Auftragsverarbeitungsvertrag (AVV)

Fassung vom 18. August 2026

Dieser Vertrag gilt zwischen dem Kunden (nachfolgend „Verantwortlicher") und der

Bonus Service BS GmbH, Dorotheenstr. 5, 45130 Essen (nachfolgend „Auftragsverarbeiter")

und ergänzt die Allgemeinen Geschäftsbedingungen für das Portal Unterschrift.app.

Er gilt mit dem Abschluss des Nutzungsvertrages, ohne dass es einer gesonderten Anforderung oder Unterzeichnung bedarf. Art. 28 Abs. 9 DSGVO lässt die elektronische Form ausdrücklich zu. Eine unterschriebene Papierfassung stellen wir auf Wunsch aus; für die Wirksamkeit ist sie nicht erforderlich.

§ 1 Gegenstand und Dauer

(1) Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen der Bereitstellung des Portals Unterschrift.app.

(2) Die Dauer entspricht der Laufzeit des Nutzungsvertrages. Endet dieser, endet auch dieser Vertrag; § 9 bleibt davon unberührt.

§ 2 Art, Zweck und Umfang der Verarbeitung

(1) Zweck ist ausschließlich die vertraglich vereinbarte Leistung: das Bereitstellen, Versenden, Signieren und Aufbewahren der Dokumente des Verantwortlichen sowie die dazugehörige Benachrichtigung der Unterzeichner.

(2) Art der Verarbeitung: Erheben, Speichern, Organisieren, Übermitteln an die vom Verantwortlichen benannten Unterzeichner, Auslesen zur Anzeige, Zusammenführen zum signierten Dokument und Löschen.

(3) Kategorien betroffener Personen:

Unterzeichner, die der Verantwortliche zur Unterschrift auffordert
in den hochgeladenen Dokumenten genannte Personen
Beschäftigte des Verantwortlichen, die das Portal bedienen

(4) Arten personenbezogener Daten:

Name und E-Mail-Adresse der Unterzeichner
Inhalte der hochgeladenen Dokumente, einschließlich aller darin enthaltenen personenbezogenen Daten
Angaben, die Unterzeichner in Formularfelder eintragen — etwa Anschrift, Geburtsdatum oder Bankverbindung, je nachdem, welche Felder der Verantwortliche vorsieht
das Unterschriftsbild
Nachweisdaten zum Signiervorgang: Zeitpunkt, IP-Adresse und Browserkennung des Unterzeichners

(5) Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO verarbeitet der Auftragsverarbeiter nicht gezielt. Enthält ein hochgeladenes Dokument solche Daten, entscheidet allein der Verantwortliche darüber; er hat zu prüfen, ob dafür eine Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO besteht.

(6) Keine Auswertung. Der Auftragsverarbeiter liest die Inhalte der Dokumente nicht aus, wertet sie nicht aus, erstellt daraus keine Statistiken und verwendet sie insbesondere nicht zum Training oder zur Anwendung von Verfahren künstlicher Intelligenz. Eine automatisierte Entscheidungsfindung und ein Profiling finden nicht statt.

§ 3 Weisungsbindung (Art. 28 Abs. 3 lit. a DSGVO)

(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach dem Recht der Union oder der Mitgliedstaaten zu einer Verarbeitung verpflichtet; in diesem Fall teilt er dies dem Verantwortlichen vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Die Bedienung des Portals ist die Weisung. Welche Dokumente hochgeladen, an wen sie versandt und welche Felder erhoben werden, bestimmt der Verantwortliche durch seine Eingaben. Einer gesonderten Erklärung bedarf es dafür nicht.

(3) Ausdrücklich erteilte Weisungen. Mit dem Abschluss dieses Vertrages weist der Verantwortliche den Auftragsverarbeiter an,

die Angaben eines Unterzeichners 30 Tage nach Ablauf des Signierlinks zu löschen, wenn der Vorgang bis dahin nicht abgeschlossen wurde,
einen offenen Vorgang spätestens 365 Tage nach seiner Anlage zu beenden und die zugehörigen Daten des Unterzeichners zu löschen,
automatische Erinnerungen an noch ausstehende Unterschriften zu versenden, höchstens fünf je Empfänger,
Zeitpunkt, IP-Adresse und Browserkennung des Unterzeichners in einem Prüfprotokoll festzuhalten und dieses als Bestandteil des signierten Dokuments mitzusignieren.

Der Verantwortliche wurde darauf hingewiesen, dass das Prüfprotokoll untrennbar mit dem Dokument verbunden ist: Es ist für jeden Empfänger des fertigen PDF sichtbar und lässt sich nachträglich nicht entfernen, ohne die Signatur zu zerstören. Der Verantwortliche hat die Unterzeichner hierüber nach Art. 13 DSGVO zu unterrichten.

(4) Hinweispflicht. Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen die Datenschutz-Grundverordnung oder gegen andere Datenschutzbestimmungen verstößt, teilt er dies dem Verantwortlichen unverzüglich mit. Er ist berechtigt, die Ausführung der Weisung bis zu deren Bestätigung oder Änderung auszusetzen.

§ 4 Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO)

(1) Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht auch nach dem Ende ihrer Tätigkeit fort.

(2) Die eingesetzten Personen sind mit den einschlägigen Vorschriften des Datenschutzes vertraut gemacht.

(3) Zugriff auf Inhalte nur im Anlassfall. Ein Zugriff auf die Dokumente des Verantwortlichen erfolgt ausschließlich, soweit er zur Beseitigung einer Störung erforderlich ist oder der Verantwortliche darum bittet. Solche Zugriffe werden protokolliert.

§ 5 Technische und organisatorische Maßnahmen (Art. 28 Abs. 3 lit. c, Art. 32 DSGVO)

(1) Der Auftragsverarbeiter trifft die nachfolgenden Maßnahmen. Sie beschreiben den tatsächlichen Stand; was nicht getroffen ist, legt Absatz 2 offen.

Vertraulichkeit

Verschlüsselte Übertragung des gesamten Verkehrs mit dem Portal (TLS), mit erzwungener Umleitung unverschlüsselter Aufrufe
Zugriffskontrolle über persönliche Konten mit Rollen; Anmeldung wahlweise über Passwort, E-Mail-Link, Passkey oder zweiten Faktor
Verschlüsselte Speicherung der Passwörter über ein Einwegverfahren; eine Klartextspeicherung findet nicht statt
Mandantentrennung: Jeder Datenbankzugriff auf Dokumente und Vorgänge ist auf die Organisation des Anfragenden eingeschränkt. Ein Zugriff auf Daten anderer Kunden ist auch bei Kenntnis einer Kennung nicht möglich.
Zugriff auf Dokumente ausschließlich über zeitlich befristete, signierte Verweise; ein unmittelbarer Abruf aus dem Dateispeicher ist von außen nicht möglich
Signierlinks mit begrenzter Gültigkeit, die nur den jeweiligen Unterzeichner und nur das ihm zugewiesene Dokument erreichen

Integrität

Mitsigniertes Prüfprotokoll: Jede nachträgliche Veränderung des fertigen Dokuments ist erkennbar
Protokollierung administrativer Zugriffe auf Inhaltsdaten
Trennung von Test- und Produktivumgebung

Verfügbarkeit und Belastbarkeit

Tägliche Sicherung von Datenbank und Dokumentenbestand
Auslagerung der Sicherung an einen zweiten Standort, damit sie den Verlust des Servers übersteht
Prüfung jeder Sicherung auf Verwertbarkeit unmittelbar nach ihrer Erstellung; schlägt sie fehl, wird der Auftragsverarbeiter aktiv benachrichtigt
Aufbewahrung der Sicherungen für 14 Tage
regelmäßige Sicherheitsaktualisierungen der eingesetzten Systeme

Verfahren zur Überprüfung

Automatische Durchsetzung der Löschfristen nach § 3 Abs. 3 durch einen täglich laufenden Vorgang
Nachvollziehbarkeit aller Änderungen am Programmcode über eine Versionsverwaltung

Ort der Verarbeitung

Server, Datenbank und Dokumentenspeicher ausschließlich in Deutschland (Rechenzentrum Frankfurt am Main)

(2) Offengelegte Grenzen. Die Dokumente werden auf dem Dateispeicher nicht zusätzlich inhaltsverschlüsselt abgelegt; der Schutz beruht auf der Zugriffskontrolle des Servers und darauf, dass der Speicher von außen nicht erreichbar ist. Regelmäßige Penetrationstests durch Dritte finden derzeit nicht statt. Der Auftragsverarbeiter legt dies offen, statt eine nicht bestehende Maßnahme zuzusichern.

(3) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie ändern, solange das Schutzniveau nicht unterschritten wird.

§ 6 Unterauftragsverarbeiter (Art. 28 Abs. 2 und Abs. 3 lit. d DSGVO)

(1) Der Verantwortliche stimmt dem Einsatz der nachfolgenden Unterauftragsverarbeiter zu:

| Unternehmen | Leistung | Ort | |---|---|---| | IONOS SE, Elgendorfer Str. 57, 56410 Montabaur | Server, Datenbank und Dateispeicher | Frankfurt am Main, Deutschland | | ALL-INKL.COM – Neue Medien Münnich, Hauptstr. 68, 02742 Friedersdorf | Versand der E-Mails an die Unterzeichner | Deutschland | | Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen | Aufbewahrung der ausgelagerten Datensicherung | Deutschland |

(2) Stripe ist kein Unterauftragsverarbeiter dieses Vertrages. Die Zahlungsabwicklung betrifft ausschließlich die Vertrags- und Zahlungsdaten des Verantwortlichen selbst, nicht die Daten seiner Unterzeichner. Stripe handelt dabei als eigener Verantwortlicher, weil das Unternehmen eigene aufsichts- und geldwäscherechtliche Pflichten erfüllt. Die Dokumente und die Angaben der Unterzeichner erreichen Stripe zu keinem Zeitpunkt.

(3) Der Auftragsverarbeiter hat mit den in Absatz 1 genannten Unternehmen Verträge geschlossen, die den Anforderungen des Art. 28 DSGVO genügen, und ihnen dieselben Pflichten auferlegt, die ihn nach diesem Vertrag treffen.

(4) Änderungen. Der Auftragsverarbeiter teilt jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters mindestens vier Wochen vorher in Textform mit. Der Verantwortliche kann binnen zwei Wochen ab Zugang aus einem wichtigen datenschutzrechtlichen Grund widersprechen. Widerspricht er, kann der Auftragsverarbeiter die Leistung im bisherigen Umfang fortführen oder den Vertrag mit einer Frist von einem Monat kündigen; bereits gezahlte Entgelte werden anteilig erstattet.

(5) Die jeweils geltende Liste ist unter dieser Adresse abrufbar.

§ 7 Unterstützung bei den Rechten betroffener Personen (Art. 28 Abs. 3 lit. e DSGVO)

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträgen betroffener Personen nach den Art. 12 bis 23 DSGVO nachzukommen.

(2) Wendet sich ein Unterzeichner unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst, soweit es Vorgangs- und Dokumentdaten betrifft.

(3) Ausgenommen sind Verarbeitungen in eigener Verantwortung. Für die Server-Protokolle, die beim Aufruf des Signierlinks entstehen, sowie für Maßnahmen zur Abwehr von Missbrauch und zur Sicherung des Betriebs ist der Auftragsverarbeiter selbst Verantwortlicher (Art. 6 Abs. 1 lit. f DSGVO). Anträge, die ausschließlich diese Daten betreffen, beantwortet er selbst.

(4) Aufwand für Unterstützungsleistungen, die über den üblichen Rahmen hinausgehen, ist zu vergüten; der Auftragsverarbeiter weist darauf vorher hin.

§ 8 Unterstützung bei den Pflichten der Art. 32 bis 36 DSGVO (Art. 28 Abs. 3 lit. f)

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus den Art. 32 bis 36 DSGVO, insbesondere bei der Sicherheit der Verarbeitung, bei der Meldung von Verletzungen des Schutzes personenbezogener Daten und bei einer etwaigen Datenschutz-Folgenabschätzung.

(2) Meldung von Schutzverletzungen. Wird dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten bekannt, unterrichtet er den Verantwortlichen unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung. Die Mitteilung enthält, soweit bekannt: die Art der Verletzung, die betroffenen Datenkategorien, die ungefähre Zahl der Betroffenen und der Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen. Die Frist ist so bemessen, dass der Verantwortliche seine eigene Frist von 72 Stunden aus Art. 33 Abs. 1 DSGVO wahren kann.

(3) Meldungen an die Aufsichtsbehörde und an die betroffenen Personen nimmt der Verantwortliche vor; der Auftragsverarbeiter meldet nicht in dessen Namen, es sei denn, er wird ausdrücklich damit beauftragt.

§ 9 Löschung und Rückgabe (Art. 28 Abs. 3 lit. g DSGVO)

(1) Nach Beendigung der Verarbeitungsleistungen löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie zurück und löscht vorhandene Kopien, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.

(2) Der Verantwortliche kann seine Daten jederzeit selbst herunterladen. Die signierten Dokumente stehen ihm im Portal als PDF zur Verfügung. Nach Vertragsende bleibt der Zugriff hierauf 30 Tage erhalten; die Wahl nach Absatz 1 ist innerhalb dieser Frist zu treffen. Trifft der Verantwortliche keine Wahl, löscht der Auftragsverarbeiter nach Ablauf der Frist.

(3) Daten in laufenden Datensicherungen werden mit deren regulärem Ablauf nach spätestens 14 Tagen gelöscht. Bis dahin bleiben sie gegen Zugriff geschützt und werden nicht verarbeitet.

§ 10 Nachweise und Kontrollen (Art. 28 Abs. 3 lit. h DSGVO)

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind.

(2) Er ermöglicht Überprüfungen — einschließlich Inspektionen — durch den Verantwortlichen oder einen von diesem beauftragten Prüfer und trägt dazu bei.

(3) Überprüfungen sind mit einer Frist von mindestens zwei Wochen anzukündigen, auf die Geschäftszeiten zu legen und so durchzuführen, dass der Betrieb nicht unangemessen beeinträchtigt wird; in der Regel genügt eine Überprüfung im Kalenderjahr. Bei einem konkreten Anlass, insbesondere nach einer Schutzverletzung, entfallen diese Beschränkungen.

(4) Der Prüfer darf kein Wettbewerber des Auftragsverarbeiters sein und ist zur Verschwiegenheit zu verpflichten. Ein Zugriff auf Daten anderer Kunden ist ausgeschlossen.

§ 11 Übermittlung in Drittländer

Eine Verarbeitung der von diesem Vertrag erfassten Daten findet ausschließlich in der Bundesrepublik Deutschland statt. Eine Übermittlung in ein Drittland oder an eine internationale Organisation erfolgt nicht. Sollte eine solche Übermittlung künftig beabsichtigt sein, kündigt der Auftragsverarbeiter sie vorher an und nimmt sie nur auf einer Grundlage nach Kapitel V der DSGVO vor.

§ 12 Schlussbestimmungen

(1) Rangfolge. Bei Widersprüchen zwischen diesem Vertrag und den Allgemeinen Geschäftsbedingungen geht dieser Vertrag vor, soweit es um die Verarbeitung personenbezogener Daten im Auftrag geht.

(2) Änderungen dieses Vertrages bedürfen der Textform. Der Auftragsverarbeiter kann ihn anpassen, soweit geänderte rechtliche Anforderungen, Vorgaben einer Aufsichtsbehörde oder Änderungen bei den eingesetzten Unterauftragsverarbeitern dies veranlassen; er teilt dies mindestens vier Wochen vorher in Textform mit und weist auf das Widerspruchsrecht nach § 6 Abs. 4 hin.

(3) Haftung. Es gilt Art. 82 DSGVO. Die Haftungsregelungen der Allgemeinen Geschäftsbedingungen bleiben für das Innenverhältnis unberührt, soweit Art. 82 DSGVO dem nicht entgegensteht.

(4) Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt.

(5) Es gilt das Recht der Bundesrepublik Deutschland.