Vertrag zur Auftragsverarbeitung (AVV)

Präambel

Der Verantwortliche (Kunde) nutzt die SaaS-Plattform KiwiSign (kiwisign.app) zum digitalen Versenden, Signieren und Verwalten von Dokumenten. Dabei verarbeitet der Auftragnehmer im Auftrag des Verantwortlichen personenbezogene Daten Dritter (insbesondere von Unterzeichnern und Empfängern). Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien nach Art. 28 DSGVO und orientiert sich an den Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss (EU) 2021/915).

§ 1 Parteien und Einbeziehung

Auftragsverarbeiter (Auftragnehmer): der Betreiber von KiwiSign gemäß Impressum.

Verantwortlicher (Auftraggeber): der Kunde gemäß den bei der Registrierung bzw. im Kundenkonto hinterlegten Angaben.

Dieser AVV wird gemäß § 13 der AGB mit Vertragsschluss über die Nutzung des Dienstes Bestandteil des Hauptvertrags, soweit der Kunde über den Dienst personenbezogene Daten Dritter verarbeitet. Auf Wunsch stellt der Auftragnehmer eine gegengezeichnete Fassung bereit — der AVV kann dazu direkt über KiwiSign digital signiert werden; eine formlose Anfrage per E-Mail an schakon@gmail.com genügt.

Ein Datenschutzbeauftragter ist nicht benannt, da die gesetzlichen Voraussetzungen des Art. 37 DSGVO i. V. m. § 38 BDSG derzeit nicht erfüllt sind. Datenschutz-Anfragen richten Sie an die im Impressum genannte Kontaktadresse.

§ 2 Gegenstand und Dauer

Gegenstand ist die Bereitstellung der KiwiSign-Plattform zum Erstellen, Versenden, Signieren, Speichern und Verwalten von Dokumenten einschließlich zugehöriger Funktionen (E-Mail-Versand von Signaturanfragen, Audit-Trail, Vorlagen, Erinnerungen/Nachfassungen, optionale KI-Funktionen).

Dauer: Der AVV gilt für die Laufzeit des Hauptvertrags und endet automatisch mit dessen Beendigung. Die Pflichten zur Löschung und Rückgabe (§ 11) bestehen darüber hinaus fort.

§ 3 Art und Zweck der Verarbeitung

Art der Verarbeitung: Erheben, Erfassen, Speichern, Anzeigen, Übermitteln (E-Mail-Versand, Signatur-Links), Auslesen, Verändern, Löschen.

Zweck: Erbringung der vertraglich vereinbarten SaaS-Leistungen zur Dokumentensignatur im Auftrag des Verantwortlichen. Eine Verarbeitung zu eigenen Zwecken des Auftragnehmers findet im Rahmen dieses AVV nicht statt.

§ 4 Kategorien betroffener Personen und Daten

Betroffene Personen:

• Unterzeichner und Empfänger der vom Verantwortlichen versendeten Dokumente
• Ansprechpartner und Beschäftigte des Verantwortlichen
• in den Dokumenteninhalten genannte Dritte (durch den Verantwortlichen bestimmt)

Datenkategorien:

• Stammdaten: Name, E-Mail-Adresse
• Signaturdaten: Signaturbild (digitale Unterschrift), Zeitstempel
• Audit-Trail-Daten: IP-Adresse und User-Agent zum Zeitpunkt der Signatur
• Dokumenteninhalte, soweit sie personenbezogene Daten enthalten (durch den Verantwortlichen bestimmt und eingebracht)

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand dieses AVV. Der Verantwortliche stellt sicher, dass er solche Daten nur nach gesonderter Vereinbarung mit dem Auftragnehmer und auf eigener Rechtsgrundlage in Dokumente einbringt.

§ 5 Pflichten des Auftragnehmers

Der Auftragnehmer verpflichtet sich,

1. personenbezogene Daten ausschließlich im Rahmen der dokumentierten Weisungen des Verantwortlichen zu verarbeiten (Art. 28 Abs. 3 lit. a DSGVO); Weisungen erfolgen in Textform oder über die Konfiguration im Produkt (z. B. Versand, Löschung, Export eines Dokuments);
2. sicherzustellen, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben (Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO);
3. alle nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen zu treffen (Anlage 1);
4. die in § 6 geregelten Bedingungen für die Inanspruchnahme weiterer Auftragsverarbeiter einzuhalten;
5. den Verantwortlichen mit geeigneten Maßnahmen dabei zu unterstützen, Anträgen betroffener Personen (Art. 12–23 DSGVO) nachzukommen (§ 8);
6. den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung) zu unterstützen (§ 9);
7. nach Abschluss der Leistungserbringung alle personenbezogenen Daten nach Wahl des Verantwortlichen zu löschen oder zurückzugeben (§ 11);
8. dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung zu stellen und Kontrollen zu ermöglichen (§ 10) sowie ihn unverzüglich zu informieren, wenn eine Weisung nach Auffassung des Auftragnehmers gegen die DSGVO oder andere Datenschutzvorschriften verstößt (Art. 28 Abs. 3 S. 3 DSGVO).

§ 6 Unterauftragsverarbeiter

Der Verantwortliche erteilt die allgemeine Genehmigung (Art. 28 Abs. 2 DSGVO) zum Einsatz der folgenden Unterauftragsverarbeiter:

Der Auftragnehmer informiert den Verantwortlichen über beabsichtigte Änderungen (Hinzuziehung oder Ersetzung) mindestens 30 Tage im Voraus durch Aktualisierung dieser Seite und Mitteilung in Textform an registrierte Kunden. Der Verantwortliche kann der Änderung aus wichtigen datenschutzrechtlichen Gründen widersprechen; im Widerspruchsfall steht beiden Parteien ein Sonderkündigungsrecht des Hauptvertrags zu.

Mit jedem Unterauftragsverarbeiter besteht ein Vertrag, der diesem AVV im Schutzniveau entspricht (Art. 28 Abs. 4 DSGVO).

Hinweis: Die Zahlungsabwicklung über Stripe betrifft ausschließlich das Vertragsverhältnis zwischen dem Kunden und KiwiSign (eigene Verantwortlichkeit, keine Auftragsverarbeitung von Daten der Unterzeichner) und ist daher nicht Teil dieser Liste; Details in der Datenschutzerklärung.

§ 7 Übermittlung in Drittländer

Die Verarbeitung findet grundsätzlich in der EU statt (Datenhaltung und Anwendungsbetrieb in Frankfurt am Main, siehe Anlage 1). Soweit Unterauftragsverarbeiter Daten in Drittländern (insbesondere USA) verarbeiten, erfolgt dies auf Grundlage der EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914) und ergänzender Maßnahmen gemäß Art. 44 ff. DSGVO.

§ 8 Betroffenenrechte

Der Auftragnehmer unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Anträgen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch (Art. 15–21 DSGVO) — insbesondere durch Self-Service-Export und -Löschung im Produkt. Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter.

§ 9 Meldung von Datenschutzverletzungen

Der Auftragnehmer meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten, die diesen Auftrag betrifft, unverzüglich nach Bekanntwerden — mit den nach Art. 33 Abs. 3 DSGVO erforderlichen Informationen, soweit verfügbar —, damit der Verantwortliche seine Meldepflichten (72-Stunden-Frist, Art. 33 DSGVO) erfüllen kann. Der Auftragnehmer dokumentiert Verletzungen und unterstützt bei der Aufklärung und Eindämmung.

§ 10 Kontroll- und Nachweisrechte

Der Auftragnehmer stellt auf Anfrage die zum Nachweis der Einhaltung dieses Vertrags erforderlichen Informationen bereit — insbesondere diese Vertragsseite, die Anlage 1 (TOMs) sowie vorhandene Zertifikate/Testate der eingesetzten Infrastruktur-Anbieter (z. B. SOC-2-Berichte). Der Verantwortliche kann darüber hinaus — nach angemessener Vorankündigung, höchstens einmal jährlich und ohne Beeinträchtigung des Betriebs — eine Überprüfung durchführen oder durch einen zur Vertraulichkeit verpflichteten Prüfer durchführen lassen.

§ 11 Löschung und Rückgabe

Während der Vertragslaufzeit kann der Verantwortliche seine Dokumente und Daten jederzeit selbst exportieren (PDF-Download inkl. Signaturnachweis) und löschen. Nach Beendigung des Hauptvertrags löscht der Auftragnehmer alle im Auftrag verarbeiteten personenbezogenen Daten innerhalb von 30 Tagen, sofern der Verantwortliche nicht zuvor die Rückgabe verlangt und soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Daten in automatisierten Sicherungskopien werden spätestens mit deren turnusmäßiger Überschreibung, spätestens jedoch nach 90 Tagen, gelöscht.

§ 12 Haftung

Für die Haftung der Parteien gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen des Hauptvertrags (AGB, § 12).

§ 13 Schlussbestimmungen

• Es gilt das Recht der Bundesrepublik Deutschland.
• In Datenschutzfragen gehen die Regelungen dieses AVV dem Hauptvertrag vor.
• Änderungen und Ergänzungen bedürfen der Textform.
• Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Anlage 1 — Technisch-organisatorische Maßnahmen (Art. 32 DSGVO)

1. Vertraulichkeit

• Transportverschlüsselung: Sämtliche Übertragungen erfolgen ausschließlich über TLS (HTTPS, HSTS).
• Verschlüsselung im Ruhezustand: Datenbank und Dokumentenspeicher sind beim Infrastruktur-Anbieter mit AES-256 verschlüsselt.
• Serverstandort: Datenhaltung in der EU-Region Frankfurt am Main (AWS eu-central-1); Anwendungsausführung in der Vercel-Region Frankfurt (fra1).
• Zugangskontrolle: Authentifizierung über Nutzerkonten; Passwörter werden ausschließlich als salted Hash (bcrypt) gespeichert; administrativer Infrastruktur-Zugriff nur für den Betreiber über gesicherte Konten.
• Zugriffskontrolle / Mandantentrennung: Row-Level-Security (RLS) auf Datenbankebene stellt sicher, dass jeder Kunde ausschließlich auf eigene Daten zugreifen kann; durchgängiges Mandanten-Scoping auf allen API-Endpunkten; Signatur-Links mit nicht erratbaren Zufalls-Kennungen.
• Datenminimierung: Verarbeitung nur der für den Signierprozess erforderlichen Daten; Besucher-Analytik ohne Speicherung von IP-Adressen.

2. Integrität

• Eingabekontrolle / Audit-Trail: Jede Signatur wird mit Zeitstempel, IP-Adresse, User-Agent und E-Mail-Verifikation protokolliert; Dokumentereignisse (Öffnen, Signieren) werden revisionsfähig aufgezeichnet.
• Weitergabekontrolle: Übermittlungen an Unterauftragsverarbeiter ausschließlich über verschlüsselte Verbindungen und auf Grundlage von DPAs mit EU-Standardvertragsklauseln.

3. Verfügbarkeit und Belastbarkeit

• Datensicherung: Automatisierte, regelmäßige Backups der Datenbank durch den Infrastruktur-Anbieter.
• Infrastruktur: Betrieb auf redundanter Cloud-Infrastruktur (Vercel, Supabase/AWS); die eingesetzten Infrastruktur-Anbieter verfügen über unabhängige Sicherheits-Testate (SOC 2).

4. Regelmäßige Überprüfung

• Auftragskontrolle: Bindung aller Unterauftragsverarbeiter über deren DPAs inkl. SCC; Prüfung bei Aufnahme neuer Anbieter.
• Datenschutz-Management: Datenschutzerklärung, Verzeichnis von Verarbeitungstätigkeiten und Betroffenenrechte-Prozess sind dokumentiert; die TOMs werden bei wesentlichen Änderungen der Architektur, mindestens jährlich, überprüft.