die Verknüpfung mit deinem Google-Konto und jeden Passkey —, sodass man sich bei dem Konto nicht mehr anmelden kann. Meldest du dich danach wieder an, bekommst du ein neues, leeres Konto. Sie ersetzt deinen Nutzernamen durch einen zufällig erzeugten, und sie entfernt die IP-Adresse und die Geräteangaben, die bei deinen Einwilligungsnachweisen aufbewahrt werden. Innerhalb unserer Datenbank werden diese Änderungen in unserer Hauptdatenbank vorgenommen, der Datenbank, auf der der Dienst läuft. Unser Datenbankanbieter führt einen Wiederherstellungsverlauf der Datenbank, den wir derzeit auf etwa sechs Stunden eingestellt haben, und bewahrt eigene Datensicherungen auf, nach eigener Angabe 30 Tage lang; was diese Datensicherungen umfassen, haben wir uns von ihm noch nicht bestätigen lassen. Was wir löschen, bleibt in diesem Verlauf und in diesen Datensicherungen, bis sie ablaufen. Eine Kopie unserer Datenbank erstellen wir nur, um eine Änderung am Dienst zu testen oder um nach einer Störung den Betrieb wiederherzustellen, und wir löschen sie, wenn diese Arbeit abgeschlossen ist. Eine Kopie, die erstellt wurde, bevor du dein Konto gelöscht hast, behält, was sie enthielt, bis sie gelöscht wird, und danach kann sie in den Datensicherungen des Anbieters bleiben, bis diese ablaufen. Dasselbe gilt für jeden Eintrag, von dem Abschnitt 8 sagt, dass wir ihn aus unserer Datenbank löschen.

Mit der Löschung deines Kontos verfällt außerdem dein WDD-Guthaben, und deine laufenden Belohnungen werden beendet — die Belohnungen, die dir noch laufend zuflossen. Das ist eine Bestimmung der Nutzungsbedingungen und keine Frage des Datenschutzes; Abschnitt 8.5 der Nutzungsbedingungen legt sie dar. Wenn du dein Guthaben behalten willst, zahle es aus, bevor du dein Konto löschst. Du musst dein Konto nicht löschen, damit deine biometrischen Daten vernichtet werden: Abschnitt 4.4 beschreibt diesen gesonderten Weg, und auf diesem Weg bleibt dein WDD-Guthaben unberührt.

Die Löschung entfernt nicht alles, und wir benennen lieber, was bleibt, als es anonym zu nennen. Dein Konto hat eine interne Kennung, die wir nicht löschen, und fast alle dieser Einträge bleiben mit dieser Kennung verbunden:

• Dass du in jeder Testwahl abgestimmt hast, und wann — nicht, für welche Partei du gestimmt hast; das wird nicht bei deinem Konto gespeichert. Abschnitt 5.3 sagt, wann sich ein Stimmzettel dennoch mit der Person verknüpfen lässt, die ihn abgegeben hat. Der Eintrag, dass du abgestimmt hast, wird aufbewahrt, damit die Wahlbeteiligung jeder Wahl richtig bleibt.
• Deine WDD-Aufzeichnungen — jede dir zugeteilte Belohnung, festgehalten als die laufende Belohnung, die sie in dein Guthaben ausgeschüttet hat, jede Änderung an dieser laufenden Belohnung und jede Auszahlung, die du vorgenommen hast: die Ziel-Wallet-Adresse, der Betrag und das Netzwerk und, wenn eine Auszahlung nicht gesendet werden konnte, der Eintrag zu diesem Versuch. Dein Guthaben wird auf null gesetzt und deine laufenden Belohnungen werden entfernt, aber der Eintrag darüber, was zugeteilt und was ausgezahlt wurde, bleibt. Das sind unsere Aufzeichnungen über die WDD, die wir zugeteilt, und die WDD, die wir ausgezahlt haben (Abschnitt 8).
• Der für dein Konto erzeugte Einladungscode, den nichts im Dienst verwendet (Abschnitt 3.1).
• Der Nachweis jeder Einwilligung, die du erteilt hast, und jeder, die du widerrufen hast — welches Dokument, welche Fassung, wann, die Sprache und der Bildschirm, auf dem die Erklärung gezeigt wurde, und, bei einer Einwilligung in die Zählung einer Stimme, welche Wahl (Abschnitt 8).
• Dass du bestätigt hast, 18 Jahre oder älter zu sein, und wann — aufbewahrt als Nachweis, dass wir gefragt und du geantwortet hast (Abschnitt 3.1). Wir haben kein Geburtsdatum, es gibt also keines zu entfernen.
• Eine von dir registrierte Partei, die im Register bleibt. Der zufällig erzeugte Nutzername ersetzt den von dir gewählten Nutzernamen als Namen der führenden Person dieser Partei.
• Betriebliche Warnmeldungen über etwas, das schiefgegangen ist, und ihre Kopien in den Postfächern, die sie empfangen — eine Warnmeldung kann eine Ziel-Wallet-Adresse enthalten, den Betrag und das Netzwerk einer Auszahlung und die Referenz, die wir dieser Auszahlung in unseren eigenen Aufzeichnungen geben, die interne Kennung eines Kontos und die Kennung einer Partei. Wurde eine Überweisung gesendet, kann eine Warnmeldung außerdem den Hash dieser Transaktion auf der Blockchain und die Referenz enthalten, die der Zahlungsdienstleister ihr gegeben hat. Eine Warnmeldung enthält nie den eigenen Namen oder die Beschreibung einer Partei und nie das, was die automatische Prüfung dazu gesagt hat. Eine Warnmeldung ist eine Nachricht über ein einzelnes Ereignis und kein Eintrag, der unter deinem Konto geführt wird; sie trägt deshalb diejenigen dieser Kennungen, die dieses Ereignis hatte. Die Löschung deines Kontos löscht sie nicht (Abschnitt 8).
• Server- und Fehlerprotokolle, die unsere Hosting- und Datenbankanbieter für eine Frist aufbewahren, die wir nicht steuern. Eine Protokollzeile kann die interne Kennung deines Kontos, die Adresse, von der eine Anfrage kam, und die angefragte Seite enthalten. Die Löschung deines Kontos löscht diese Protokolle nicht (Abschnitt 8).
• Das Sicherheits-Auditprotokoll unserer Cloud-Konten und unsere Aufzeichnung der Zugriffe auf Bilder aus Gesichtsprüfungen (Abschnitt 8, der sagt, wie lange jedes davon aufbewahrt wird). Ihre Einträge können die interne Kennung deines Kontos enthalten oder eine deiner Gesichtsprüfungs-Sitzungen nennen. Die Einträge zu deinen Gesichtsprüfungen können außerdem eine Kennung enthalten, die AWS deinem Browser zugewiesen hat. Die Einträge zu deinen Lebendigkeitsprüfungen und zu deinen eigenen Downloads der Bilder aus deinen Gesichtsprüfungen enthalten auch die IP-Adresse und den User-Agent des Browsers, und der Eintrag zum Hinzufügen deines Gesichts zur Collection hält fest, wo deine Augen, deine Nase und dein Mund im Referenzbild liegen und in welchem Winkel dein Kopf steht, nie das Bild oder das Gesichts-Template. Die Vernichtung deiner Gesichtsdaten, die die Löschung auslöst, fügt eigene Einträge hinzu, und die Löschung deines Kontos löscht keinen dieser Einträge.
• Die Datumsangaben am Konto selbst — wann das Konto erstellt wurde, wann es sich zuletzt geändert hat und wann es gelöscht wurde.

Diese Einträge sind pseudonymisiert, nicht anonym, und der Unterschied ist es wert, benannt zu werden. Keiner von ihnen trägt deine E-Mail-Adresse. Keiner trägt deinen Namen oder den von dir gewählten Nutzernamen. Fast alle dieser Einträge bleiben mit derselben internen Kennung verbunden und lassen sich deshalb weiterhin als die Einträge eines Kontos lesen. Einige Arten von Einträgen sind davon Ausnahmen, und jede ist oben genannt: Eine betriebliche Warnmeldung ist eine Nachricht über ein einzelnes Ereignis und kein Eintrag, der unter einem Konto geführt wird, und eine Zeile in einem Server- oder Fehlerprotokoll oder ein Eintrag im Sicherheits-Auditprotokoll oder in unserer Aufzeichnung der Zugriffe auf Bilder aus Gesichtsprüfungen trägt die interne Kennung nur manchmal. Eine Ziel-Wallet-Adresse ist mehr als eine pseudonyme Kennung: Sie ist eine dauerhafte Kennung auf einer öffentlichen Blockchain, und wer eine deiner Adressen bereits kennt, kann die Zahlungen an diese Adresse sehen. Diese Einträge anonym zu nennen, wäre nicht wahr, und deshalb nennen wir sie nicht so.

Du kannst eine Kopie deiner Daten speichern, bevor du dein Konto löschst, und es lohnt sich, das zuerst zu tun (Abschnitt 10.1). Ist das Konto einmal gelöscht, ist dieser Weg weg: Die Kopie wird für ein angemeldetes Konto erstellt, und bei einem gelöschten Konto kann man sich nicht anmelden. Wir hätten danach außerdem keine Möglichkeit, uns zu vergewissern, dass eine Anfrage zu einem gelöschten Konto von der Person stammt, der dieses Konto gehörte (Abschnitt 10.3). Die Kopie in der App enthält nicht die Bilder aus deinen Gesichtsprüfungen; sie sind ein eigener Download unter Konto → Verifizierung, und wie die Kopie können sie nicht mehr heruntergeladen werden, sobald das Konto gelöscht ist.

Deine abgegebenen Stimmen zählen weiterhin. Deine Stimme ist Teil der Gesamtzahl der Partei und wird nicht bei deinem Konto gespeichert, es gibt also nichts davon, das wir gesondert entfernen könnten. Die Löschung deines Kontos hält fest, dass deine Einwilligung in ihre Zählung an diesem Tag widerrufen wurde. Läuft eine Testwahl, in der du abgestimmt hast, beim Löschen noch, werden deine biometrischen Daten vernichtet, wenn diese Wahl endet, und nicht sofort (siehe Abschnitt 4.5).

10. Deine Rechte

Je nachdem, wo du lebst, können dir die folgenden Rechte zustehen. Sie auszuüben kostet dich in der Regel nichts (Abschnitt 10.5), und du wirst nicht anders behandelt, weil du sie ausübst.

• EU/EWR und Vereinigtes Königreich (DSGVO / UK-DSGVO): Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit, Widerspruch und Widerruf der Einwilligung. Wurde eine Entscheidung über dich ausschließlich durch automatisierte Mittel getroffen und hat sie erhebliche Auswirkungen auf dich — die Ablehnung nach Abschnitt 4.1 und die Entscheidung über die Listung nach Abschnitt 5.1 —, hast du außerdem das Recht auf Eingreifen eines Menschen unsererseits, darauf, deinen Standpunkt darzulegen, und darauf, die Entscheidung anzufechten; schreib an privacy@worldrepublic.org. Wir treffen beide Entscheidungen durch automatisierte Mittel, weil jede dieser Entscheidungen für den Dienst erforderlich ist, um den du uns gebeten hast. Bei der Ablehnung ist dieser Dienst eine Testwahl, in der eine verifizierte Person eine Stimme hat. Bei der Entscheidung über die Listung ist dieser Dienst ein Register, in dem jeder Eintrag eine echte Parteiregistrierung ist. Die Ablehnung entscheidet über Daten besonderer Kategorien — deine biometrischen Daten —, und die Grundlage, auf die wir uns dafür stützen, ist die ausdrückliche Einwilligung, die du bei der Gesichtsprüfung erteilst (Abschnitt 4.4). Die Entscheidung über die Listung wird nie nach den politischen Ansichten getroffen, die eine Registrierung ausdrückt; diese Ansichten werden nur als Teil des geprüften Textes gelesen, und du machst sie selbst öffentlich, indem du die Partei zur Veröffentlichung anmeldest (Abschnitt 5.1). Die Antwort nach Abschnitt 5.2 ist in beiden Punkten anders: Für sie wird sehr wohl die Position gelesen, die eine Partei zu KI veröffentlicht, und sie ändert nichts daran, wie deine Partei angezeigt wird, es sei denn, eine lesende Person verlangt, nur die Parteien zu sehen, die sagen, was sie beim Thema KI wollen (Abschnitt 5.2). Du kannst eine Prüfung der Antwort durch einen Menschen anfordern, und du kannst ihr widersprechen, weil wir uns dafür auf unser berechtigtes Interesse stützen (Abschnitt 10.6). Du kannst dich bei deiner örtlichen Aufsichtsbehörde beschweren; für die Zwecke der DSGVO ist unsere federführende Aufsichtsbehörde die ungarische NAIH (Abschnitt 14).
• Schweiz (revDSG): Auskunft, Berichtigung, Löschung, Datenherausgabe und -übertragung (Art. 28 revDSG), Widerspruch und das Recht, sich beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) zu beschweren. Bei der automatischen Ablehnung nach Abschnitt 4.1 kannst du außerdem deinen Standpunkt darlegen und verlangen, dass die Entscheidung von einem Menschen überprüft wird.
• Brasilien (LGPD): Bestätigung, dass wir deine Daten verarbeiten, Auskunft, Berichtigung, Anonymisierung oder Löschung, Übertragbarkeit, Information darüber, an wen wir deine Daten weitergegeben haben, und Widerruf der Einwilligung.
• Kalifornien (CCPA/CPRA): Kenntnis, Löschung, Berichtigung, Widerspruch gegen Verkauf/Weitergabe (wir verkaufen und geben nicht weiter) und Begrenzung der Verwendung sensibler personenbezogener Daten (wozu biometrische Daten gehören).
• Biometriegesetze (Illinois BIPA, Texas CUBI, Washington): Wir holen deine Einwilligung ein, bevor wir biometrische Daten erheben, wir verkaufen, vermieten oder handeln sie nie und ziehen sonst keinen Gewinn aus ihnen, und wir halten uns an einen schriftlichen Speicher- und Vernichtungsplan. Sie sind nie Teil einer Fusion, einer Übernahme oder einer Vermögensübertragung (Abschnitt 6).

Du kannst deine Einwilligung in die Zählung deines Stimmzettels (Abschnitt 5.3) jederzeit widerrufen: Öffne in der App Konto → Verifizierung → Einwilligung zur Verarbeitung meiner Stimmen widerrufen. Der Widerruf gilt für jede Wahl, in der du abgestimmt hast, und wir halten den Tag fest, an dem du widerrufst (Abschnitt 8). Die Rechtmäßigkeit der Zählung deiner Stimmen vor deinem Widerruf bleibt davon unberührt. Eine bereits gezählte Stimme bleibt in der Gesamtzahl der Partei: Deine Stimme ist Teil dieser Gesamtzahl und wird nicht bei deinem Konto gespeichert, es gibt also nichts davon, das wir gesondert entfernen könnten (Abschnitt 9). Der Widerruf verkürzt nicht die Zeiten aus Abschnitt 5.3, in denen ein Stimmzettel noch mit dir verknüpft werden kann. Wenn du das nächste Mal abstimmst, wirst du erneut um deine Einwilligung gebeten.

10.1 Wie du sie ausübst

Es gibt zwei Wege. Der erste beantwortet Auskunft und Datenübertragbarkeit sofort, ohne dass du jemanden fragen musst.

• In der App. Öffne die Einstellungen deines Kontos; unter Konto gibt es eine Zeile mit dem Namen Deine Daten. Sie erstellt eine Kopie von allem, was wir über dich gespeichert haben und von deinem Konto aus erreichen können — eine Seite, die du lesen kannst, und eine maschinenlesbare Datei, die du einem anderen Dienst übergeben kannst. Sie wird in dem Moment erstellt, in dem du sie anforderst, für das Konto, das sie anfordert, und sie wird nirgendwo gespeichert: Wir bewahren keine Kopie davon auf, und es gibt keinen Link, den man jemand anderem schicken könnte. Das ist unsere Antwort auf Auskunft und auf Datenübertragbarkeit, und du musst uns nicht darum bitten. Sie enthält nicht die Bilder, die deine Gesichtsprüfungen bei uns hinterlassen haben: Sie bleiben aus einer Datei heraus, die zum Weitergeben gemacht ist. Lade sie stattdessen unter Konto → Verifizierung herunter, wo sie als eigene Datei kommen — jedes Bild, das unter deinen eigenen Gesichtsprüfungen gespeichert ist, und nie eines, das unter denen von jemand anderem gespeichert ist. Die Löschung deines Kontos findest du auf demselben Bildschirm.
• Schriftlich. Alles andere — Berichtigung, Einschränkung, Widerspruch, eine Frage zu Daten, die bei unseren Anbietern liegen (Abschnitte 4.3 und 6), oder eine Beschwerde über eine Entscheidung — geht an privacy@worldrepublic.org.

Von der Anmeldung bleibt uns keine E-Mail-Adresse von dir (Abschnitt 3.1), wir können deshalb in der Regel nur an eine Adresse antworten, von der aus du uns schreibst. Es gibt eine Ausnahme, und sie ist eng. Wenn du eine Partei meldest, bewahren wir die Adresse auf, die du in dieser Meldung angegeben hast, und wir verwenden sie für diese Meldung und für nichts sonst: um ihren Eingang zu bestätigen und um dir unsere Entscheidung mitzuteilen. Wir verwenden sie nicht, um eine andere Frage zu beantworten, um dich über eine Änderung dieser Erklärung zu informieren oder um dir etwas zu schicken, worum du nicht gebeten hast. Sie ist außerdem Teil des Eintrags zu der Entscheidung, und deshalb bewahrt Abschnitt 8 sie auf, statt sie zu verwerfen, sobald beide Nachrichten heraus sind.

10.2 Wie lange wir brauchen

Balázs Kónya, Vorstandsmitglied, ist dafür verantwortlich, Anfragen an privacy@worldrepublic.org innerhalb der unten genannten Fristen zu beantworten. Wir versprechen keine kürzere interne Frist, als das Gesetz verlangt: Ein Ziel, nach dem niemand arbeitet, ist schlechter als eine eingehaltene gesetzliche Frist, und die Fristen unten sind die, nach denen wir arbeiten.

Die Frist läuft ab dem Tag, an dem deine Anfrage bei uns eingeht — nicht ab dem Tag, an dem wir deine Identifizierung abgeschlossen haben, und nicht ab dem Tag, an dem wir finden, wonach du gefragt hast. Nach der DSGVO und der UK-DSGVO antworten wir unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang. Ist eine Anfrage komplex oder hast du mehrere gestellt, dürfen wir bis zu zwei weitere Monate in Anspruch nehmen; wir teilen dir innerhalb des ersten Monats mit, dass wir das tun, und warum.

Sieht das Recht an deinem Wohnort etwas anderes vor, halten wir uns daran:

• Vereinigtes Königreich. Wenn wir vernünftigerweise weitere Informationen brauchen, um dich zu identifizieren oder um zu finden, wonach du gefragt hast, pausiert die Frist von dem Tag, an dem wir fragen, bis zu dem Tag, an dem du antwortest. Wir fragen nur, wenn wir wirklich nicht ohne sie weiterkommen.
• Brasilien. Wir bestätigen, ob wir deine Daten verarbeiten, und geben dir Zugang dazu in vereinfachter Form sofort und vollständig innerhalb von 15 Tagen nach deiner Anfrage.
• Schweiz. In der Regel antworten wir innerhalb von 30 Tagen. Die Antwort enthält, was Art. 25 Abs. 2 revDSG verlangt, darunter die Empfänger oder Kategorien von Empfängern, an die deine Daten gehen, und, wenn sie ins Ausland gehen, in welches Land und auf welche Garantien wir uns stützen — die Abschnitte 6 und 7 legen beides vorab dar.
• Kalifornien. Wir bestätigen den Eingang innerhalb von 10 Werktagen und antworten innerhalb von 45 Tagen; diese Frist dürfen wir einmal um weitere 45 Tage verlängern, wenn wir dir den Grund nennen.

10.3 Wie wir wissen, dass du es bist

Wir haben kein Ausweisdokument von dir und keine Adresse in den Akten; die folgende Stufenfolge ist deshalb alles, was wir haben. Wir arbeiten sie von oben nach unten ab und halten bei der ersten Stufe an, die dich identifiziert.

1. Dein angemeldetes Konto. Die Kopie in der App und der Download der Bilder aus deinen Gesichtsprüfungen werden für das Konto erstellt, das sie anfordert, in dem Moment, in dem es das tut. Nichts identifiziert dich besser, und deshalb ist sie in Abschnitt 10.1 der erste Weg und nicht bloß eine Bequemlichkeit.
2. Ein Passkey, der für dieses Konto registriert ist. Wenn du die App nicht erreichst, können wir dich bitten, eine Anmeldung mit einem Passkey abzuschließen, den das Konto bereits hat.
3. Das damit verknüpfte Google-Konto. Wenn du dich mit Google angemeldet hast, können wir dich bitten, die Kontrolle über dieses Konto zu zeigen, indem du dich damit anmeldest.
4. Weitere Informationen. Ist nichts davon möglich, können wir dich um weitere Informationen bitten, die wir vernünftigerweise brauchen, um uns zu vergewissern, dass die Anfrage von dir stammt — und um nicht mehr als das.
5. Eine schriftliche Ablehnung. Können wir uns dann immer noch nicht vergewissern, teilen wir dir das schriftlich mit, innerhalb der Frist aus Abschnitt 10.2, mit unseren Gründen und mit dem Beschwerdeweg aus Abschnitt 10.4. Wir lehnen eine Anfrage, die wir nicht zuordnen können, lieber ab, als sie gegenüber der falschen Person zu beantworten.

Eine Wallet-Adresse akzeptieren wir nie als Nachweis dafür, wer du bist. Auszahlungen laufen über öffentliche Blockchains; eine Adresse, die du benutzt hast, ist deshalb etwas, das jede Person nennen kann, die die Blockchain liest. Sie zu kennen beweist nichts, und eine von ihr signierte Nachricht würde die Kontrolle über einen Schlüssel beweisen, nicht die über dieses Konto.

Wir bitten dich auch nicht um ein Ausweisdokument, um eine Anfrage zu beantworten. Wir haben kein Ausweisdokument, mit dem wir es vergleichen könnten; es würde uns also nichts sagen und dich mehr kosten, als die Anfrage wert ist.

10.4 Wenn wir ablehnen

Werden wir auf deine Anfrage hin nicht tätig, sagen wir dir warum, innerhalb der Frist aus Abschnitt 10.2, und wir sagen dir, was du als Nächstes tun kannst. Du kannst dich bei der Datenschutzbehörde an deinem Wohnort beschweren — für die Zwecke der EU bei der ungarischen NAIH, in der Schweiz beim EDÖB, im Vereinigten Königreich beim ICO (Abschnitt 14) — und du kannst vor Gericht gehen. Beides hängt nicht von unserem Einverständnis ab.

Im Vereinigten Königreich hast du außerdem das Recht, dich direkt bei uns zu beschweren. Wir bestätigen den Eingang einer Beschwerde innerhalb von 30 Tagen und teilen dir das Ergebnis unverzüglich mit. Eine Beschwerde bei uns ist keine Voraussetzung für eine Beschwerde beim ICO.

10.5 Was es kostet

Nichts. Ist eine Anfrage offenkundig unbegründet oder exzessiv — insbesondere, wenn sie eine bereits beantwortete wiederholt —, erlaubt uns das Gesetz, ein angemessenes Entgelt zu verlangen oder sie abzulehnen; sollten wir eines von beidem je tun, sagen wir, was und warum. Wir lehnen lieber eine einzelne Anfrage mit Begründung ab, als allen übrigen einen Preis zu geben.

Die maschinenlesbare Datei und der Download der Bilder aus deinen Gesichtsprüfungen teilen sich eine kleine Grenze dafür, wie viele Kopien innerhalb von 24 Stunden erstellt werden können. Das ist kein Entgelt und hat nichts mit Kapazität zu tun: Sie ist da, damit jemand, der an deine Sitzung gelangt, nicht unbemerkt immer wieder deinen gesamten Datenbestand mitnehmen kann. Sie hindert dich nie daran, die Kopie am Bildschirm zu lesen, und nie daran, uns zu schreiben.

10.6 Zwei Rechte, die wir von Hand bearbeiten

Auskunft, Datenübertragbarkeit und Löschung stehen in der App und brauchen keine Anfrage. Einschränkung und Widerspruch nicht. Wir haben keinen Schalter, der die Verarbeitung eines Teils deines Datenbestands aussetzt und den Rest weiterlaufen lässt; eine Anfrage auf Einschränkung oder ein Widerspruch wird deshalb von uns von Hand bearbeitet, Fall für Fall, innerhalb der Fristen aus Abschnitt 10.2. Schreib uns, sag, was gestoppt werden soll und was an deiner Situation es wichtig macht, und wir wägen es ab und teilen dir mit, was wir getan haben. Wir sagen dir lieber, dass das von Hand geschieht, als dich das aus der Dauer schließen zu lassen.

11. Sicherheit

Wir verwenden TLS für die Übertragung und zugriffskontrollierte Speicher. Direkter Zugriff auf unsere Datenbank ist auf die Personen beschränkt, die wir zum Betrieb des Dienstes befugen, auf unsere Datenbank- und Hosting-Anbieter und auf die Software, mit der wir den Dienst betreiben. Eine Kopie unserer Datenbank erstellen wir nur, um eine Änderung am Dienst zu testen oder um nach einer Störung den Betrieb wiederherzustellen, und wir löschen sie, wenn diese Arbeit abgeschlossen ist. Eine Kopie enthält dieselben Daten, und Abschnitt 9 sagt, wie lange sie behält, was wir löschen. Kein System ist vollkommen sicher, aber wir arbeiten daran, deine Daten zu schützen.

12. Kinder

Der Dienst ist für Erwachsene ab 18 Jahren. Bevor wir deine Identität verifizieren, bitten wir dich zu bestätigen, dass du 18 Jahre oder älter bist, und wer das nicht bestätigt, wird von uns nicht verifiziert. Wir halten nur fest, dass die Bestätigung abgegeben wurde und wann; nach deinem Geburtsdatum fragen wir nicht.

Wir erheben wissentlich keine Daten von Personen unter 18. Erfahren wir, dass wir Daten über eine Person unter 18 gespeichert haben, schließen wir ihr Konto und vernichten ihre biometrischen Daten, wie es Abschnitt 2 unserer Richtlinie zur Speicherung und Vernichtung biometrischer Daten darlegt. Wenn du glaubst, dass eine Person unter 18 ein Konto hat, wende dich an privacy@worldrepublic.org.

13. Änderungen

Wir dürfen diese Erklärung aktualisieren. Wenn wir das tun, veröffentlichen wir den neuen Text auf dieser Seite und aktualisieren oben das Datum unter „Zuletzt aktualisiert“. Eine Änderung dieser Erklärung wird mit ihrer Veröffentlichung wirksam. Diese Erklärung beschreibt, was wir tatsächlich mit deinen Daten tun; sie muss deshalb in demselben Moment wahr werden, in dem das Beschriebene wahr wird. Eine Änderung einen Monat lang zurückzuhalten hieße nur, dass diese Erklärung einen Monat lang falsch wäre. Bei den Nutzungsbedingungen ist das anders. Die Nutzungsbedingungen sind die Vereinbarung zwischen dir und uns, und Abschnitt 14 der Nutzungsbedingungen gibt dir 30 Tage, bevor eine wesentliche Änderung dieser Vereinbarung für dich gilt.

Eine Änderung ist absichtlich langsamer. Sollten wir die Frist, für die wir biometrische Daten speichern, je verlängern, gilt die längere Frist für bereits gespeicherte Daten erst, wenn die Änderung 30 Tage lang veröffentlicht war. Abschnitt 6 der Richtlinie zur Speicherung und Vernichtung biometrischer Daten legt das dar, und er regelt die Frist, die in Abschnitt 4.5 und in der Speichertabelle in Abschnitt 8 genannt ist.

Wir können dir keine Mitteilung schicken, wenn sich diese Erklärung ändert. Von der Anmeldung bleibt uns keine E-Mail-Adresse, keine Telefonnummer und keine Postanschrift, denn wir bewahren bewusst keine davon auf (Abschnitt 3.1), und der Dienst trägt kein Banner und keine Nachricht, die es dir sagen könnte. Wenn du eine Partei gemeldet hast, haben wir die Adresse, die du in dieser Meldung angegeben hast — und wir werden sie dafür nicht verwenden und für nichts außer dieser Meldung (Abschnitt 10.1). Das ist die Folge davon, dass wir so wenig aufbewahren: Abgesehen von einer Adresse, die in einer Meldung angegeben wurde, haben wir keine Kontaktdaten von dir. Abschnitt 10.1 sagt dasselbe über alles andere — wir können nur an eine Adresse antworten, von der aus du uns schreibst. Diese Seite ist deshalb die Mitteilung: Der aktuelle Text steht immer hier, und das Datum oben ist das Datum, an dem wir diese Erklärung zuletzt geändert haben.

Diese Erklärung ist auf Englisch verfasst, und wir veröffentlichen sie in weiteren Sprachen. Für dich gilt die Fassung in der Sprache, in der dir der Dienst sie angezeigt hat. Weichen diese Fassung und der englische Text voneinander ab, gilt die Bedeutung, die für dich günstiger ist.

14. Kontakt

• Datenschutz: privacy@worldrepublic.org
• Kontakt in der Europäischen Union: Balázs Kónya, Vorstandsmitglied, 3626 Hangony, Dózsa György út 5., Ungarn (privacy@worldrepublic.org)
• Federführende Aufsichtsbehörde in der EU: Ungarische Nationale Behörde für Datenschutz und Informationsfreiheit (NAIH), Budapest — naih.hu
• Schweizer Aufsichtsbehörde: Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB), Bern
• Aufsichtsbehörde im Vereinigten Königreich: Information Commissioner's Office (ICO), Wilmslow — ico.org.uk