Auftragsverarbeitung & TOM
Rahmen und technische Maßnahmen für eine Auftragsverarbeitungsvereinbarung nach Art. 28 DSGVO. Vor dem geschäftlichen Einsatz mit personenbezogenen Dokumentdaten ist die Vereinbarung mit konkreten Parteien und Anlagen abzuschließen. Diese Informationsseite allein ersetzt keinen abgeschlossenen AVV.
Vertragspartner und Abschluss
Auftragsverarbeiter: Kevin Feiler Einzelunternehmen, Königstraße 5, 70173 Stuttgart, Deutschland, vertreten durch Kevin Feiler. Verantwortlicher: der jeweilige Kunde mit vollständiger Firmierung, Anschrift und vertretungsberechtigter Person. Fordere die konkrete Vereinbarung über info@tausio.cloud mit dem Betreff „Tausio Sign AVV“ an. Teile Ansprechpartner, Datenarten, betroffene Personengruppen und den geplanten Einsatz mit. Vor Abschluss müssen die tatsächlich eingesetzten Unterauftragnehmer, Verarbeitungsorte und Weisungskontakte im Vertrag vollständig benannt sein.
Gegenstand, Dauer und Daten
Gegenstand ist die vom Kunden beauftragte Speicherung, Vorbereitung, Bereitstellung und Dokumentation elektronischer Unterschriftsvorgänge einschließlich Export und Löschung. Dauer und Umfang richten sich nach dem Hauptvertrag und den vereinbarten Weisungen. In Betracht kommen Kontakt- und Adressdaten, Vertragsinhalte, Signaturbilder, Formularangaben, Zustimmungen und technische Nachweisdaten. Betroffen sein können Kunden, Lieferanten, Beschäftigte, Vertragspartner und vom Kunden bezeichnete Personen. Besondere Kategorien personenbezogener Daten sind vorab gesondert auf Eignung und zusätzliche Maßnahmen zu prüfen.
Weisungen und Vertraulichkeit
Verarbeitung erfolgt nur auf dokumentierte Weisung des Verantwortlichen einschließlich der gesetzlich erforderlichen Weisungen für etwaige Drittlandübermittlungen, sofern keine gesetzliche Verarbeitungspflicht besteht. In einem solchen Fall wird der Verantwortliche vorab informiert, soweit rechtlich zulässig. Zum Zugriff berechtigte Personen werden zur Vertraulichkeit verpflichtet oder unterliegen einer entsprechenden gesetzlichen Pflicht. Bedenken gegen rechtswidrige Weisungen werden unverzüglich mitgeteilt.
Unterstützung und Kontrolle
Der konkrete AVV muss die Unterstützung bei Betroffenenrechten, Sicherheit nach Art. 32 DSGVO, Meldung von Verletzungen des Schutzes personenbezogener Daten ohne unangemessene Verzögerung, Datenschutz-Folgenabschätzungen und Konsultationen regeln. Notwendige Nachweise und Überprüfungen einschließlich angemessener Inspektionen sind im gesetzlichen Rahmen zu ermöglichen. Weisungen, Vorfälle und vereinbarte Änderungen müssen nachvollziehbar dokumentiert werden.
Unterauftragnehmer und zusätzliche Dienste
Unterauftragnehmer dürfen nur auf Grundlage der im AVV vereinbarten vorherigen besonderen oder allgemeinen schriftlichen Genehmigung eingesetzt werden. Bei allgemeiner Genehmigung sind beabsichtigte Änderungen rechtzeitig anzukündigen und ein Widerspruchsverfahren vorzusehen. Es sind gleichwertige Datenschutzpflichten aufzuerlegen. Vom Kunden selbst beauftragter SMTP-Versand oder optional aktivierte OpenAI-Verarbeitung erfordern eine eigene Prüfung der Verantwortlichkeiten, Rechtsgrundlagen, Anbieterbedingungen und gegebenenfalls Drittlandgarantien. Die lokale Schreibhilfe benötigt keinen externen KI-Anbieter.
TOM · Zugang und Trennung
Technische Maßnahmen dieser Installation: HTTPS am öffentlichen Zugang; bestätigte E-Mail-Adressen; verpflichtende Authenticator-Einrichtung; optionale Passkeys mit Nutzerbestätigung; scrypt-Passworthashes; befristete HttpOnly-Sitzungen; Prüfung von Konto- und Team-Zugehörigkeit sowie Schreibrechten; befristete widerrufbare Unterschriftslinks. API-Zugänge werden nur gehasht gespeichert, sind befristet und widerrufbar. Der interne Dateispeicher ist nicht öffentlich erreichbar.
TOM · Inhalt und Betrieb
Neu gespeicherte PDFs erhalten zwei AES-256-GCM-Schichten mit verschiedenen Schlüsseln. Entwürfe, gespeicherte Feldwerte und SMTP-/API-Geheimnisse werden auf Anwendungsebene verschlüsselt. Original und Abschlussdatei bleiben getrennt. Hash-Prüfsummen und verkettete Ereignisse unterstützen die Integritätsprüfung. Ein technisches Serversiegel verwendet ein selbst ausgestelltes Zertifikat. Anwendungsbezogene Begrenzungen reduzieren HTTP-Missbrauch. Der Betrieb enthält tägliche lokale Sicherungen mit vierzehntägiger Rotation. Das ersetzt keine geographisch getrennte Notfallkopie und keinen zugesagten Wiederherstellungswert. Physische Maßnahmen und tatsächlich beteiligte Infrastrukturpartner sind vor AVV-Abschluss im Einzelfall zu ergänzen.
Rückgabe, Löschung und Ende
Nach Ende der beauftragten Leistungen sind die personenbezogenen Daten nach Wahl des Verantwortlichen zurückzugeben oder zu löschen, soweit keine gesetzliche Speicherungspflicht besteht. Die konkrete Vereinbarung muss Exportwege, Fristen, Sicherungsrotation und Nachweise festlegen. Dokumente im Papierkorb werden nach dreißig Tagen aus dem aktiven System entfernt; rollierende Sicherungen können Kopien bis zum Ablauf ihrer Aufbewahrung enthalten. Betrieb und Kontodaten, für die der Anbieter eigenständig verantwortlich ist, sind getrennt zu betrachten.