Verschlüsselung bei Übertragung und im Ruhezustand
Daten sind bei der Übertragung zwischen Bewerber, RentKey und unseren Prüfpartnern verschlüsselt und im Speicher im Ruhezustand erneut verschlüsselt.
Sicherheit & Compliance
Behandelt, wie eine Bank es behandeln würde.
Eine Prüfung funktioniert nur, wenn Bewerber ihr vertrauen und Aufsichtsbehörden sie akzeptieren. So geht es mit den Daten eines Bewerbers genau zu — was sich bewegt, was gespeichert und was verworfen wird und welches Gesetz jeden Schritt regelt — in Kanada und den Vereinigten Staaten.
Datenfluss
Wie sich Bewerberdaten bewegen.
Sechs Schritte, von Anfang bis Ende. Jeder nennt, was gespeichert und was verworfen wird, bevor der nächste Schritt beginnt.
1. Einladung
Der Vermieter oder die Hausverwaltung sendet einen Prüflink per E-Mail oder SMS und wählt, wer zahlt und welches Paket läuft.
Gespeichert: der Einladungsdatensatz — an wen sie gesendet wurde, wann und welches Paket. Verworfen: noch nichts — es wurden keine Bewerberdaten erhoben.
2. Einwilligung & Hinweise
Der Bewerber sieht, wer anfragt, was genau geprüft wird und warum — und willigt ein, bevor etwas läuft.
Gespeichert: der Einwilligungsnachweis samt Zeitstempeln, dem Bericht beigefügt. Verworfen: nichts — das ist der rechtliche Nachweis dessen, was vereinbart wurde.
3. Identität auf dem Gerät
Auf dem eigenen Smartphone scannt der Bewerber einen Reisepass, Führerschein oder eine PR- bzw. Green Card und absolviert einen Live-Gesichtsscan mit Liveness- und Manipulationsprüfungen — etwa drei Minuten.
Gespeichert: das Abgleichsergebnis und ein signierter Verifizierungs-Hash. Verworfen: das Ausweisbild und jedes Bild des Gesichtsscans, sobald OCR und Abgleich abgeschlossen sind.
4. Prüfungen laufen gegen die verifizierte Identität
Bonitäts-, Sanktions-, Strafverfolgungs- und Gerichtsprüfungen laufen parallel, abgeglichen mit der soeben verifizierten Identität — nicht mit einem eingetippten Namen.
Gespeichert: was jede Quelle geliefert hat und wann sie durchsucht wurde. Verworfen: eine SIN oder SSN, falls angegeben — sie wird nur für diese Anfrage bei der Auskunftei verwendet und nicht behalten.
5. Bericht erstellt & signiert
Der verständliche Bericht wird aus den obigen Ergebnissen erstellt, jede Quelle mit ihrer Suchzeit benannt, und das fertige PDF erhält einen signierten Hash.
Gespeichert: der fertige Bericht und sein signierter Hash, sieben Jahre lang. Verworfen: nichts Neues — dieser Schritt bündelt, was bereits behalten wurde.
6. Per befristetem Link geteilt — die Aufbewahrungsfrist beginnt
Der Vermieter öffnet den Bericht über einen befristeten Link, nie über einen E-Mail-Anhang. Jedes Öffnen wird protokolliert, und die siebenjährige Aufbewahrungsfrist beginnt zu laufen.
Gespeichert: Einträge im Aktivitätsprotokoll für jedes Öffnen und der Bericht bis zum Ende der Frist. Verworfen: der Bericht und sein Einwilligungsnachweis, automatisch, wenn die Frist endet.
Datenverarbeitung
Aufbewahrung biometrischer Daten: was wir behalten, was nicht.
Die Aufbewahrungsliste ist absichtlich kurz — je weniger Rohmaterial wir halten, desto weniger gibt es zu schützen oder zu verlieren.
Behalten
Verifizierungsergebnis & signierter Hash Bericht als PDF, sieben Jahre Einwilligungsnachweis Einträge im Aktivitätsprotokoll
Nicht behalten
Bilder des Gesichtsscans Bilder des Ausweisdokuments, nach OCR Biometrische Templates SIN / SSN, über die Anfrage bei der Auskunftei hinaus
Kontrollen
Die Mechanik, es sicher zu halten.
Rollenbasierter Zugriff & 2FA
Mitarbeitenden- und Kundenkonten sehen nur, was ihre Rolle erfordert. Die Zwei-Faktor-Authentifizierung ist für jedes Konto verfügbar.
Befristete Freigabelinks
Berichte werden über einen Link geteilt, der abläuft, nie als E-Mail-Anhang, der unbegrenzt in einem Posteingang liegt.
Aktivitätsprotokoll
Ein nur anfügbarer Nachweis, wer einen Bericht wann geöffnet hat. Nichts darin kann nachträglich bearbeitet oder entfernt werden.
So funktioniert das ProtokollHerkunfts- & Geräteforensik
Technische Details darüber, wo und wie auf einen Bericht zugegriffen wurde, werden getrennt vom Bericht selbst aufbewahrt und nur auf Anfrage freigegeben — auch diese Freigabe wird protokolliert.
Aufbewahrung & Löschung
Berichte werden sieben Jahre aufbewahrt. Wenn die Frist endet, werden sie aus den Systemen von RentKey gelöscht, und die Löschung wird verifiziert, nicht vorausgesetzt.
Compliance-Übersicht
Wo jede Regel im Produkt auftaucht.
Keine Zusammenfassung einer Richtlinie — eine Zeile-für-Zeile-Zuordnung von jedem Grundsatz oder jeder Anforderung zu dem, was RentKey tatsächlich tut.
Die Grundsätze der fairen Informationspraxis nach PIPEDA
| Grundsatz | Wie RentKey ihn umsetzt |
|---|---|
| Verantwortlichkeit | RentKey und Crown Stack Systems sind von der Erhebung bis zur Löschung für personenbezogene Daten verantwortlich. |
| Festlegung der Zwecke | Dem Bewerber wird genau mitgeteilt, was geprüft wird und warum, bevor etwas läuft. |
| Einwilligung | Nichts wird geprüft, bis der Bewerber im Ablauf einwilligt, und die Anfrage wird protokolliert. |
| Begrenzung der Erhebung | Es werden nur die Felder erhoben, die jede Prüfung braucht; für den Bericht ist keine SIN oder SSN nötig. |
| Begrenzung von Verwendung, Weitergabe & Aufbewahrung | Daten werden nur zur Erstellung des Berichts verwendet, nur per befristetem Link geteilt und gelöscht, wenn die siebenjährige Aufbewahrungsfrist endet. |
| Richtigkeit | Die Identität wird mit amtlichen Dokumenten und einem Live-Scan abgeglichen; Bonitäts-, Sanktions- und Gerichtsergebnisse stammen direkt aus der Quelle. |
| Sicherheitsvorkehrungen | Verschlüsselung bei Übertragung und im Ruhezustand, rollenbasierter Zugriff, 2FA und ein nur anfügbares Aktivitätsprotokoll. |
| Transparenz | Diese Seite und der Beispielbericht beschreiben in verständlicher Sprache genau, was mit den Informationen eines Bewerbers geschieht. |
| Auskunftsrecht | Bewerber können beim Vermieter oder der Hausverwaltung, die den Bericht bestellt hat, anfragen, was über sie erhoben wurde. |
| Beschwerde über die Einhaltung | Bewerber können einen Befund direkt bei RentKey anfechten oder bei der Auskunftei, wenn es sich um von der Auskunftei gemeldete Angaben handelt. |
Der US-amerikanische FCRA: wer was tut
| Anforderung | RentKey | Vermieter |
|---|---|---|
| Zulässiger Zweck | Bestätigt, dass der Bericht für eine Mietentscheidung angefordert wird | Nennt und hält den zulässigen Zweck für den Abruf |
| Einwilligung des Bewerbers | Erfasst die Einwilligung im Bewerberablauf, bevor Prüfungen laufen | Muss keine gesonderte Einwilligung außerhalb des Ablaufs einholen |
| Mitteilung bei ablehnender Entscheidung | Liefert den Mitteilungstext und die Hinweise im Bericht | Sendet dem Bewerber die Mitteilung, wenn er auf Grundlage des Berichts abgelehnt wird |
| Widersprüche | Prüft angefochtene Treffer bei Sanktionen, Gerichten oder Strafverfolgung von Hand | Verweist Bewerber bei Streitigkeiten über von der Auskunftei gemeldete Angaben an die Auskunftei |
| Datenmeldung | Meldet keine Bewerberdaten an Auskunfteien oder andere Stellen | Berichtsnutzer, nicht Datenlieferant, in diesem Modell |
Menschenrechte & Fair Housing
Ein Bericht ist nur so fair wie seine Verwendung.
RentKey kann Ihnen überprüfbare Fakten liefern. Was Sie damit tun, liegt weiterhin bei Ihnen — so bleibt es fair.
Was dieser Bericht auslässt.
Kein Social-Media-Scoring, keine geschützten Merkmale, nichts über überprüfbare Identität, Bonität, Sanktionen, Strafverfolgungs- und Gerichtsakten hinaus. Was kein Fakt ist, auf den Sie rechtmäßig reagieren dürfen, steht nicht im Bericht.
Legen Sie jedes Mal denselben Maßstab an.
Entscheiden Sie, was einen Bewerber disqualifiziert, bevor Sie irgendjemanden prüfen, und wenden Sie das bei jeder Bewerbung für eine Einheit oder ein Gebäude gleich an. Ein Bericht ist nur fair, wenn er konsequent verwendet wird.
Dokumentieren Sie die Entscheidung, nicht nur das Ergebnis.
Halten Sie fest, worauf eine Ablehnung beruhte und welche Mitteilung Sie gesendet haben. Wird eine Entscheidung je infrage gestellt, zeigen der Bericht und das Aktivitätsprotokoll genau, was gesehen wurde und wann.
Verwenden Sie die Mitteilung, jedes Mal.
Hat ein Bericht zur Ablehnung eines Bewerbers beigetragen, senden Sie die beigefügte Mitteilung bei ablehnender Entscheidung — nach dem US-amerikanischen FCRA vorgeschrieben und überall, wo RentKey tätig ist, gute Praxis.
Verantwortungsvolle Offenlegung
Eine Schwachstelle melden.
Wenn Sie ein Sicherheitsproblem in RentKey gefunden haben, sagen Sie es uns, bevor Sie es jemand anderem sagen. Schreiben Sie an info@rentkey.ca mit „Security" in der Betreffzeile — eine eigene Sicherheitsadresse folgt mit der allgemeinen Verfügbarkeit.
Bitte angeben
- Was Sie gefunden haben und wo
- Schritte zur Reproduktion
- Welche Auswirkung Sie vermuten
Wir verpflichten uns zu
- Ihre Meldung zu bestätigen
- Bestätigte Probleme zu untersuchen und zu beheben
- Sie zu nennen, wenn Sie das möchten
Wir betreiben in dieser Phase kein bezahltes Bug-Bounty-Programm.
Fragen
Klare Antworten.
Wo werden Daten gespeichert?
In Kanada und den Vereinigten Staaten. Wir nennen die konkrete Region für Ihr Konto bei der Einrichtung, abhängig davon, wo Sie tätig sind.
Verkaufen Sie Daten?
Nie. RentKey verkauft Bewerber- oder Kundendaten an niemanden, zu keinem Zweck.
Können Mitarbeitende Berichte lesen?
Nur Mitarbeitende, deren Rolle es erfordert, und jeder Zugriff wird protokolliert — dieselbe Art von Nachweis, die das Öffnen durch Ihr eigenes Team im Aktivitätsprotokoll erhält.
Was passiert bei einer Datenpanne?
Wir benachrichtigen betroffene Kunden und die zuständigen Aufsichtsbehörden, wie es das Gesetz verlangt, und sagen Ihnen klar, was geschehen ist und was wir dagegen tun.
Kann ich einen Auftragsverarbeitungsvertrag erhalten?
Ja, für Hausverwaltungen und Plattformpartner. Fordern Sie ihn über den Kontakt an.
Früher Zugang
Hören Sie auf, an der Tür zu raten. Prüfen Sie das ganze Bild.
Sagen Sie uns, wo Sie tätig sind und wie viele Einheiten Sie verwalten. Wir antworten innerhalb eines Werktags.
