e.PN-Richtlinie zur Zusammenarbeit mit Strafverfolgungsbehörden und staatlichen Stellen

Diese Richtlinie regelt die rechtmäßige Zusammenarbeit des e.PN-Dienstes mit Strafverfolgungsbehörden und anderen staatlichen Stellen im Zusammenhang mit Anfragen zur Offenlegung von Informationen über Nutzer, ihre Konten und Transaktionen.

Diese Richtlinie soll die Einhaltung des geltenden Rechts sowie der Grundsätze der Erforderlichkeit und Verhältnismäßigkeit gewährleisten und die Rechte und berechtigten Interessen von Nutzern und Dritten schützen. Sie richtet sich ausschließlich an zuständige Behörden. Privatpersonen, Rechtsanwälte, Inkassounternehmen und andere kommerzielle Unternehmen sollten sich an den Kundensupport wenden; sie fallen nicht unter dieses Dokument.

Die Zusammenarbeit erfolgt gemäß den Gesetzen der Republik Seychellen und, soweit anwendbar, den internationalen Verträgen. Ersuchen ausländischer Behörden sind grundsätzlich über die Verfahren der gegenseitigen Rechtshilfe (MLA/MLAT) und über die benannten Zentralbehörden einzureichen, sofern das Gesetz nicht ausdrücklich etwas anderes zulässt. Das Unternehmen behält sich das Recht vor, die Zuständigkeit der ersuchenden Behörde und die ordnungsgemäße Verfahrensform des Ersuchens zu überprüfen.

Alle Anfragen zuständiger Behörden sind über den offiziellen Kommunikationskanal e.PN mit dem Betreff „Law Enforcement Request“ einzureichen. Für die Zustellung offizieller Dokumente in Papierform ist folgende Postanschrift zu verwenden: Digital Waves LTD., 306 Victoria House, Victoria, Mahé, Seychellen. Die Anfrage muss von einer offiziellen Domain der Behörde stammen und Angaben zur zuständigen Amtsperson, ihrer Abteilung und ihren Kontaktdaten sowie das Akten-/Geschäftszeichen enthalten.

Eine Anfrage muss Folgendes enthalten:

Vollständiger Name der Behörde, Kontaktdaten und Name der verantwortlichen Person;
Die Rechtsgrundlage, einschließlich des Verweises auf das anwendbare Recht und die Art des Verfahrensdokuments;
Das Akten-/Fallzeichen, das Ausstellungsdatum, die Gültigkeitsdauer und der räumliche Geltungsbereich der Untersuchung;
Kennungen der betroffenen Person (mindestens eine, vorzugsweise mehrere), z. B.: mit dem Konto verknüpfte E-Mail-Adresse und Telefonnummer, e.PN-Benutzerkennung, Angaben zur virtuellen Karte (nur die letzten 4 Ziffern), Transaktionsdetails (Datum/Uhrzeit (UTC)), Betrag, Währung, MCC, Händlerkennung, Details zu Aufladungen/Abhebungen, Kryptowährungstransaktionen (Hash, Wallet-Adressen), technische Kennungen (IP-Adresse, Gerätekennungen);
Eine klare Beschreibung der angeforderten Daten und eines begrenzten Zeitraums, auf den sich die Anfrage bezieht;
Informationen zu einem etwaigen Verbot, den Nutzer zu benachrichtigen, und zur bevorzugten Zustellungsart der Unterlagen.

Das Unternehmen erkennt die folgenden Verfahrensdokumente an und richtet den Umfang der Offenlegung entsprechend aus:

Rechtmäßige Anfrage (eine „Anordnung zur Herausgabe von Informationen“) – grundlegende Konto- und kontoaktivitätsbezogene Informationen im gesetzlich zulässigen Umfang;
Ein Gerichtsbeschluss/Urteil – ein erweiterter Datensatz mit bestimmten historischen Protokollen und Transaktionsinformationen;
Ein Durchsuchungs- und Beschlagnahmebeschluss – Zugriff auf geschützte Daten oder erzwungene Offenlegung unter Einhaltung verfahrensrechtlicher Garantien;
Anordnungen zur Datensicherung („Sicherung“) – vorübergehende Sicherung konkret identifizierter Daten;
Dringende Anfragen („Notfalloffenlegung“) – in Situationen mit unmittelbarer Lebensgefahr und/oder dem Risiko schwerer Körperverletzungen, sofern eine schriftliche Bestätigung einer zuständigen Person vorliegt.

Das Unternehmen kann um Klarstellungen bitten und zu weit gefasste Formulierungen einschränken, um die Grundsätze der Erforderlichkeit und Verhältnismäßigkeit einzuhalten.

Je nach Produkt und tatsächlicher Verfügbarkeit von Datensätzen kann das Unternehmen Folgendes speichern:

Kontoinformationen (Name/Pseudonym, Kontaktdaten, Registrierungsdatum, Kontostatus, Informationen zu Einwilligungen);
KYC/AML-Unterlagen (bereitgestellte Dokumente, Ergebnisse von Sanktionslisten- und PEP-Prüfungen, Prüfungsdaten; Zugang zu Dokumentenkopien wird nur bei ausreichender Rechtsgrundlage gewährt);
Daten zu virtuellen Karten (Typ, ausgebender Partner, die letzten 4 Ziffern der Kartennummer; der Zugriff auf vollständige Kartendaten kann durch die Anforderungen von PCI DSS und die Richtlinien der Bankpartner eingeschränkt sein);
Transaktionsdaten (Autorisierungen und Clearing-Datensätze, Datum/Uhrzeit (UTC), Betrag, Währung, MCC, Händlerkennung, Status, Ablehnungs-/Chargeback-Codes, Aufladungen/Abhebungen und Rückerstattungen);
Informationen zu Kryptowährungstransaktionen, sofern zutreffend (Hash, Adressen, Routing-Metadaten);
Technische Protokolle (IP-Adressen, User-Agent-Zeichenfolgen, zusätzliche Gerätekennungen, Authentifizierungsdatensätze, Telemetriedaten der Risikobewertung in angemessenem Umfang);
Kundensupport-Materialien (Tickets, Korrespondenz, Anhänge, sofern eine ausreichende Rechtsgrundlage besteht).

Das Unternehmen ist kein Messaging-Anbieter, speichert nicht den „Inhalt der Kommunikation“ zwischen Nutzern und führt keine verdeckte Geolokalisierung durch; Standortdaten können nur indirekt in Netzwerkprotokollen enthalten sein.

Verhältnismäßigkeit und Datenminimierung. Das Unternehmen gibt nur die Daten weiter, die für den angegebenen Zweck und innerhalb des festgelegten Zeitraums erforderlich sind. Behörden werden gebeten, Kennungen und den relevanten Zeitraum so genau wie möglich anzugeben.

Benutzerbenachrichtigung. Grundsätzlich verfolgt das Unternehmen die Richtlinie, Nutzer über eingegangene Anfragen zu informieren, sofern eine solche Benachrichtigung nicht gesetzlich oder durch eine gerichtliche Anordnung untersagt ist und kein Risiko von Schäden, der Vernichtung von Beweismitteln oder einer Beeinträchtigung der Ermittlungen entsteht. Soweit gesetzlich zulässig, kann die Benachrichtigung aufgeschoben oder unterlassen werden.

Dringende Anfragen. Bei einer unmittelbar bevorstehenden Lebensgefahr oder der Gefahr schwerer Körperverletzung muss eine befugte Amtsperson einen mit „NOTFALL“ gekennzeichneten Antrag einreichen und schriftlich bestätigen, unter welchen Umständen die Gefahr besteht und warum eine sofortige Offenlegung notwendig ist. Das Unternehmen bearbeitet solche Anträge vorrangig und gibt nur die unbedingt erforderlichen Daten preis.

Bearbeitungszeiten und Prioritäten. Anfragen werden während der Geschäftszeiten des Unternehmens (Montag bis Freitag, 09:00–18:00, UTC+3) bearbeitet, ausgenommen gesetzliche Feiertage. Dringende Anfragen werden rund um die Uhr per E-Mail mit der entsprechenden Kennzeichnung entgegengenommen. Sind gesetzliche Verfahrensfristen vorgeschrieben, bemüht sich das Unternehmen, diese einzuhalten, oder informiert die Behörde über die Notwendigkeit einer Fristverlängerung.

Kostenerstattung. In den nach geltendem Recht vorgesehenen Fällen kann das Unternehmen die Erstattung angemessener, tatsächlich angefallener Kosten verlangen, die mit der Suche, Verarbeitung und Übermittlung von Materialien verbunden sind. Informationen zur Höhe und zum Verfahren der Kostenerstattung werden auf Anfrage der Behörde bereitgestellt.

Klarstellung, Einschränkung oder Ablehnung. Das Unternehmen kann um Klarstellung bitten, den Umfang der Offenlegung begrenzen oder die Erfüllung verweigern, wenn die Anfrage nicht mit geltendem Recht vereinbar ist, außerhalb der Zuständigkeit der Behörde liegt, übermäßig weit gefasst ist, keine ausreichenden Identifikatoren enthält oder ohne eine angemessene Rechtsgrundlage die Rechte und Freiheiten der betroffenen Personen beeinträchtigen würde. Alle Anfragen und diesbezüglichen Maßnahmen werden in den internen Protokollen des Unternehmens festgehalten.

Schlussbestimmungen. Diese Richtlinie kann von Zeit zu Zeit aktualisiert werden; die aktuelle Version ist auf der Website e.pn veröffentlicht. Dieses Dokument ändert weder Nutzungsvereinbarungen noch Datenschutzrichtlinien und gilt zusammen mit ihnen, soweit es um die Zusammenarbeit mit Behörden geht. Mit dem Einreichen einer Anfrage bestätigt die Behörde, dass sie über die entsprechenden Befugnisse verfügt und sich mit der Einhaltung der Anforderungen dieser Richtlinie einverstanden erklärt.