Tritt mit der Veröffentlichung in Kraft
Weicht diese Politik von der Charta ab, so gilt die Charta, und weicht die Charta von der Erklärung ab, so gilt die Erklärung. Die allgemeinen Regeln der Verarbeitung personenbezogener Daten stehen in der Datenschutzerklärung.
Sie dienen einem einzigen Zweck: nachzuweisen, dass hinter jeder Stimme ein lebender, einmaliger Mensch steht. Das ist die Grundlage des Vertrauens zwischen einander unbekannten Menschen - und nichts weiter. Das System ist so entworfen, dass es sich nicht zur Überwachung verwenden lässt.
Der Mensch ist wichtiger als die Papiere. Ihre Zugehörigkeit zum Volk bestimmt Ihre freie Wahl und nicht ein Pass oder eine Staatsangehörigkeit. Die Aufgabe der Prüfung ist keine Anerkennung von außen, sondern der Nachweis einer einfachen Tatsache: Sie sind Sie, und Sie sind einer.
1. Nachweis der Einmaligkeit, nicht Kontrolle. Die Prüfung schützt das Volk vor Mehrfachanmeldungen, schafft aber keine Grundlage für eine Überwachung.
2. Die Zugehörigkeit wird persönlich nachgewiesen. Staatliche Papiere bleiben an ihrem Platz: Die Prüfung gleicht nur die Person ab und ersetzt nichts.
3. Vertrauen durch Prüfung. In einer Gemeinschaft ohne zentrale Gewalt schafft eine nachgewiesene Einmaligkeit eine Grundschicht des Vertrauens. Das gewährleistet keine Redlichkeit in einem bestimmten Geschäft, beseitigt aber die anonyme Vielfachheit von Konten als Quelle von Beeinflussung.
4. Schutz vor Missbrauch. Die Trennung der Speicher, die Verschlüsselung und die praktische Unmöglichkeit, aus den gespeicherten Daten ein Bild wiederherzustellen, sind so eingerichtet, dass sich das System nicht für eine massenhafte Beobachtung verwenden lässt.
Diese Politik bestimmt die Verarbeitung biometrischer Daten bei der Unterzeichnung der Erklärung, beim Erhalt des Status als Earthling und bei der Teilnahme an der Infrastruktur des Volkes.
Biometrische Daten gehören nach Artikel 9 der DSGVO zu einer besonderen Kategorie personenbezogener Daten und werden ausschließlich aufgrund Ihrer ausdrücklichen Einwilligung verarbeitet (Artikel 6 Absatz 1 Buchstabe a und Artikel 9 Absatz 2 Buchstabe a der DSGVO).
Das ist die einzige Grundlage: Weder die Erfüllung eines Vertrags noch ein berechtigtes Interesse machen eine besondere Kategorie von Daten für sich genommen zulässig.
Die Prüfung ist freiwillig. Sie sind befugt, die Einwilligung jederzeit zu widerrufen, indem Sie sich an privacy@earth-lings.org wenden.
Was beim Widerruf geschieht:
Wir können Ihren Pass nicht für Sie entwerten. Die Charta (Artikel 21) lässt eine Entwertung gegen den Willen des Inhabers nur in zwei Fällen zu - die Aufhebung einer unwirksamen Ausgabe durch Beschluss der Vollversammlung und die technische Neuausgabe auf Ihren eigenen Antrag. Der Widerruf der Einwilligung steht nicht unter ihnen, und die Plattform bewahrt Ihre Schlüssel nicht auf. Widerrufen Sie die Einwilligung und entwerten den Pass nicht, so löschen wir die Daten auf unserer Seite, doch der Eintrag im Register bleibt bestehen, bis Sie ihn entwerten.
Die vollständige Aufzählung und die Rechtsgrundlagen stehen in der Datenschutzerklärung. Für die Prüfung sind erforderlich:
Wirklicher Vor- und Nachname werden nicht gespeichert. Die Angaben des Papiers werden nur im Augenblick der Prüfung verwendet - zum Abgleich des Gesichts mit dem Papier und zum Nachweis der Einmaligkeit - und nach ihrem Abschluss gelöscht. Ihr Pseudonym bleibt Ihr öffentlicher Name.
Was der Status nicht gibt. Der Pass gibt keine Staatsangehörigkeit und kein Aufenthaltsrecht, keine Visarechte, keine Geltung in staatlichen Stellen und ersetzt die Papiere Ihres Landes nicht. Das Volk der Earthlings besitzt keine Völkerrechtspersönlichkeit und kann niemandes Interessen vor Gerichten oder vor staatlichen Stellen vertreten. Die vollständige Aufzählung steht in den Dokumenten Der Weg des Earthling und Der SBT-Pass.
Papier → Gesicht → Prüfung der lebenden Anwesenheit → Abgleich von Papier und Gesicht → Ergebnis → geschützte Speicherung des Ergebnisses
Was nach der Prüfung bleibt. Lichtbilder, Scans von Papieren und biometrische Vorlagen werden nicht gespeichert. Es bleiben: der Status der Prüfung (bestanden oder nicht) und nicht umkehrbare kryptografische Hashes, die aus der Nummer des Papiers und aus der Verbindung des Namens mit dem Land berechnet sind.
Die Hashes verbieten keine Rückkehr. Sie verhindern nur, dass ein Mensch zwei gültige Pässe zugleich hat: Bei einem erneuten Beitritt findet das System eine Übereinstimmung, vergewissert sich, dass der frühere Pass entwertet ist, und gibt einen neuen aus.
Genau zum Status der Hashes. Ein Hash ist nicht umkehrbar: Einen Namen oder eine Nummer eines Papiers lässt sich aus ihm nicht lesen. Doch er erlaubt es, einen bestimmten Menschen unter anderen herauszugreifen - sonst erfüllte er seine Aufgabe nicht. Deshalb sind das nach der DSGVO pseudonymisierte und keine anonymen Daten, und der Schutz personenbezogener Daten erstreckt sich in vollem Umfang auf sie. Wir nennen sie nicht anonymisiert, weil das ungenau wäre.
Die allgemeinen Maßnahmen sind in der Datenschutzerklärung beschrieben; unten stehen die für die biometrischen Daten besonderen.
Geschützte Übertragung. Alle Daten werden über geschützte Kanäle mit durchgehender Verschlüsselung zwischen Ihrem Gerät und den Servern des Systems der Prüfung übertragen.
Verschlüsselung bei der Speicherung. Die Hashes werden verschlüsselt gespeichert (AES-256). Die Entschlüsselungsschlüssel werden getrennt von den Daten aufbewahrt.
Trennung der Speicher. Die Hashes und die Ergebnisse der Prüfung werden getrennt von den Daten des Kontos aufbewahrt.
Sofortige Löschung der Ausgangsmaterialien. Lichtbilder und Scans werden sogleich nach dem Abschluss der Prüfung gelöscht.
Zugangskontrolle. Mehrstufige Authentifizierung und Protokollierung: Alle Zugriffe auf die Daten der Prüfung werden festgehalten und können überprüft werden.
Die Philosophie der Sicherheit: Der beste Schutz ist, wenn es nichts zu stehlen gibt. Wir speichern nicht das, was gegen Sie verwendet werden kann.
Die allgemeinen Rechte eines Teilnehmers stehen in der Datenschutzerklärung und in den Nutzungsbedingungen. Unten stehen die für die biometrischen Daten besonderen.
Die Einwilligung widerrufen - jederzeit, der Ablauf und die Folgen sind in Abschnitt 02 beschrieben.
Die Prüfung erneut durchlaufen. Hat sich das Aussehen erheblich verändert und erkennt die Prüfung Sie nicht, so durchlaufen Sie sie erneut. Die Vorlage wird dabei nicht „aktualisiert“: Sie wird nirgends aufbewahrt, der Abgleich erfolgt jedes Mal von Grund auf.
Eine Überprüfung durch einen Menschen verlangen. Eine selbsttätige Ablehnung ist nicht endgültig (Artikel 22 der DSGVO). Sie sind befugt, Ihre Position darzulegen und das Ergebnis anzufechten. Nach zwei erfolglosen selbsttätigen Versuchen geht die Sache ohne gesonderten Antrag an einen Menschen über. Die Zahl der wiederholten Einreichungen ist nicht begrenzt.
Eine Beschwerde einreichen bei der Aufsichtsbehörde für den Datenschutz Ihres Landes; der Ablauf steht in der Datenschutzerklärung.
Die Aufzählung ist abschließend: Eine Verarbeitung zu anderen Zwecken findet nicht statt.
Was wir nicht tun. Wir verfolgen keinen Aufenthaltsort. Wir werten kein Verhalten aus. Wir verkaufen keine Daten an Dritte. Wir bilden keine Profile für Werbung. Wir verwenden das System nicht zur Beobachtung. Wir geben Daten an staatliche Stellen nur auf eine rechtskräftige gerichtliche Entscheidung oder eine ihr gleichwertige rechtmäßige Anforderung weiter, deren Rechtmäßigkeit in jedem Fall geprüft wird.
Über erfüllte Anforderungen wird der Teilnehmer benachrichtigt, sofern die Entscheidung selbst das nicht verbietet. Eine Übersicht solcher Fälle wird im Transparenzbericht veröffentlicht.
Der Code des Smart Contracts des Passes ist unter der Lizenz MIT offen und im Explorer des Netzes überprüfbar.
Der Code des Systems der Identitätsprüfung ist verschlossen - eben deshalb, weil er mit personenbezogenen Daten arbeitet und seine Veröffentlichung die Umgehung des Schutzes erleichtern würde. Das ist eine bewusste Wahl und kein Verschweigen; die Aufzählung mit den Gründen steht im Dokument Wo wir jetzt stehen.
Als Ausgleich für die Verschlossenheit übernehmen wir Folgendes:
Fragen der Ethik der Verarbeitung biometrischer Daten werden dem Unabhängigen Rat zur Behandlung vorgelegt - einem Organ, das denen nicht untersteht, die die Plattform betreiben. Bis zur Bildung des Rates behandelt solche Fragen die DAO-Vollversammlung, und die Fristen der öffentlichen Beratung verdoppeln sich (Charta, Artikel 39).
Vorschläge zur Änderung dieser Politik werden der Vollversammlung zur Abstimmung vorgelegt.
Was nicht gespeichert wird: wirkliche Vor- und Nachnamen; Nummern von Pässen und Papieren; genaue Geburtsdaten; Wohnanschriften; Lichtbilder und biometrische Vorlagen; Telefonnummern, außer in Fällen der Zwei-Faktor-Authentifizierung.
Was gespeichert wird: das Pseudonym; die E-Mail-Adresse; der Nachweis des Alters ab 18; das Wohnsitzland (für die Statistik); der Status der Identitätsprüfung; die Verbindung mit dem Pass; das Datum des Erhalts des Status.
Das Register folgt dem Grundsatz der Datensparsamkeit nach der DSGVO. Gespeichert wird nur das Notwendige: die nachgewiesene Einmaligkeit, die Verbindung mit dem Pass für die Teilnahme an Entscheidungen, eine innere Kennung für die Verteilung von Vergütungen.
Lichtbilder und Scans werden sogleich nach der Prüfung gelöscht, doch ihr Ergebnis bleibt gültig und überprüfbar - ähnlich wie ein Staat bei der Ausgabe eines Passes keine biometrischen Proben dauerhaft speichert, obwohl die Tatsache der Ausgabe gültig bleibt.
Die Verbindung zwischen der wirklichen Person und dem Pseudonym wird nicht aufbewahrt. Die Angaben des Papiers werden nur im Augenblick der Prüfung verarbeitet. Im Register bleiben das Pseudonym, der Status der Prüfung und der kryptografische Nachweis der Einmaligkeit. Diese Architektur schließt die Offenlegung der Person eines Teilnehmers aus - gegenüber anderen Teilnehmern, gegenüber Verwaltern und gegenüber Dritten -, weil es nichts offenzulegen gibt.
Können Sie mein Gesicht aus dem wiederherstellen, was Sie speichern? Nein. Die biometrische Vorlage wird überhaupt nicht gespeichert: Der Vergleich erfolgt im Augenblick der Prüfung, danach werden die Ausgangsdaten gelöscht. Es bleiben nicht umkehrbare Hashes, aus denen sich weder Bilder noch Angaben eines Papiers gewinnen lassen.
Was geschieht, wenn ich mein Telefon verliere? Die Daten der Prüfung sind sicher. Zur Wiederherstellung des Zugangs genügt es, die Anwendung auf einem neuen Gerät zu installieren und die Prüfung erneut zu durchlaufen.
Können meine biometrischen Daten entwendet werden? Entwenden lassen sich nur verschlüsselte, nicht umkehrbare Hashes, die ohne die Entschlüsselungsschlüssel nutzlos sind. Aus ihnen ein Bild des Gesichts wiederherzustellen ist praktisch unmöglich.
Ist es verbindlich, den wirklichen Namen anzugeben? Nein. Wirklicher Vor- und Nachname werden nicht gespeichert. Die Angaben des Papiers werden nur im Augenblick der Prüfung überprüft und danach gelöscht. Im täglichen Umgang sind Sie unter dem Pseudonym bekannt.
Was geschieht mit den Daten beim Austritt? Die Verbindung zwischen den Daten der Prüfung und Ihrer Person wird getrennt. Die pseudonymisierten Hashes bleiben ausschließlich dafür erhalten, dass ein Mensch nicht zwei gültige Pässe haben kann. Der Rückkehr steht das nicht entgegen.
Was tun, wenn sich das Aussehen erheblich verändert hat? Die Prüfung erneut durchlaufen. Eine gespeicherte Vorlage, die zu aktualisieren wäre, gibt es nicht.
Was, wenn die Prüfung abgelehnt wird? Sie erhalten eine Benachrichtigung über die Gründe. Nach ihrer Behebung lässt sich der Versuch wiederholen - zum Beispiel mit besseren Bildern oder einem anderen Papier. Sind Sie nicht einverstanden, so sind Sie befugt, eine Überprüfung durch einen Menschen zu verlangen, und nach zwei erfolglosen selbsttätigen Versuchen geschieht eine solche Überprüfung selbsttätig.
Wem sind mein wirklicher Vor- und Nachname zugänglich? Niemandem: Sie werden nicht gespeichert. Das Volk kann Daten, über die es nicht verfügt, technisch nicht offenlegen.
Geben Sie Daten an Staaten weiter? Nur auf eine rechtskräftige gerichtliche Entscheidung oder eine gleichwertige rechtmäßige Anforderung - der Ablauf und die Benachrichtigung des Teilnehmers sind in der Datenschutzerklärung beschrieben.
Die Politik wird mit der Entwicklung der Technik und der Gesetzgebung aktualisiert. Änderungen werden unter Angabe des Datums des Inkrafttretens veröffentlicht.
Der Ablauf der Änderung - eine Benachrichtigung mindestens 30 Tage im Voraus, die Veröffentlichung der Aufzählung der Änderungen und das Recht zu widersprechen - ist in der Datenschutzerklärung festgelegt.
Für Fragen zur Identitätsprüfung: privacy@earth-lings.org