Datenschutzerklärung

Wer wir sind

Image Registrars Limited („Image Registrars“, „wir“, „uns“) ist ein Registerführer für Aktien in Kenia. Wir führen die Aktienregister von Unternehmen („Emittenten“) und betreiben die Website und die mobile App Investor Portal („das Portal“), damit deren Aktionäre ihre Bestände einsehen und verwalten können.

Für Ihr Portalkonto und die Angaben, die Sie uns über das Portal machen, sind wir Verantwortlicher im Sinne des kenianischen Datenschutzgesetzes (Data Protection Act, 2019). Das Aktienregister selbst gehört dem Emittenten: Wir führen es in dessen Auftrag als Auftragsverarbeiter.

So erreichen Sie uns:

• Adresse: 5th Floor, Absa Towers, Loita Street, P.O. Box 9287-00100 GPO, Nairobi, Kenya
• Telefon: +254 709 170 000
• E-Mail: info@image.co.ke (bitte schreiben Sie „Data protection“ in die Betreffzeile)
• Website: www.image.co.ke

Was wir erheben

Wir erheben, was Sie uns mitteilen, was das Register des Emittenten bereits über Sie enthält, und eine kleine Menge technischer Daten, wenn Sie das Portal nutzen:

• Konto: Ihre E-Mail-Adresse, Mobilnummer und bevorzugte Sprache. Ihr Passwort wird vom Anmeldedienst von Microsoft verwaltet, der Sie für uns anmeldet; wir sehen es nie.
• Identität: Ihr vollständiger Name, Ihre Staatsangehörigkeit, Ihre Personalausweis- oder Passnummer, Ihr Geburtsdatum und Ihre Adresse sowie die Registernummer eines Unternehmens, wenn Sie für ein Unternehmen handeln.
• Dokumente: Kopien Ihres Ausweises oder Reisepasses und eines Adressnachweises sowie die Unterlagen, die Ihre Berechtigung belegen, für einen Bestand zu handeln, etwa ein Gesellschafterbeschluss, ein Erbschein oder eine Nachlassverwalterbestellung (grant of probate oder letters of administration), eine Vollmacht, eine Geburts- oder Sterbeurkunde oder ein Kontoauszug eines gemeinsamen Kontos.
• Bestände: Ihre CDSC-Kontonummer und die Aktien, Dividenden und Zahlungen, die im Register des Emittenten auf Ihren Namen verzeichnet sind.
• Profil: Ihr Geschlecht, Familienstand, Ihre KRA PIN, Ihr Beruf, Ihr Arbeitgeber, die Herkunft Ihrer Mittel, ob Sie eine politisch exponierte Person sind, Ihr County und Wahlkreis sowie Ihre nächsten Angehörigen (Name, Verwandtschaftsverhältnis, Telefonnummer, Ausweis- oder Passnummer und Anspruchsanteil).
• Zahlungsdaten: das Bankkonto oder die Mobile-Money-Nummer, auf die Ihre Dividenden ausgezahlt werden.
• Behinderung (freiwillig): ob Sie eine Behinderung haben, welcher Art sie ist und welche Unterstützung Sie benötigen. Dies sind sensible personenbezogene Daten. Sie entscheiden, ob Sie sie angeben, und können Ihre Antwort jederzeit ändern.
• Anfragen und Nachrichten: die Anfragen, Übertragungen, Änderungen und Anträge auf UFAA-Schreiben, die Sie senden, Genehmigungen durch Mitinhaber sowie die Nachrichten und Dateien, die mit unseren Mitarbeitenden ausgetauscht werden.
• Geräte- und Sicherheitsdaten: die Art des Geräts, das Sie verwenden, das Benachrichtigungs-Token der App, die IP-Adresse sowie Browser- oder App-Angaben bei Anmeldungen und wichtigen Aktionen und die Einmalcodes, die wir senden, um Ihre Telefonnummer oder eine sensible Änderung zu bestätigen. Diese Codes speichern wir nur in verschlüsselter (gehashter) Form, und sie verfallen innerhalb weniger Minuten.

Wie wir sie verwenden und warum wir dazu berechtigt sind

• Um Ihr Konto zu betreiben: es anzulegen, Sie anzumelden und es sicher zu halten. Das benötigen wir, um Ihnen das Portal bereitzustellen.
• Um Sie zu überprüfen: Ihre Identität und Ihre Dokumente zu prüfen und Sie dem Register zuzuordnen, bevor wir Ihnen einen Bestand anzeigen. Das Gesetz verlangt dies (das kenianische Gesetz gegen Erträge aus Straftaten und Geldwäsche, Proceeds of Crime and Anti-Money Laundering Act, 2009, sowie Kapitalmarktvorschriften), und es schützt Sie davor, dass jemand anderes Ihre Aktien für sich beansprucht.
• Um Ihre Anfragen zu bearbeiten: Anfragen, Übertragungen, Änderungen und UFAA-Schreiben zu prüfen und zu bearbeiten und das Register auf Weisung des Emittenten zu aktualisieren.
• Um Dividenden auszuzahlen: auf das von Ihnen benannte Konto zu zahlen, Steuern unter Verwendung Ihrer KRA PIN abzuziehen, wie es das kenianische Einkommensteuergesetz (Income Tax Act) verlangt, und nicht eingeforderte Dividenden an die Unclaimed Financial Assets Authority (UFAA, Behörde für nicht eingeforderte Vermögenswerte) abzuführen, wie es das kenianische Gesetz über nicht eingeforderte Vermögenswerte (Unclaimed Financial Assets Act, 2011) verlangt.
• Um Sie auf dem Laufenden zu halten: Bestätigungscodes, Statusmeldungen zu Anfragen und Dividendenmitteilungen per E-Mail, SMS und App-Benachrichtigung zu senden. Diese gehören zum Dienst.
• Um Ankündigungen zu versenden: Einladungen zur Hauptversammlung und andere Ankündigungen der Emittenten über die Kanäle zu senden, die Sie zulassen. Unter Kommunikationseinstellungen können Sie Kanäle ausschalten oder sich von allen Ankündigungen abmelden.
• Um das Portal zu schützen: ein Prüfprotokoll zu führen, Betrug und Missbrauch zu erkennen und Probleme zu beheben. Das liegt in unserem und in Ihrem berechtigten Interesse und ist teils gesetzlich vorgeschrieben.
• Angaben zu einer Behinderung: nur mit Ihrer ausdrücklichen Einwilligung und nur, um die von Ihnen gewünschte Unterstützung zu ermöglichen.

Alle Entscheidungen über Ihre Identität und Ihre Anfragen treffen unsere Mitarbeitenden; wir treffen keine Entscheidungen über Sie allein durch automatisierte Verfahren. Wir verkaufen Ihre Daten nicht und nutzen sie nicht für Werbung.

An wen wir sie weitergeben

Wir geben Ihre Daten nur weiter, wenn es nötig ist, und nur das, was nötig ist:

• Der Emittent: das Unternehmen, dessen Aktien Sie halten und dem sein Register gehört.
• Mitinhaber: wenn Sie Aktien gemeinsam halten, sehen die anderen Inhaber die Anfragen zu diesem Bestand, einschließlich Ihres Namens, und werden um deren Genehmigung gebeten.
• Marktinstitutionen: die Central Depository and Settlement Corporation (CDSC, zentrale Verwahr- und Abwicklungsstelle) sowie Ihr Börsenmakler oder Verwahrer, wenn eine Anfrage sie erfordert.
• Zahlungsdienstleister: die Banken und Mobile-Money-Anbieter, die Ihre Dividenden auszahlen.
• Behörden: die Kenya Revenue Authority (Steuerbehörde), die UFAA, die Capital Markets Authority (Kapitalmarktaufsicht), Gerichte und Strafverfolgungsbehörden, wenn das Gesetz es verlangt.
• Unsere Dienstleister: Microsoft (Azure-Hosting und Anmeldung), Twilio SendGrid (E-Mail), Africa's Talking (SMS) und Google Firebase (App-Benachrichtigungen). Sie verarbeiten Daten nur auf unsere Weisung und auf Grundlage von Verträgen, die sie zum Schutz der Daten verpflichten.

Wo Ihre Daten gespeichert werden

Das Portal und seine Datenbanken werden auf Microsoft Azure in Südafrika gehostet. Einige unserer Dienstleister verarbeiten Daten in anderen Ländern, darunter den Vereinigten Staaten, um E-Mails und App-Benachrichtigungen zu versenden. Wir übermitteln Daten nur mit den Schutzmaßnahmen ins Ausland, die das Datenschutzgesetz von 2019 verlangt, etwa durch Verträge, die die Daten schützen, und durch Anbieter mit anerkannten Sicherheitsstandards.

Wie lange wir sie aufbewahren

• Aktienregister und Dividendenunterlagen: so lange, wie der Emittent und das Gesetz es verlangen. Dies sind dauerhafte Unternehmensunterlagen.
• Identitätsprüfungen, Dokumente, Anfragen und Nachrichten: solange Sie ein Konto haben und danach mindestens sieben Jahre, wie es das Recht zur Bekämpfung der Geldwäsche verlangt.
• Benachrichtigungen in der App und auf der Website: werden innerhalb von 90 Tagen automatisch gelöscht.
• Sicherheits- und Prüfprotokolle: so lange, wie es zum Schutz des Portals und zur Erfüllung unserer gesetzlichen Pflichten nötig ist.

Wenn wir Daten nicht mehr benötigen, löschen wir sie oder anonymisieren sie.

Wie wir sie schützen

Alle Verbindungen zum Portal sind verschlüsselt, und unsere Datenbanken sind im Ruhezustand verschlüsselt. Die Anmeldung übernimmt der Identitätsdienst von Microsoft, sensible Änderungen erfordern einen Einmalcode, Mitarbeitende sehen nur, was ihre Rolle erfordert, und wir protokollieren, wer was getan hat. In der mobilen App wird Ihre Anmeldung im sicheren Speicher Ihres Telefons aufbewahrt.

Wir fragen Sie niemals telefonisch, per SMS oder per E-Mail nach Ihrem Passwort oder einem Einmalcode. Falls jemand dies tut, geben Sie ihn nicht weiter und informieren Sie uns.

Ihre Rechte

Nach dem Datenschutzgesetz von 2019 haben Sie das Recht,

• darüber informiert zu werden, wie Ihre Daten verwendet werden; dafür dient diese Erklärung;
• eine Kopie der Daten zu erhalten, die wir über Sie gespeichert haben;
• falsche oder unvollständige Daten berichtigen zu lassen. Die meisten Angaben können Sie im Portal selbst aktualisieren; Änderungen am Register laufen über eine Anfrage;
• Daten löschen zu lassen, soweit wir sie nicht aufbewahren müssen;
• der Verwendung Ihrer Daten zu widersprechen, auch für Ankündigungen;
• eine erteilte Einwilligung, etwa für Angaben zu einer Behinderung, jederzeit zu widerrufen;
• die Daten, die Sie uns gegeben haben, in einem gängigen elektronischen Format zu erhalten;
• nicht einer Entscheidung unterworfen zu werden, die allein durch automatisierte Verfahren getroffen wird.

Um eines dieser Rechte auszuüben, senden Sie eine E-Mail an info@image.co.ke mit „Data protection“ in der Betreffzeile oder schreiben Sie uns. Möglicherweise müssen wir zuerst Ihre Identität bestätigen; wir antworten innerhalb der gesetzlich vorgesehenen Frist.

Sie können Ihr Portalkonto jederzeit selbst löschen, in Ihren Kontoeinstellungen auf der Website oder unter Einstellungen in der App, oder uns bitten, es für Sie zu tun. Mit der Löschung werden Ihre Anmeldung und Ihr Portalprofil entfernt; Sie werden dadurch nicht aus dem Register des Emittenten gestrichen, und Unterlagen, die wir gesetzlich aufbewahren müssen, werden nicht gelöscht.

Wenn Sie mit unserem Umgang mit Ihren Daten nicht zufrieden sind, können Sie sich beim Büro des Datenschutzbeauftragten (Office of the Data Protection Commissioner, www.odpc.go.ke) beschweren. Wir würden uns freuen, zuerst die Gelegenheit zu bekommen, die Dinge richtigzustellen.

Kinder

Das Portal ist für Erwachsene bestimmt. Ein Elternteil oder Vormund kann Aktien verwalten, die ein Kind hält. In diesem Fall verarbeiten wir die Angaben des Kindes, etwa Name, Geburtsdatum und Geburtsurkunde, nur zu diesem Zweck und mit Einwilligung des Elternteils oder Vormunds.

Cookies und Speicher auf Ihrem Gerät

Die Website verwendet nur die Cookies, die sie zum Funktionieren braucht: um Sie angemeldet zu halten, um Formulare vor Fälschung zu schützen und um Ihre Sprache zu merken. Wir verwenden keine Werbe- oder Tracking-Cookies. Die mobile App bewahrt Ihre Anmeldung im sicheren Speicher Ihres Telefons auf und Ihre Einstellungen, etwa die Sprache, auf Ihrem Gerät.

Änderungen dieser Erklärung

Wenn wir diese Erklärung ändern, veröffentlichen wir die neue Fassung hier mit einem neuen Datum. Wenn eine Änderung die Verwendung Ihrer Daten wesentlich betrifft, teilen wir es Ihnen vor Inkrafttreten im Portal oder per E-Mail mit.