Datenschutz

Verantwortlicher

Verantwortlich für die Verarbeitung auf signhere.me ist:

Datenschutzanfragen: info@signhere.me

Welche Daten wir speichern

Das hochgeladene PDF, das unterschriebene PDF, Zeitstempel, eine gehashte IP-Adresse und die Browser-Kennung der unterschreibenden Person. Die IP-Adresse wird nur als Hash gespeichert und lässt sich nicht zurückrechnen. Bei benannten Unterzeichnern zusätzlich Name, E-Mail-Adresse und, falls vom Absender angegeben, die Handynummer, damit wir den Link zustellen können (Art. 6 Abs. 1 lit. b DSGVO).

Wie lange wir speichern

Ohne Konto: Nicht unterschriebene Dokumente werden 7 Tage nach dem Hochladen gelöscht, unterschriebene nach 24 Stunden. Dokumente mit einer Ausweiskopie werden immer nach 7 Tagen gelöscht. Mit Konto bleiben unterschriebene Dokumente 6 Monate, damit Verträge nachweisbar bleiben; längere Fristen gibt es nur auf Vereinbarung (Enterprise). Absender können jedes Dokument jederzeit selbst löschen.

Deine E-Mail-Adresse als Absender

Die E-Mail-Adresse, die du beim Hochladen angibst, brauchen wir, um dir das unterschriebene PDF und den Link zu deiner Statusseite zuzustellen (Art. 6 Abs. 1 lit. b DSGVO). Wir führen sie außerdem in einer Kontaktliste mit Sprache, Datum des ersten und letzten Uploads und der Anzahl der Uploads, um Rückfragen zu deinen Dokumenten beantworten und Missbrauch erkennen zu können (Art. 6 Abs. 1 lit. f DSGVO). Diese Liste bleibt über die Aufbewahrungsdauer der Dokumente hinaus bestehen; Löschung auf Anfrage jederzeit.

Neuigkeiten per E-Mail (Newsletter)

Nur wenn du beim Hochladen das gesonderte Kästchen „Neuigkeiten per E-Mail“ selbst ankreuzt, verwenden wir deine Adresse auch für gelegentliche Informationen zu signhere, etwa neue Funktionen oder Angebote für Firmen (Art. 6 Abs. 1 lit. a DSGVO und die nationalen Vorschriften zur elektronischen Werbung, etwa § 7 UWG, § 174 TKG 2021, Art. 3 Abs. 1 lit. o UWG Schweiz). Das Kästchen ist nicht vorausgewählt und für die Nutzung von signhere nicht nötig. Wir speichern den Zeitpunkt deiner Einwilligung sowie eine gehashte IP-Adresse und die Browser-Kennung als Nachweis. Jede Mail enthält einen Abmeldelink; die Abmeldung wirkt sofort. Einwilligungen aus der Zeit vor dem 2. November 2026, als das Kästchen noch vorausgewählt war, verwenden wir nicht.

Konten

Für ein Konto speichern wir Name, E-Mail-Adresse, optional Firmenname, Sprache, Tarif, Benachrichtigungseinstellungen und, wenn du sie hinterlegst, deine gespeicherte Unterschrift. Anmelden kannst du dich mit Passwort, Anmeldelink, Passkey oder über Google bzw. Apple; bei Google und Apple erhalten wir nur Name und E-Mail-Adresse. Passwörter werden nur gehasht gespeichert, die zweite Stufe (Authenticator-App oder E-Mail-Code) ebenfalls nur als Geheimnis-Hash. Sitzungen speichern IP-Adresse und Browser-Kennung, damit du sie im Konto sehen und beenden kannst. Grundlage ist der Vertrag über dein Konto (Art. 6 Abs. 1 lit. b DSGVO). Du kannst dein Konto samt aller Daten jederzeit selbst löschen.

Teams, Kunden und Vorlagen

Business-Konten können ein Team anlegen; Mitglieder sehen die Dokumente, Kunden und E-Mail-Vorlagen des Teams. Daten, die du über deine Kunden einträgst (Name, Kontaktdaten, zweite Person, Notizen), verarbeiten wir ausschließlich in deinem Auftrag: Du bist dafür Verantwortlicher, wir Auftragsverarbeiter nach Art. 28 DSGVO. Den Auftragsverarbeitungsvertrag findest du unter „AVV“ im Seitenfuß.

Einladungen per E-Mail

Einladungen, Erinnerungen und das fertige PDF verschicken wir per E-Mail über Resend. Unterzeichner erhalten nur die Nachrichten zu dem Dokument, um das es geht, nie Werbung. Ein SMS-Versand findet derzeit nicht statt.

Benachrichtigungen und Webhooks

Kontoinhaber können sich per E-Mail über geöffnete, unterschriebene oder abgelehnte Dokumente informieren lassen, eine tägliche Zusammenfassung erhalten oder eine Webhook-Adresse von Slack oder Microsoft Teams hinterlegen. An diese Adresse schicken wir dann Dateiname, Ereignis, Name der unterschreibenden Person und den Link zur Statusseite; für den Empfang dort gelten die Bedingungen des jeweiligen Anbieters.

Zahlungen

Derzeit gibt es keine kostenpflichtigen Tarife. Sollten wir sie einführen, wickelt Stripe die Zahlungen ab. Stripe erhält dann Name, E-Mail-Adresse und Zahlungsdaten; wir speichern nur die Stripe-Kundennummer, den Tarif und dessen Laufzeit. Dokumente sieht Stripe nie.

Ausweiskopien

Ausweisfotos werden direkt im Browser zugeschnitten und nur als Teil des fertigen PDFs gespeichert. Einzelne Ausweisfotos werden nie separat abgelegt. Wir empfehlen dringend, das Wasserzeichen mit dem Verwendungszweck zu setzen.

Werbung

Auf der Startseite und den Vorlagen- und Ratgeberseiten zeigen wir Werbung von Google AdSense (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland); wer mit einem Konto angemeldet ist, sieht keine Werbung. Deine Einwilligung holen wir über die Zustimmungsmitteilung von Google ein, die nach dem Transparency and Consent Framework (TCF) des IAB Europe zertifiziert ist (Art. 6 Abs. 1 lit. a DSGVO, § 25 TDDDG in Deutschland, § 165 Abs. 3 TKG 2021 in Österreich bzw. die entsprechenden nationalen Vorschriften). Ohne Einwilligung setzt Google keine Cookies für personalisierte Werbung; es können dann höchstens eingeschränkte Anzeigen ohne Personalisierung erscheinen. Deine Auswahl kannst du jederzeit über den Link „Datenschutz- und Cookie-Einstellungen“ ändern oder widerrufen. Dabei können Daten an Google in den USA übermittelt werden; Google ist nach dem EU-US Data Privacy Framework zertifiziert. Auf Unterschrifts- und Statusseiten gibt es weder Werbung noch Werbeskripte, weil ihre Adresse einen geheimen Link enthält.

Zugriffsstatistik

Wir zählen Seitenaufrufe ohne Cookies und ohne Profile: gespeichert werden Seite, Sprache, Herkunftsseite, Land, Gerätetyp und ein täglich wechselnder, nicht umkehrbarer Hash zur Unterscheidung von Besuchern. IP-Adresse und Browser-Kennung werden nicht gespeichert. Zusätzlich erfasst Vercel Web Analytics, ebenfalls cookiefrei, aggregierte Aufrufzahlen. Diese Daten werden nach 90 Tagen gelöscht.

Hosting und Auftragsverarbeiter

signhere läuft bei Vercel Inc. (Anwendung und Dateispeicher) mit einer Datenbank bei Neon. Die Server stehen derzeit in den USA (Region Washington, D.C.). Die Übermittlung dorthin ist über das EU-US Data Privacy Framework (Vercel ist zertifiziert) und EU-Standardvertragsklauseln abgesichert (Art. 45 und 46 DSGVO); für Personen in der Schweiz entsprechend über das Swiss-U.S. Data Privacy Framework bzw. Standardvertragsklauseln (Art. 16 DSG). Weitere Dienstleister: Resend (E-Mail-Versand, USA), Sentry (technische Fehlerberichte ohne Dokumentinhalte, Speicherung in der EU), Cloudflare Turnstile (Bot-Schutz), Upstash (Rate-Limits), Google (Werbung, siehe oben) und Anthropic (siehe unten). Mit allen bestehen Verträge zur Auftragsverarbeitung. Die vollständige Liste mit Zweck und Ort steht in unserem AVV.

Deine Rechte

Du kannst dein Dokument jederzeit über deine Statusseite oder dein Konto löschen. Danach ist es sofort weg. Außerdem hast du das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch; schreib dazu an die oben genannte Kontaktadresse. Den Newsletter beendest du über den Abmeldelink. Beschwerden nimmt jede Datenschutzaufsichtsbehörde entgegen, etwa die für uns zuständige estnische Aufsichtsbehörde (Andmekaitse Inspektsioon), die österreichische Datenschutzbehörde, die Aufsichtsbehörde deines deutschen Bundeslands oder in der Schweiz der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB).

Meldungen rechtswidriger Inhalte

Wer über das Meldeformular einen Inhalt meldet (Art. 16 Digital Services Act), dessen Angaben speichern wir: Link, Grund, Begründung und, falls angegeben, Name und E-Mail-Adresse, außerdem eine gehashte IP-Adresse gegen Missbrauch des Formulars. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit dem DSA. Wird ein Dokument entfernt, informieren wir die Person, die es hochgeladen hat, über die Entscheidung und ihre Gründe, nicht aber über Name oder Adresse der meldenden Person. Meldungen löschen wir nach drei Jahren.

Betrieb und Missbrauchsprüfung

Zur Sicherstellung des Betriebs und zur Prüfung auf Missbrauch (etwa Phishing oder Betrug über signhere) kann der Betreiber hochgeladene Dokumente einsehen (Art. 6 Abs. 1 lit. f DSGVO). Bei Dokumenten, die ohne Konto hochgeladen wurden, lässt der Betreiber das PDF dazu von einem KI-Dienst (Anthropic PBC, USA) in einem Satz zusammenfassen; die Zusammenfassung soll keine personenbezogenen Daten wiedergeben und wird mit dem Dokument gelöscht. Anthropic verwendet die Inhalte nicht zum Training und löscht sie nach kurzer Frist; die Übermittlung ist über EU-Standardvertragsklauseln abgesichert. Dokumente aus Konten werden nicht automatisch an den KI-Dienst gegeben, sondern nur einzeln, wenn ein konkreter Missbrauchsverdacht oder eine Meldung vorliegt. Es gibt keine automatisierten Entscheidungen: Ob ein Dokument entfernt wird, entscheidet immer ein Mensch.