Auftragsverarbeitungsvertrag (AVV) – evidona Cloud

Entwurf – juristische Prüfung ausstehend. Massgeblich ist die deutsche Fassung; die englische Fassung ist eine unverbindliche Übersetzung.

0. Präambel, Parteien und Begriffe

Dieser Auftragsverarbeitungsvertrag (nachfolgend «AVV») regelt die Bearbeitung von Personendaten, die die SimplyConnect GmbH, Schulstrasse 2b, 5426 Lengnau, Schweiz (UID CHE-160.031.708), vertreten durch Daniel Baumann (nachfolgend «SimplyConnect», «wir» oder «uns»), im Rahmen des über *.evidona.ch bereitgestellten Cloud-Dienstes evidona (nachfolgend «Dienst») im Auftrag des Kunden vornimmt. Allgemeiner Kontakt: office@simplyconnect.ch; Datenschutz: datenschutz@simplyconnect.ch.

Dieser AVV gilt ausschliesslich für das Cloud-Angebot (siehe Ziff. 2). Er ist Bestandteil und Konkretisierung des Vertragsverhältnisses zwischen den Parteien (Allgemeine Geschäftsbedingungen – evidona Cloud, nachfolgend «AGB») und konkretisiert die datenschutzrechtlichen Pflichten beider Parteien.

Im Cloud-Betrieb handelt SimplyConnect als Auftragsbearbeiter (Auftragsverarbeiter im Sinne von Art. 28 DSGVO bzw. Auftragsbearbeiter im Sinne von Art. 9 revDSG) und der Kunde als Verantwortlicher. Es gelten folgende Begriffe (ergänzend zu den Begriffen der AGB):

Kunde / Organisation: die juristische oder natürliche Person, die ein Konto bzw. einen Mandanten («Organisation») bei evidona Cloud unterhält; hinsichtlich der von ihr hochgeladenen Dokumente datenschutzrechtlich Verantwortlicher.
Berechtigter Nutzer: eine dem Mandanten des Kunden zugeordnete, namentlich registrierte Person.
Unterzeichner bzw. Gast-Unterzeichner: eine zur Signatur eingeladene Person; ein Gast-Unterzeichner verfügt über kein Konto und greift über einen sicheren Link zu.
Dokument: eine vom Kunden zur Signatur hochgeladene Datei (i.d.R. PDF).
Beweis-Paket (Evidence Bundle) bzw. Nachweis-Datensatz: der je Signaturlauf erzeugte, versiegelte Nachweis mit qualifiziertem Zeitstempel, SHA-256-Integritäts-Hash, Unterzeichner-Metadaten und Signaturprotokoll.
Signaturstufe: die je Signatur erreichte Stufe einer einfachen (SES) oder fortgeschrittenen (AES) elektronischen Signatur.
Personendaten, betroffene Person, Bearbeitung, Verletzung der Datensicherheit: im Sinne des revDSG bzw. der DSGVO. Die deutschen und unionsrechtlichen Begriffe werden hier gleichbedeutend verwendet; «Auftragsbearbeiter» und «Auftragsverarbeiter» bzw. «Verantwortlicher» nach revDSG und DSGVO sind im Rahmen dieses AVV deckungsgleich zu verstehen.

Juristische Prüfung: terminologische Harmonisierung revDSG ↔ DSGVO (insbesondere «Bekanntgabe» vs. «Übermittlung», «Auftragsbearbeiter» vs. «Auftragsverarbeiter») abschliessend bestätigen.

1. Gegenstand und doppelte Rechtsgrundlage

Gegenstand dieses AVV ist die Bearbeitung von Personendaten durch SimplyConnect im Auftrag und nach Weisung des Kunden, soweit sie zur Erbringung des Dienstes erforderlich ist. Der AVV gilt parallel und kumulativ unter der doppelten Rechtsgrundlage von Art. 28 DSGVO und Art. 9 revDSG, da SimplyConnect ihren Sitz in der Schweiz hat, Hosting und Datenhaltung in Deutschland bzw. der EU erfolgen und der Dienst grenzüberschreitend (CH ↔ EU) genutzt werden kann. Wo eine der beiden Ordnungen strengere Anforderungen stellt, gilt für die betreffende Bearbeitung der jeweils strengere Massstab.

Nicht Gegenstand der Auftragsbearbeitung sind diejenigen Bearbeitungen, für die SimplyConnect selbst Verantwortlicher ist (siehe Ziff. 4 und Ziff. 15): insbesondere die Bearbeitung von Konto-, Authentisierungs-, Abrechnungs- und Nutzungsdaten der berechtigten Nutzer sowie die Führung des Nachweis-Datensatzes zur Sicherstellung der Integrität.

2. Ausschluss des Self-Hosting

Dieser AVV bezieht sich ausschliesslich auf den Cloud-Dienst evidona. Beim Self-Hosting (Betrieb der Software auf eigener Infrastruktur des Kunden) ist SimplyConnect ausschliesslich Lizenzgeberin; es findet keine Bearbeitung von Personendaten im Auftrag statt. Der Kunde ist beim Self-Hosting alleiniger Verantwortlicher und Betreiber der Anwendung; ein AVV mit SimplyConnect kommt insoweit nicht zustande. Einzelheiten des Self-Hosting regelt der separate Software-Lizenzvertrag.

Dieser Ausschluss gilt unter der Bedingung, dass beim Self-Hosting keine Personendaten an die Lizenzgeberin übermittelt werden. Sobald eine künftige Funktion (insbesondere eine «phone-home»-gestützte rechtliche Dokumentenprüfung / Identitätsprüfung) Personendaten aus der Kundeninstallation an SimplyConnect oder von ihr beigezogene Dienste übermittelt, wird für diesen Funktionsumfang ein gesonderter Auftragsverarbeitungsvertrag («Connected-Service-AVV») erforderlich; bis zu dessen Abschluss darf die Funktion nicht aktiviert oder genutzt werden.

Juristische Prüfung: Auslöser und Reichweite eines «Connected-Service-AVV» beim Self-Hosting definieren, sobald die Architektur der Dokumentenprüfung feststeht; Abgrenzung zu reiner Lizenz-/Telemetriekommunikation klären.

3. Dauer

Dieser AVV beginnt mit der Aktivierung des Cloud-Kontos bzw. der Bestellung und gilt für die Dauer des zugrunde liegenden Cloud-Vertragsverhältnisses (AGB). Er endet automatisch mit dessen Beendigung, soweit nicht einzelne Pflichten (insbesondere Vertraulichkeit, Löschung/Rückgabe sowie die Führung des Nachweis-Datensatzes) ihrer Natur nach fortwirken.

4. Art und Zweck der Bearbeitung

SimplyConnect bearbeitet Personendaten zum Zweck der Erbringung des Dienstes, d.h. zur Durchführung elektronischer Signatur-Abläufe und der damit verbundenen Funktionen. Die Bearbeitung umfasst insbesondere:

Signatur-Workflow: Hochladen von Dokumenten, Definition sequentieller oder paralleler Signatur-Abläufe, Einladung berechtigter Nutzer und Gast-Unterzeichner sowie Einholung elektronischer Signaturen.
Identitätsbestätigung (OTP): Bestätigung der Identität des Unterzeichners im Signaturvorgang mittels eines per E-Mail oder SMS zugestellten Einmalcodes (OTP). Gast-Unterzeichner verfügen über kein Konto.
Beweis-Paket: Erzeugung eines versiegelten Beweis-Pakets je Signaturlauf (qualifizierter Zeitstempel, SHA-256-Integritäts-Hash, Unterzeichner-Metadaten, Signaturprotokoll).
Aufbewahrung und Löschung: Bereitstellung der Dokumente während der Aufbewahrungsfrist und anschliessende automatische Löschung des Dokumentinhalts (siehe Ziff. 12).
Künftige Identitätsprüfung (cloud-only): eine geplante «rechtliche Dokumentenprüfung» / Identitätsprüfung als künftige höhere Signaturstufe; diese Funktion wird – soweit umgesetzt – ausschliesslich im Cloud-Dienst angeboten und unter Beizug eines noch nicht ausgewählten Identitätsprüfungs-/KYC-Dienstleisters (siehe Anhang 3) erbracht.

Die Bearbeitung erfolgt automatisiert sowie, soweit erforderlich, im Rahmen von Support- und Betriebstätigkeiten. Eine über den Vertragszweck hinausgehende eigene Bearbeitung für eigene Zwecke des Kunden findet durch SimplyConnect nicht statt; anonymisierte technische Daten dürfen zum Betrieb und zur Verbesserung des Dienstes verwendet werden.

Juristische Prüfung: Datenschutz-Folgenabschätzung und Rechtsgrundlagen für die künftige Identitätsprüfung gesondert beurteilen, sobald Funktion und Dienstleister feststehen.

5. Kategorien betroffener Personen und Daten

Kategorien betroffener Personen: berechtigte Nutzer des Kunden; Unterzeichner und Gast-Unterzeichner; weitere im Dokumentinhalt genannte Personen, soweit der Kunde solche Daten hochlädt.

Kategorien von Personendaten:

Identifikations- und Kontaktdaten: Name, E-Mail-Adresse, Telefonnummer (für OTP-Zustellung).
Authentisierungsdaten der berechtigten Nutzer (im Rahmen der Kontofunktion).
Inhaltsdaten: die vom Kunden hochgeladenen Dokumente und die darin enthaltenen Personendaten – Art und Sensitivität bestimmt allein der Kunde; SimplyConnect nimmt vom Inhalt keine Kenntnis, soweit dies nicht für Betrieb oder Support erforderlich ist.
Nachweis-/Protokolldaten: Unterzeichner-Metadaten, Zeitstempel, SHA-256-Integritäts-Hash, Signaturprotokoll, technische Zugriffs- und Ereignisdaten (z.B. IP-Adresse, Zeitpunkte, OTP-Zustellereignisse).

Der Kunde lädt keine besonders schützenswerten Personendaten in Dokumente hoch, soweit dies nicht für seinen Anwendungsfall erforderlich ist; in diesem Fall ist er für eine angemessene Rechtsgrundlage und allfällige Schutzmassnahmen verantwortlich.

Juristische Prüfung: ob und in welchem Umfang besonders schützenswerte Personendaten (Art. 5 lit. c revDSG / Art. 9 DSGVO) im Dienst zugelassen werden; gegebenenfalls Hinweis-/Einschränkungspflichten ergänzen.

6. Weisungen und Pflichten des Verantwortlichen

SimplyConnect bearbeitet die Personendaten ausschliesslich auf dokumentierte Weisung des Kunden, soweit nicht eine gesetzliche Verpflichtung etwas anderes verlangt; in diesem Fall teilt SimplyConnect dem Kunden diese Verpflichtung vor der Bearbeitung mit, sofern das Gesetz dies nicht verbietet. Dieser AVV, die AGB sowie die Konfiguration im Dienst (z.B. Aufbewahrungsfrist, Signatur-Abläufe) gelten als dokumentierte Weisungen. Weitere Einzelweisungen erteilt der Kunde in Textform an datenschutz@simplyconnect.ch.

SimplyConnect informiert den Kunden unverzüglich, wenn sie der Auffassung ist, dass eine Weisung gegen anwendbares Datenschutzrecht verstösst; sie ist berechtigt, die Ausführung einer offensichtlich rechtswidrigen Weisung auszusetzen.

Der Kunde ist als Verantwortlicher dafür verantwortlich, dass die Bearbeitung rechtmässig erfolgt (Rechtsgrundlage, Information der betroffenen Personen, gegebenenfalls Einwilligungen, insbesondere die Einwilligung zur elektronischen Signatur), dass er zur Bekanntgabe der Daten an SimplyConnect berechtigt ist und dass die von ihm benannten Unterzeichner und hochgeladenen Inhalte zulässig sind.

7. Vertraulichkeit

SimplyConnect verpflichtet die zur Bearbeitung der Personendaten befugten Personen zur Vertraulichkeit, soweit sie nicht bereits einer angemessenen gesetzlichen Geheimhaltungspflicht unterliegen. Die Vertraulichkeitspflicht besteht über die Beendigung der Tätigkeit bzw. dieses AVV hinaus fort. SimplyConnect stellt sicher, dass der Zugang zu Personendaten auf die für die Leistungserbringung erforderlichen Personen beschränkt ist.

8. Technische und organisatorische Massnahmen (TOM)

SimplyConnect trifft die zur Gewährleistung einer dem Risiko angemessenen Datensicherheit erforderlichen technischen und organisatorischen Massnahmen (TOM) nach Art. 32 DSGVO bzw. Art. 8 revDSG und Art. 1 ff. der Datenschutzverordnung. Die konkreten Massnahmen sind in Anhang 2 beschrieben. SimplyConnect kontrolliert dabei insbesondere die Zeitquelle, das Signaturprotokoll und die Integritätsversiegelung. SimplyConnect darf die TOM weiterentwickeln, sofern das Schutzniveau dadurch nicht unterschritten wird.

9. Unterauftragsverarbeitung

Der Kunde erteilt SimplyConnect die allgemeine Genehmigung zum Beizug von Unterauftragsbearbeitern. Die zum Zeitpunkt des Vertragsschlusses beigezogenen Unterauftragsbearbeiter sind in Anhang 3 aufgeführt. SimplyConnect verpflichtet jeden Unterauftragsbearbeiter vertraglich auf Datenschutzpflichten, die den Pflichten dieses AVV im Wesentlichen entsprechen, und bleibt dem Kunden gegenüber für die Einhaltung verantwortlich.

SimplyConnect informiert den Kunden über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsbearbeitern (z.B. im Dienst oder per E-Mail) und räumt dem Kunden ein Recht zum Widerspruch ein. Der Kunde kann einer Änderung aus wichtigem datenschutzrechtlichem Grund innert 30 Tagen ab Mitteilung in Textform widersprechen. Im Fall eines berechtigten Widerspruchs suchen die Parteien eine einvernehmliche Lösung; gelingt diese nicht, ist jede Partei berechtigt, das betroffene Vertragsverhältnis bzw. den betroffenen Leistungsteil zu kündigen.

Juristische Prüfung: Widerspruchsfrist (30 Tage) und Kündigungsfolgen mit den AGB abstimmen; Form und Kanal der Änderungsmitteilung verbindlich festlegen.

10. Unterstützung bei Betroffenenrechten

SimplyConnect unterstützt den Kunden mit geeigneten technischen und organisatorischen Massnahmen dabei, seinen Pflichten zur Erfüllung der Rechte betroffener Personen (insbesondere Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch) nachzukommen, soweit dies dem Kunden nicht selbst über die Funktionen des Dienstes möglich ist. Wendet sich eine betroffene Person direkt an SimplyConnect, leitet SimplyConnect das Anliegen an den Kunden weiter und beantwortet es nicht selbst, soweit nicht gesetzlich anders vorgeschrieben.

Hinweis zur Reichweite: Der Dokumentinhalt ist nach Ablauf der Aufbewahrungsfrist (Standard 90 Tage, siehe Ziff. 12) häufig bereits gelöscht; insoweit kann SimplyConnect keine Inhaltsdaten mehr bereitstellen. Der Nachweis-Datensatz (Beweis-Paket) wird zur Sicherstellung der Integrität länger geführt; für diesen ist SimplyConnect eigener bzw. gemeinsamer Verantwortlicher (siehe Ziff. 15), weshalb dessen Aufbewahrung trotz eines Löschbegehrens auf einem überwiegenden Integritäts- und Nachweisinteresse beruhen kann und einer Löschung entgegenstehen darf.

Juristische Prüfung: Abwägung Löschbegehren ↔ Aufbewahrung des Nachweis-Datensatzes (Integritäts-/Beweisinteresse) belastbar dokumentieren; Informationspflicht gegenüber betroffenen Personen hierzu gestalten.

11. Meldung von Verletzungen der Datensicherheit

SimplyConnect meldet dem Kunden jede ihr bekannt gewordene Verletzung der Datensicherheit, die zu einem hohen Risiko für die betroffenen Personen führen kann bzw. die nach DSGVO meldepflichtig sein könnte, unverzüglich, spätestens jedoch innert 48 Stunden nach Kenntnis. Die Meldung enthält, soweit verfügbar, eine Beschreibung der Art der Verletzung, die betroffenen Datenkategorien und betroffenen Personen (soweit bestimmbar), die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Massnahmen. SimplyConnect unterstützt den Kunden angemessen bei dessen eigenen Melde- und Benachrichtigungspflichten gegenüber Aufsichtsbehörde (EDÖB bzw. zuständige Aufsichtsbehörde nach DSGVO) und betroffenen Personen. Die Meldepflichten des Kunden gegenüber Behörden und betroffenen Personen bleiben in seiner Verantwortung.

Juristische Prüfung: Meldefrist (48 Stunden) gegen die «unverzüglich»-Anforderung von Art. 33 DSGVO und Art. 24 revDSG sowie gegen die Frist gegenüber Aufsichtsbehörden abgleichen.

12. Löschung und Rückgabe

Die Bearbeitung folgt dem 90-Tage-Modell des Dienstes: Der Inhalt hochgeladener und signierter Dokumente wird nach Ablauf der Aufbewahrungsfrist (Standard 90 Tage, je Organisation bzw. Plan konfigurierbar) automatisch gelöscht. evidona archiviert die Dokumente nicht. Der Kunde ist dafür verantwortlich, abgeschlossene Dokumente und Beweis-Pakete vor Ablauf der Frist bzw. des Zugangs herunterzuladen und selbst aufzubewahren.

Nach Beendigung der Bearbeitung löscht SimplyConnect die verbleibenden, im Auftrag bearbeiteten Personendaten oder gibt sie nach Wahl des Kunden zurück, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Ausgenommen ist der Nachweis-Datensatz (SHA-256-Hash, Zeitstempel, Unterzeichner-Metadaten, Signaturprotokoll), den SimplyConnect als eigener bzw. gemeinsamer Verantwortlicher (siehe Ziff. 15) zur Sicherstellung der Integrität auch über das Vertragsende hinaus aufbewahrt.

Juristische Prüfung: Aufbewahrungsdauer des Nachweis-Datensatzes verbindlich festlegen und mit gesetzlichen Mindest-/Höchstfristen sowie Ziff. 9 der AGB abstimmen.

13. Auditrechte

Der Kunde ist berechtigt, die Einhaltung der Pflichten aus diesem AVV zu überprüfen. SimplyConnect stellt dem Kunden die hierfür erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen mit angemessener Vorankündigung, in der Regel höchstens einmal jährlich sowie zusätzlich bei einer konkreten, dokumentierten Verletzung der Datensicherheit. Vorrangig erfolgt der Nachweis durch geeignete Berichte, Zusammenfassungen oder Zertifikate (z.B. anerkannte Audit-Berichte oder Sicherheitszertifizierungen). Vor-Ort-Prüfungen erfolgen während der üblichen Geschäftszeiten, möglichst nicht-störend für den Betrieb, unter Wahrung der Vertraulichkeit und der Daten Dritter sowie gegen vorgängige Vertraulichkeitsverpflichtung. Der Aufwand einer über das Übliche hinausgehenden Prüfung kann SimplyConnect angemessen in Rechnung stellen.

14. Internationale Transfers und Datenstandort

Hosting und Datenhaltung erfolgen in Deutschland / der EU (nicht in der Schweiz). Die Übermittlung Schweiz ↔ EU ist durch die gegenseitige Angemessenheit gedeckt (Anerkennung eines angemessenen Datenschutzniveaus zwischen der Schweiz und der EU/EWR). Erfolgt eine Bekanntgabe in ein Land ohne angemessenes Schutzniveau (z.B. durch einen Unterauftragsbearbeiter), stützt SimplyConnect die Übermittlung auf geeignete Garantien, insbesondere die Standardvertragsklauseln (SCC) der EU-Kommission samt schweizerischer Anpassungen sowie gegebenenfalls ergänzende Massnahmen. SimplyConnect macht keine Behauptung eines Datenstandorts in der Schweiz.

Juristische Prüfung: konkrete Garantien (SCC-Module, CH-Anpassungen, Transfer Impact Assessment) je Unterauftragsbearbeiter dokumentieren, sobald der finale Stack feststeht.

15. Haftung, Verantwortlichkeit für den Nachweis-Datensatz und Rangordnung

Haftung: Es gilt die Haftungsregelung der AGB. SimplyConnect haftet ausschliesslich für Schäden, die auf Vorsatz oder grober Fahrlässigkeit beruhen; eine Haftung für leichte Fahrlässigkeit ist ausgeschlossen. Ausgeschlossen ist insbesondere die Haftung für indirekte Schäden und Folgeschäden, Datenverlust, entgangenen Gewinn, Ansprüche Dritter sowie Schäden aus verspäteter Leistung. Soweit gehaftet wird, ist die Haftung der Höhe nach auf die in den vorangegangenen zwölf (12) Monaten bezahlten Entgelte begrenzt. Die Haftung für Personenschäden sowie eine weitergehende zwingende gesetzliche Haftung bleiben unberührt. Datenschutzrechtliche Ansprüche betroffener Personen gegenüber Verantwortlichem und Auftragsbearbeiter nach Art. 82 DSGVO bzw. revDSG bleiben von dieser Begrenzung im Aussenverhältnis unberührt.

Verantwortlichkeit für den Nachweis-Datensatz: Hinsichtlich des Nachweis-Datensatzes / Beweis-Pakets (SHA-256-Hash, Zeitstempel, Unterzeichner-Metadaten, Signaturprotokoll) handelt SimplyConnect als eigenständiger bzw. gemeinsamer Verantwortlicher, da sie ein eigenes, überwiegendes Integritäts- und Nachweisinteresse verfolgt. Diese Verantwortlichkeit dient dazu, die Aufbewahrung des Nachweis-Datensatzes auch gegenüber einem Löschbegehren tragfähig zu machen (siehe Ziff. 10 und Ziff. 12). Gleiches gilt für Konto-, Authentisierungs-, Abrechnungs- und Nutzungsdaten der berechtigten Nutzer, hinsichtlich derer SimplyConnect eigener Verantwortlicher ist; Einzelheiten regelt die Datenschutzerklärung.

Rangordnung: In datenschutzrechtlichen Fragen geht dieser AVV den AGB vor. Im Übrigen gilt die Rangordnung der AGB.

Juristische Prüfung: (1) Haftungsobergrenze (12 Monatsentgelte vs. bisheriger «dreifacher Jahresbetrag») dokumentübergreifend konsistent festlegen; (2) Einordnung des Nachweis-Datensatzes als eigenständige vs. gemeinsame Verantwortlichkeit (Art. 26 DSGVO) abschliessend bestimmen und – falls gemeinsam – eine Vereinbarung über gemeinsame Verantwortlichkeit ergänzen.

16. Anwendbares Recht, Gerichtsstand, Sprache und Änderungen

Es gilt ausschliesslich schweizerisches Recht unter Ausschluss des Kollisionsrechts und des Wiener Kaufrechts (CISG), unbeschadet zwingender Datenschutzvorschriften des revDSG und der DSGVO. Ausschliesslicher Gerichtsstand ist der Sitz von SimplyConnect (Lengnau AG; zuständiges Bezirksgericht Baden/Zurzach AG), soweit nicht zwingendes Recht etwas anderes vorsieht.

Massgeblich ist die deutsche Fassung; die englische Fassung ist eine unverbindliche Übersetzung. SimplyConnect kann diesen AVV mit angemessener Vorankündigung ändern, soweit dies zur Anpassung an geänderte rechtliche oder technische Anforderungen erforderlich ist und das Schutzniveau nicht unterschritten wird; Ziff. 9 (Unterauftragsbearbeiter) bleibt vorbehalten. Sollte eine Bestimmung unwirksam sein, bleiben die übrigen Bestimmungen unberührt.

Juristische Prüfung: Bezeichnung des zuständigen Gerichts sowie zwingende Gerichtsstände bei Beteiligung von Privatpersonen bestätigen.

Anhang 1 – Beschreibung der Bearbeitung

Gegenstand: Erbringung des Cloud-Dienstes evidona (elektronische Signatur-Abläufe und damit verbundene Funktionen).
Art der Bearbeitung: Erheben, Speichern, Verwenden, Bekanntgeben (an Unterzeichner/Empfänger), automatisiertes Löschen; Erzeugung und Versiegelung des Beweis-Pakets; OTP-Zustellung; Support.
Zweck: Durchführung und Nachweis elektronischer Signaturen (SES/AES) sowie – künftig, cloud-only – Identitätsprüfung als höhere Signaturstufe.
Kategorien betroffener Personen: berechtigte Nutzer des Kunden; Unterzeichner und Gast-Unterzeichner; im Dokumentinhalt genannte Personen.
Kategorien von Personendaten: Identifikations- und Kontaktdaten (Name, E-Mail, Telefon); Authentisierungsdaten; Inhaltsdaten der Dokumente (vom Kunden bestimmt); Nachweis-/Protokolldaten (Zeitstempel, SHA-256-Hash, Unterzeichner-Metadaten, Signaturprotokoll, technische Zugriffsdaten).
Besonders schützenswerte Personendaten: nur soweit vom Kunden hochgeladen; Verantwortung beim Kunden.
Dauer der Bearbeitung: für die Dauer des Cloud-Vertrags; Dokumentinhalt Standard 90 Tage (konfigurierbar), danach automatische Löschung; Nachweis-Datensatz länger (siehe Ziff. 12).
Datenstandort: Deutschland / EU.

Juristische Prüfung: Anhang 1 nach Festlegung des finalen Funktionsumfangs und der Aufbewahrungsdauer des Nachweis-Datensatzes vervollständigen.

Anhang 2 – Technische und organisatorische Massnahmen (TOM)

Platzhalter – aus der tatsächlichen Implementierung zu füllen. Die nachstehenden Punkte sind Strukturvorgaben; die konkreten Massnahmen sind vor Veröffentlichung verbindlich zu beschreiben.

Vertraulichkeit: Zutritts-, Zugangs- und Zugriffskontrolle; rollenbasierte Berechtigungen; Trennung der Mandanten (Organisationen).
Integrität: SHA-256-Integritäts-Hash; kontrollierte Zeitquelle und qualifizierter Zeitstempel; versiegeltes Signaturprotokoll; Schutz vor unbefugter Veränderung.
Verfügbarkeit und Belastbarkeit: Backups, Wiederherstellung, Ausfallsicherheit der eingesetzten Infrastruktur (DE/EU).
Verschlüsselung: Transportverschlüsselung (TLS) und Verschlüsselung gespeicherter Daten (at rest).
Authentisierung: Konto-Login mit OTP/Mehr-Faktor; OTP-Zustellung an Unterzeichner per E-Mail/SMS.
Pseudonymisierung/Datenminimierung: automatische Löschung des Dokumentinhalts nach Aufbewahrungsfrist; Beschränkung auf erforderliche Daten.
Verfahren zur Überprüfung, Bewertung und Evaluierung: Logging, Incident-Management, regelmässige Überprüfung der Massnahmen.

Juristische Prüfung: TOM-Beschreibung aus der produktiven Architektur ableiten (eingesetzte Verschlüsselung, Schlüsselverwaltung, Backup-/Löschkonzept, Hosting-Region, Zertifizierungen) und nachprüfbar belegen.

Anhang 3 – Liste der Unterauftragsbearbeiter

Platzhalter – die folgende Liste ist vor Veröffentlichung mit Firmenname, Sitz, Leistung und Datenstandort je Unterauftragsbearbeiter zu vervollständigen; sämtliche Einträge sind noch offen.

Leistung	Unterauftragsbearbeiter	Sitz / Datenstandort	Bearbeitete Daten
Hosting / Infrastruktur	offen	Deutschland / EU	sämtliche Auftragsdaten (Hosting)
Zahlungsabwicklung	Mollie oder Payrexx (offen)	offen	Abrechnungs-/Zahlungsdaten
E-Mail-Versand	offen	offen	E-Mail-Adressen, Versand-/OTP-Daten
SMS-Versand (OTP)	offen	offen	Telefonnummern, OTP-Zustelldaten
Identitätsprüfung / KYC (künftig, cloud-only)	offen	offen	Identitätsprüfungsdaten

Juristische Prüfung: (1) finalen Zahlungsdienstleister (Mollie/Payrexx) bestimmen – nicht Stripe; (2) Hosting-, E-Mail- und SMS-Anbieter sowie Datenstandort je Anbieter eintragen; (3) künftigen Identitätsprüfungs-/KYC-Dienstleister auswählen und SCC/Transfergarantien ergänzen, bevor die Funktion aktiviert wird.

← Zur Startseite