Auftragsverarbeitungsvertrag (AVV)

1. Vertragsparteien

Verantwortlicher ist der Kunde, der ein Business-Konto nutzt (nachfolgend „Auftraggeber“). Auftragsverarbeiter ist der Betreiber von signhere (nachfolgend „Auftragnehmer“):

2. Gegenstand und Dauer

Der Auftragnehmer stellt dem Auftraggeber die Plattform signhere zur Verfügung, mit der PDF-Dokumente hochgeladen, per Link, E-Mail oder SMS an Unterzeichner geschickt, elektronisch unterschrieben und zurückgeliefert werden. Die Verarbeitung erfolgt ausschließlich zur Erbringung dieses Dienstes.

Der Vertrag gilt für die Dauer des Business-Abonnements. Mit Ende des Abonnements werden alle Dokumente nach den vereinbarten Aufbewahrungsfristen gelöscht (siehe Ziffer 9).

3. Art und Zweck der Verarbeitung

Speichern, Anzeigen, Verändern (Einfügen der Unterschrift, Ausweisseiten, Signaturprotokoll), Übermitteln an die vom Auftraggeber benannten Empfänger, Protokollieren des Signaturvorgangs und Löschen der Dokumente.

Zweck ist ausschließlich das Einholen und Nachweisen elektronischer Unterschriften (einfache elektronische Signatur nach eIDAS) im Auftrag des Auftraggebers.

4. Art der Daten

Dokumentinhalte (PDF), Name und E-Mail-Adresse, optional Handynummer der Unterzeichner, Unterschriftsbild, Zeitstempel, gehashte IP-Adresse und Browser-Kennung im Signaturprotokoll, optional Ausweisfotos, sofern der Auftraggeber sie anfordert, Kundenstammdaten im Adressbuch des Auftraggebers (Name, Kontaktdaten, Notizen) sowie Kontodaten der Nutzer des Auftraggebers.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand des Vertrags; der Auftraggeber stellt sicher, dass Dokumente mit solchen Daten nur verschickt werden, wenn eine Rechtsgrundlage besteht.

5. Kategorien betroffener Personen

Kunden, Mieter, Vertragspartner, Interessenten, Mitarbeitende und Bewerber des Auftraggebers sowie die Nutzer des Auftraggebers selbst.

6. Weisungsgebundenheit

Der Auftragnehmer verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Auftraggebers. Die Nutzung der Plattform (Hochladen, Versenden, Löschen, Einstellungen im Konto) gilt als Weisung. Weisungen, die über die Funktionen der Plattform hinausgehen, erfolgen in Textform.

Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber unverzüglich und darf die Ausführung bis zur Klärung aussetzen.

7. Vertraulichkeit

Alle Personen, die beim Auftragnehmer Zugriff auf Daten des Auftraggebers haben, sind auf die Vertraulichkeit verpflichtet. Der Auftragnehmer öffnet Dokumentinhalte nicht, außer der Auftraggeber bittet im Supportfall ausdrücklich darum.

8. Technische und organisatorische Maßnahmen

Transportverschlüsselung (TLS) für alle Verbindungen; verschlüsselte Speicherung bei den Hosting-Anbietern; Dokumente sind nur über nicht erratbare, signierte Links erreichbar, optional zusätzlich passwortgeschützt; Download-Links laufen ab.

Zugriff auf die Betriebsumgebung nur für den Betreiber mit Passwort und zweitem Faktor; Protokollierung aller Signaturschritte mit gehashter IP-Adresse; getrennte Speicherung pro Konto und Team; tägliche automatische Löschung abgelaufener Dokumente; Rate-Limits und Bot-Schutz gegen Missbrauch.

Der Auftragnehmer überprüft diese Maßnahmen regelmäßig und passt sie an den Stand der Technik an. Eine aktuelle Beschreibung stellt er auf Anfrage bereit.

9. Löschung und Rückgabe

Unterschriebene Dokumente werden für die im Tarif festgelegte Dauer aufbewahrt (Business: standardmäßig ein Jahr, auf Wunsch bis zu zehn Jahre) und danach automatisch gelöscht. Nicht unterschriebene Dokumente werden 30 Tage nach Ablauf des Links gelöscht; Ausweisfotos spätestens nach sieben Tagen.

Der Auftraggeber kann Dokumente jederzeit selbst löschen oder herunterladen. Nach Vertragsende werden alle Daten des Auftraggebers innerhalb von 30 Tagen gelöscht, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.

10. Unterstützung des Auftraggebers

Der Auftragnehmer unterstützt den Auftraggeber bei Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung), bei der Datenschutz-Folgenabschätzung und bei der Meldung von Datenschutzverletzungen. Er meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis.

11. Kontrollrechte

Der Auftraggeber kann sich von der Einhaltung dieses Vertrags überzeugen. Der Auftragnehmer stellt dazu die notwendigen Informationen bereit; Vor-Ort-Prüfungen erfolgen nach Ankündigung mit angemessener Frist während der üblichen Geschäftszeiten.

12. Haftung

Für die Haftung gelten Art. 82 DSGVO und die Nutzungsbedingungen von signhere. Der Auftragnehmer haftet nur für Schäden, die durch eine Verarbeitung entstehen, bei der er seinen Pflichten aus der DSGVO oder aus diesem Vertrag nicht nachgekommen ist.

13. Schlussbestimmungen

Änderungen dieses Vertrags bedürfen der Textform. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam. Es gilt das Recht am Sitz des Auftragnehmers.

14. Unterauftragsverarbeiter

Der Auftraggeber stimmt dem Einsatz folgender Unterauftragsverarbeiter zu. Änderungen kündigt der Auftragnehmer mindestens 30 Tage vorher per E-Mail an; der Auftraggeber kann aus wichtigem Grund widersprechen.

15. Abschluss

Business-Kunden bekommen diesen Vertrag mit ausgefüllten Vertragsparteien als PDF und unterschreiben ihn über signhere; die Gegenzeichnung durch den Auftragnehmer erfolgt am selben Tag. Beide Seiten erhalten das unterschriebene Exemplar mit Signaturprotokoll.