Auftragsverarbeitungsvertrag (AVV)

Sprache: Dieser Text liegt auf Deutsch und Englisch vor. Maßgeblich ist die deutsche Fassung.

Stand: 18.10.2026 · Version 1.0

Dieser Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ist Teil der AGB zwischen Ihnen (dem Kunden, Verantwortlicher) und signround – Inh. Eray Yilmaz, Europaring 90, 53757 Sankt Augustin, Deutschland (signround, Auftragsverarbeiter). Er gilt, wenn Sie signround geschäftlich nutzen und signround dabei personenbezogene Daten in Ihrem Auftrag verarbeitet. Sie nehmen ihn zusammen mit den AGB an. Eine gesonderte Unterschrift ist nicht nötig.

1. Gegenstand und Dauer

signround verarbeitet personenbezogene Daten, um den in den AGB beschriebenen Signaturdienst zu erbringen. Dieser AVV gilt, solange signround personenbezogene Daten für Sie verarbeitet. Einzelheiten stehen in Anlage 1.

2. Weisungen

1. signround verarbeitet personenbezogene Daten nur auf Ihre dokumentierte Weisung. Ihre Weisungen sind die AGB, dieser AVV sowie Ihre Einstellungen und Aktionen in der App. Das gilt auch für Übermittlungen in Drittländer, außer das Recht der EU oder eines Mitgliedstaats verlangt etwas anderes (Art. 28 Abs. 3 lit. a DSGVO).
2. signround informiert Sie unverzüglich, wenn es eine Weisung für datenschutzwidrig hält.

3. Vertraulichkeit

Alle Personen bei signround mit Zugriff auf die Daten sind zur Vertraulichkeit verpflichtet.

4. Sicherheit

signround trifft die technischen und organisatorischen Maßnahmen aus Anlage 2 (Art. 32 DSGVO). Es darf sie anpassen, wenn das Schutzniveau nicht sinkt.

5. Unterauftragsverarbeiter

1. Sie erteilen eine allgemeine Genehmigung für den Einsatz von Unterauftragsverarbeitern. Die aktuelle Liste steht unter Unterauftragsverarbeiter.
2. signround kündigt neue oder ersetzte Unterauftragsverarbeiter mindestens 30 Tage vorher auf dieser Seite und per E-Mail an Kontoinhaber an. Aus wichtigem Grund können Sie innerhalb dieser Frist widersprechen. Finden wir keine Lösung, können Sie den Vertrag vor der Änderung beenden.
3. signround verpflichtet jeden Unterauftragsverarbeiter auf dieselben Datenschutzpflichten wie in diesem AVV und bleibt für ihn verantwortlich.

6. Übermittlung in Drittländer

Übermittlungen in Drittländer erfolgen nur nach Art. 44 ff. DSGVO, insbesondere auf Grundlage eines Angemessenheitsbeschlusses (z. B. EU-US Data Privacy Framework) oder von EU-Standardvertragsklauseln.

7. Unterstützung

signround unterstützt Sie, soweit möglich und unter Berücksichtigung der Art der Verarbeitung:

1. bei der Beantwortung von Anfragen betroffener Personen (Art. 12–22 DSGVO). Wendet sich eine betroffene Person an signround, leitet signround die Anfrage an Sie weiter und beantwortet sie nicht selbst;
2. bei Sicherheit, Meldungen von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und vorheriger Konsultation (Art. 32–36 DSGVO).

8. Datenschutzverletzungen

signround informiert Sie unverzüglich, möglichst innerhalb von 48 Stunden, nachdem es von einer Verletzung des Schutzes Ihrer personenbezogenen Daten erfahren hat. Es gibt Ihnen die vorhandenen Informationen, damit Sie Ihre eigenen Pflichten erfüllen können (Art. 33, 34 DSGVO).

9. Löschung bei Vertragsende

Endet der Vertrag, löscht signround alle Ihre personenbezogenen Daten nach 30 Tagen, außer das Gesetz verlangt eine Aufbewahrung. Bis dahin können Sie Ihre Dokumente herunterladen. Daten in Backups werden im regulären Backup-Zyklus überschrieben.

10. Nachweise und Kontrollen

signround stellt Ihnen die Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind. Sie dürfen die Einhaltung prüfen, in der Regel durch schriftliche Fragen oder Unterlagen. Vor-Ort-Kontrollen sind mit 30 Tagen Vorlauf, während der Geschäftszeiten und auf Ihre Kosten möglich, höchstens einmal im Jahr, außer bei einem Verstoß.

11. Ihre Verantwortung

Sie sind für die Rechtmäßigkeit der Verarbeitung verantwortlich, auch für die Information Ihrer Unterzeichner (Art. 13, 14 DSGVO) und Ihr Recht, Dokumente hochzuladen und Unterzeichner einzuladen.

12. Haftung und Vorrang

Die Haftung richtet sich nach Art. 82 DSGVO und den AGB. Widerspricht dieser AVV den AGB in Fragen des Datenschutzes, gilt dieser AVV.

Anlage 1 – Einzelheiten der Verarbeitung

Anlage 2 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Zugriffskontrolle: Login für alle Kontofunktionen; Zugriffskontrollen für jede Datenbanktabelle (Row-Level-Security); privater Dateispeicher; kurzlebige Download-Links.
• Signierlinks: zufällige Tokens, nur als Hash gespeichert; sie verfallen, wenn das Dokument abgeschlossen, abgelehnt, abgebrochen oder abgelaufen ist.
• Verschlüsselung: TLS für alle Verbindungen; Verschlüsselung der gespeicherten Daten bei unseren Hosting-Anbietern.
• Integrität: SHA-256-Hash des Originals und des fertigen Dokuments; Protokoll, das nur ergänzt werden kann.
• Ort und Verfügbarkeit: Speicherung in der EU (Datenbank und Dateien in Frankfurt); Serverfunktionen in den USA (Netlify auf AWS, Ohio) ohne dauerhafte Speicherung; Backups nach dem Plan des Datenbank-Anbieters, höchstens 7 Tage aufbewahrt.
• Datenminimierung: kein Tracking, keine Analyse-Tools; keine Dokumentinhalte oder Unterschriften in Protokollen; technische Protokolle werden nach 30 Tagen gelöscht.
• Missbrauchsschutz: Begrenzung von Anfragen an öffentliche Endpunkte; Geheimnisse nur auf dem Server.
• Überprüfung: Die Maßnahmen werden bei Änderungen des Dienstes geprüft, mindestens einmal im Jahr.

Anlage 3 – Unterauftragsverarbeiter

Siehe Unterauftragsverarbeiter.