Datenschutz Aareal Authenticator
Informationen zur Datenverarbeitung
Wir, die Aareal Bank AG, nehmen den Schutz personenbezogener Daten ernst und verarbeiten solche Daten ausschließlich gemäß den geltenden gesetzlichen Vorschriften, insbesondere der EU-Datenschutz-Grundverordnung (DS-GVO) und des Bundesdatenschutzgesetzes (BDSG).
Im Folgenden informieren wir Sie gemäß Artikel 13 und 14 der DS-GVO über die Verarbeitung personenbezogener Daten im Zusammenhang mit der Nutzung der App „Aareal Authenticator“ auf mobilen Endgeräten mit iOS oder Android. Diese Datenschutzhinweise ergänzen die allgemeinen Datenschutzhinweise der Aareal Bank AG.
1. Verantwortlicher
Der Verantwortliche im Sinne der DS-GVO ist:
Aareal Bank AG
Paulinenstr. 15
65189 Wiesbaden
datenschutz(at)aareal-bank.com
2. Datenschutzbeauftragter
Unseren Datenschutzbeauftragten erreichen Sie unter:
Datenschutzbeauftragter
c/o Aareal Bank AG
Paulinenstr. 15
65189 Wiesbaden
3. Art, Umfang, Zwecke und Rechtsgrundlagen der Verarbeitungen
Unsere App können wir zwangsläufig nur zur Verfügung stellen, wenn bei der Nutzung von uns bestimmte, für den App-Betrieb erforderliche Daten zu Ihrer Person erhoben werden.
Die App verarbeitet hierzu Daten unter anderem zur Aktivierung, Authentifizierung und Freigabe von Vorgängen auf dem mobilen Endgerät und übermittelt die für den jeweiligen Vorgang erforderlichen Daten an die von der Aareal Bank AG eingesetzten Backend-Systeme. Einzelne Verarbeitungsvorgänge unterscheiden sich abhängig vom Betriebssystem und von den aktivierten App-Funktionen.
Insoweit verarbeiten wir Ihre Daten konkret zu folgenden Zwecken auf Basis der jeweils genannten Rechtsgrundlagen:
(a) Bereitstellung des Authentifizierungsverfahrens: Verarbeitet werden insbesondere Aktivierungs- und Registrierungsdaten, Benutzerkennung, Domain, Geräte- und App-Informationen, Serien- und Sequenznummern, Einmalpasswörter, kryptografische Signaturen sowie Challenge-, Request- und Transaktionskennungen. Eine unverschlüsselte PIN wird nicht übertragen. Die Verarbeitung dient der Aktivierung der App, der Authentifizierung des Nutzers sowie der Freigabe der jeweils angeforderten Vorgänge.
Die Verarbeitung Ihrer personenbezogenen Daten beruht auf Art. 6 Abs. 1 lit. b DS-GVO, soweit sie für die Bereitstellung und Durchführung des Authentifizierungsverfahrens erforderlich ist.
(b) Sicherheit und technische Fehleranalyse: Zur Gewährleistung der Integrität, Funktionsfähigkeit und Stabilität der App werden technische Sicherheitsprüfungen durchgeführt und technische Fehler- und Absturzinformationen verarbeitet. Hierzu können insbesondere Geräte- und Hardwareinformationen, Betriebssysteminformationen, App-Version und Build-Nummer, Sprach- und Regionseinstellungen, Zeitzoneninformationen, Zeitstempel sowie Informationen zu aufgetretenen Fehlern und unmittelbar vorausgehenden App-Ereignissen gehören. Die Daten werden ausschließlich zur Analyse, Behebung und Vermeidung technischer Fehler sowie zur Sicherstellung eines sicheren und störungsfreien Betriebs der App verarbeitet. Die verarbeiteten Daten werden als pseudonyme personenbezogene Daten behandelt.
Die technische Fehleranalyse erfolgt durch einen hierfür eingesetzten Dienstleister.
Die Verarbeitung Ihrer personenbezogenen Daten beruht auf Art. 6 Abs. 1 lit. f DS-GVO. Unser berechtigtes Interesse liegt in der Bereitstellung einer sicheren, stabilen und störungsfreien Authentifizierungsanwendung.
Lokale Speicherung und Gerätefunktionen
Aktivierungs- und Authentifizierungsdaten werden verschlüsselt auf dem mobilen Endgerät gespeichert. Unter iOS erfolgt die Speicherung insbesondere im geschützten App-Container sowie teilweise im iOS-Schlüsselbund oder in der Secure Enclave. Unter Android werden die Daten über einen geschützten Anwendungsspeicher und den Android Keystore abgesichert.
Die Kamera wird zum Scannen von QR-Codes bei der Aktivierung verwendet. Biometrische Funktionen wie Face ID, Touch ID oder Fingerabdruck können optional zum Schutz der PIN eingesetzt werden. Die biometrischen Merkmale werden durch das Betriebssystem verarbeitet und nicht an die Aareal Bank AG übermittelt. Standort, Mikrofon, Kontakte, Fotomediathek und Bluetooth werden hierfür nicht verwendet.
Sicherheits- und Schutzmechanismen der App
Zur Absicherung des Authentifizierungsverfahrens setzt die App technische Schutzmechanismen ein. Diese prüfen die Integrität der Anwendung und erkennen Anzeichen für Manipulationen des Betriebssystems oder unzulässige Eingriffe in die Laufzeitumgebung, beispielsweise auf Geräten mit Jailbreak oder bei eingeschleusten Programmbibliotheken. Wird eine sicherheitsrelevante Manipulation erkannt, kann die App ihre Ausführung beenden oder die Nutzung einzelner Funktionen unterbinden.
Zum Schutz vertraulicher Authentifizierungsinformationen kann die App Bildschirmaufnahmen und Bildschirmaufzeichnungen sowie die Wiedergabe auf externen Bildschirmen erkennen, einschränken oder verhindern.
Die App-Shielding-Funktionen werden vollständig lokal auf dem mobilen Endgerät ausgeführt. Abgesehen von der beschriebenen Fehler- und Absturzanalyse bestehen keine weiteren Verbindungen zu Systemen. Insbesondere erfolgen keine Lizenz-, Update-, Analyse-, Telemetrie- oder sonstigen Diagnoseaufrufe.
Push-Benachrichtigungen
Soweit Push-Benachrichtigungen aktiviert sind, wird unter iOS der Apple Push Notification Service und unter Android Firebase Cloud Messaging eingesetzt. Der jeweilige Gerätetoken wird auf dem Endgerät in eine Benachrichtigungskennung umgewandelt. An das konfigurierte Backend wird nur diese Kennung übertragen. Push-Benachrichtigungen dienen der Zustellung von Authentifizierungs- und Signaturanfragen.
4. Betroffenenrechte
Im Hinblick auf die Verarbeitung Ihrer Daten haben Sie unter den jeweiligen gesetzlichen Voraussetzungen das Recht
· gemäß Art. 15 DS-GVO Auskunft über Ihre von uns verarbeiteten Daten und bestimmte weitere Informationen zu verlangen;
· gemäß Art. 16 DS-GVO die unverzügliche Berichtigung unrichtiger und die Vervollständigung Ihrer bei uns gespeicherten Daten zu verlangen;
· gemäß Art. 17 DS-GVO die Löschung Ihrer bei uns gespeicherten Daten zu verlangen, wenn ein Löschungsgrund besteht und wir kein Aufbewahrungsrecht bzw. keine Aufbewahrungspflicht haben;
· gemäß Art. 18 DS-GVO die Einschränkung der Verarbeitung Ihrer Daten zu verlangen;
· gemäß Art. 20 DS-GVO Ihre Daten, die Sie uns bereitgestellt haben, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten oder die Übermittlung an einen anderen Verantwortlichen zu verlangen (Datenübertragbarkeit).
Widerrufsrecht
Soweit die Verarbeitung Ihrer Daten auf Art. 6 Abs. 1 lit. a) DS-GVO (Einwilligung) beruht, können Sie nach Art. 7 Abs. 3 DS-GVO Ihre Einwilligung jederzeit widerrufen. Bitte beachten Sie, dass in diesem Fall die Rechtmäßigkeit der aufgrund Ihrer Einwilligung bis zum Widerruf erfolgten Verarbeitung unberührt bleibt.
Widerspruchsrecht
Soweit die Verarbeitung Ihrer Daten auf Art. 6 Abs. 1 lit. e) DS-GVO (öffentliches Interesse) oder Art. 6 Abs. 1 lit. f) DS-GVO (Wahrung berechtigter Interessen) beruht, können Sie nach Art. 21 Abs. 1 DS-GVO gegen eine Datenverarbeitung jederzeit aus Gründen, die sich aus Ihrer besonderen Situation ergeben, Widerspruch einlegen. In diesem Fall werden wir Ihre Daten nicht mehr verarbeiten, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
Sämtliche Rechte nach dieser Ziffer 4 – einschließlich des Widerspruchsrechts – können Sie formlos geltend machen. Bitte wenden Sie sich zu diesem Zweck gerne postalisch an
Aareal Bank AG
Paulinenstraße 15
65189 Wiesbaden
oder per E-Mail an
datenschutz(at)aareal-bank.com
5. Beschwerderecht bei einer Aufsichtsbehörde
Sollten Sie der Ansicht sein, dass wir Ihre Daten nicht gemäß den gesetzlichen Vorschriften verarbeiten, haben Sie außerdem das Recht, sich bei der zuständigen Aufsichtsbehörde zu beschweren. Für unser Unternehmen zuständig ist:
Der Hessische Beauftragte für Datenschutz
und Informationsfreiheit
Wilhelmstraße 7
65185 Wiesbaden
6. Weitergabe von Daten
Innerhalb der Aareal Bank AG erhalten diejenigen Stellen Zugriff auf Ihre Daten, die diese zur Erfüllung der vorgenannten Zwecke oder zur Wahrnehmung ihrer sonstigen Aufgaben und Verpflichtungen benötigen.
Ferner erhalten folgende Dienstleister, die wir einsetzen, Zugriff auf Ihre Daten:
| Empfänger | Kategorie |
| Dienstleister für technische Fehler- und Stabilitätsanalyse | Analyse und Behebung technischer Fehler und Abstürze |
| Apple Push Notification Service | Optionale Zustellung von Push-Benachrichtigungen auf iOS-Geräten |
| Firebase Cloud Messaging | Optionale Zustellung von Push-Benachrichtigungen auf Android-Geräten |
| Technische Dienstleister der Aareal Bank AG | Betrieb und Anbindung der für Aktivierung, Authentifizierung und Freigabe erforderlichen Backend-Systeme |
Soweit Dienstleister personenbezogene Daten im Auftrag der Aareal Bank AG verarbeiten, erfolgt dies auf Grundlage der jeweils geltenden datenschutzrechtlichen Vereinbarungen.
Im Übrigen geben wir Ihre personenbezogenen Daten nur weiter, soweit es zur Erfüllung gesetzlicher oder aufsichtsrechtlicher Verpflichtungen erforderlich ist. Unter diesen Voraussetzungen können öffentliche Stellen und Institutionen Ihre personenbezogenen Daten erhalten, z.B. die Deutsche Bundesbank, die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin), die Europäische Bankenaufsichtsbehörde (EBA) sowie die Europäische Zentralbank (EZB).
7. Drittlandtransfers
Im Zusammenhang mit der technischen Fehler- und Stabilitätsanalyse sowie mit der optionalen Nutzung der Push-Dienste von Apple und Google kann eine Verarbeitung personenbezogener Daten in den Vereinigten Staaten von Amerika stattfinden. Soweit personenbezogene Daten in die Vereinigten Staaten übermittelt werden, erfolgt dies auf Grundlage des Angemessenheitsbeschlusses der Europäischen Kommission gemäß Art. 45 DS-GVO. Weitere Informationen zu den eingesetzten Garantien können über die oben genannten Kontaktdaten angefordert werden.
8. Speicherdauer
Wir löschen Ihre Daten, sobald diese für die mit der Verarbeitung verfolgten Zwecke oder aus Gründen der Aufbewahrung für eventuelle Rückfragen nicht mehr erforderlich sind und keine gesetzlichen Aufbewahrungspflichten oder gesetzlichen Rechtfertigungsgrundlagen mehr bestehen.
Die konkrete Speicherdauer ist wie folgt festgelegt:
Art der Daten | Speicherdauer |
| App-, Benutzer- und Aktivierungsdaten im geschützten Anwendungsspeicher | Bis zur Entfernung des eingerichteten Kontos bzw. bis zur Deinstallation der App. Unter Android werden verbleibende App-Daten bei vollständiger Deinstallation entfernt. |
| iOS-Schlüsselbund- und Secure-Enclave-Einträge | Bestimmte technische Einträge können nach einer Deinstallation fortbestehen. Altdaten aus früheren App-Versionen werden nach erfolgreicher Migration gelöscht. |
| Technische Fehler- und Absturzdaten | Die Daten werden für 90 Tage zur Analyse und Behebung technischer Fehler gespeichert und anschließend automatisch gelöscht. |
| Benachrichtigungskennungen | Solange die Push-Funktion aktiviert und die Kennung für die Zustellung von Authentifizierungs- oder Signaturanfragen erforderlich ist. |
9. Pflicht zur Angabe von Daten
Die für Aktivierung, Authentifizierung und Freigabe erforderlichen Daten müssen verarbeitet werden, damit die App bestimmungsgemäß genutzt werden kann. Ohne diese Daten ist die Nutzung des Authentifizierungsverfahrens nicht möglich.
Die für die Aktivierung des Authentifizierungsverfahrens erforderlichen Aktivierungs-, Registrierungs- und Geräteinformationen müssen bereitgestellt werden, damit die App eingerichtet und genutzt werden kann.
Die Nutzung biometrischer Funktionen ist freiwillig und kann durch den Nutzer aktiviert oder deaktiviert werden.
10. Automatisierte Entscheidungsfindung
Wir verarbeiten Ihre Daten nicht für Zwecke der automatisierten Entscheidungsfindung oder der Bewertung persönlicher Aspekte (Profiling).
Stand: Oktober 2026