Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO
Fassung vom 22.10.2026
zwischen
Firma: ______________________________
Anschrift: ______________________________
vertreten durch: ______________________________
(„Auftraggeber“)
und
Devin Lemcke Capital UG (haftungsbeschränkt), Bahrenfelder Kirchenweg 36, 22761 Hamburg, vertreten durch den Geschäftsführer Devin Lemcke, Betreiberin von CanUSign (canusign.com)
(„Auftragnehmer“)
§ 1 Gegenstand und Dauer
(1) Der Auftragnehmer betreibt die Plattform CanUSign zum elektronischen Unterzeichnen von Dokumenten. Dieser Vertrag regelt die Verarbeitung personenbezogener Daten, die der Auftragnehmer dabei im Auftrag des Auftraggebers vornimmt. Grundlage der Leistung ist der Nutzungsvertrag über das Konto des Auftraggebers zu den Allgemeinen Geschäftsbedingungen von CanUSign („Hauptvertrag“).
(2) Dieser Vertrag gilt, solange der Auftragnehmer für den Auftraggeber personenbezogene Daten verarbeitet. Er endet ohne gesonderte Kündigung mit dem Hauptvertrag; § 9 gilt darüber hinaus.
§ 2 Art, Zweck und Umfang der Verarbeitung
(1) Zweck: Bereitstellung der Plattform, also Hochladen und Erstellen von Dokumenten, Platzieren von Unterschriftsfeldern, Versand von Einladungen zur Unterschrift, Erfassen der Unterschriften, Erstellen des unterschriebenen PDF mit Prüfprotokoll und Speichern der Dokumente im Konto. Auf Wunsch kommen eine automatische Erkennung von Unterschriftsfeldern und eine Kurzfassung des Dokuments für die Unterzeichner hinzu.
(2) Art der Daten:
- Inhalte der hochgeladenen Dokumente, soweit sie personenbezogene Daten enthalten
- Namen und E-Mail-Adressen der Unterzeichner
- Unterschriftsbilder und Texte, die Unterzeichner eingeben
- Prüfprotokoll: Zeitpunkte, IP-Adresse und Browserkennung beim Öffnen und Unterschreiben
- Kontodaten der Nutzer des Auftraggebers (Name, E-Mail-Adresse, Anmeldedaten)
(3) Kategorien betroffener Personen: Beschäftigte des Auftraggebers, seine Kunden und deren Ansprechpartner sowie weitere Personen, die der Auftraggeber zur Unterschrift einlädt.
(4) Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO verarbeitet der Auftragnehmer nur, soweit der Auftraggeber sie in Dokumente aufnimmt. Ob das zulässig ist, prüft der Auftraggeber.
(5) Die Verarbeitung findet in der Europäischen Union statt. Eine Übermittlung in ein Drittland erfolgt nur nach § 6 und Anlage 1.
(6) Zahlungs- und Rechnungsdaten des Auftraggebers verarbeitet der Auftragnehmer als eigener Verantwortlicher; sie sind nicht Gegenstand dieses Vertrags.
§ 3 Weisungen
(1) Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, auch in Bezug auf Übermittlungen in ein Drittland, es sei denn, er ist durch Unionsrecht oder das Recht eines Mitgliedstaats dazu verpflichtet. In diesem Fall teilt er dem Auftraggeber diese Pflicht vor der Verarbeitung mit, sofern das Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.
(2) Weisungen sind der Hauptvertrag, dieser Vertrag sowie die Einstellungen und Handlungen des Auftraggebers in seinem Konto. Weitere Weisungen erteilt der Auftraggeber in Textform an contact@canusign.com.
(3) Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber unverzüglich. Er darf die Ausführung aussetzen, bis der Auftraggeber sie bestätigt oder ändert.
§ 4 Pflichten des Auftragnehmers
(1) Der Auftragnehmer gewährleistet, dass alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.
(2) Er trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die Anlage 2 beschreibt. Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt.
(3) Er unterstützt den Auftraggeber angesichts der Art der Verarbeitung nach Möglichkeit dabei, Anträge betroffener Personen nach Kapitel III DSGVO zu beantworten. Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter.
(4) Er unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm vorliegenden Informationen bei den Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei Meldungen von Datenschutzverletzungen und einer Datenschutz-Folgenabschätzung.
(5) Er meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, nachdem sie ihm bekannt geworden ist, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie ihm vorliegen.
(6) Ansprechpartner für den Datenschutz ist der Geschäftsführer, Devin Lemcke, contact@canusign.com.
§ 5 Weitere Auftragsverarbeiter
(1) Der Auftraggeber erteilt die allgemeine Genehmigung, weitere Auftragsverarbeiter einzusetzen. Die bei Vertragsschluss eingesetzten nennt Anlage 1; sie gelten als genehmigt.
(2) Der Auftragnehmer informiert den Auftraggeber mindestens 30 Tage vor jeder beabsichtigten Hinzuziehung oder Ersetzung in Textform. Der Auftraggeber kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund Einspruch erheben. Einigen sich die Parteien nicht, darf der Auftraggeber den Hauptvertrag zum Zeitpunkt der Änderung kündigen.
(3) Der Auftragnehmer erlegt jedem weiteren Auftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die dieser Vertrag vorsieht. Kommt ein weiterer Auftragsverarbeiter seinen Pflichten nicht nach, haftet der Auftragnehmer gegenüber dem Auftraggeber für deren Einhaltung.
(4) Dienste, die der Auftraggeber oder ein Unterzeichner selbst wählt und die in eigener Verantwortung handeln, etwa die Anmeldung mit einem Google-Konto, sind keine weiteren Auftragsverarbeiter.
§ 6 Übermittlung in Drittländer
Eine Übermittlung in ein Land außerhalb des Europäischen Wirtschaftsraums erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere auf Grundlage des Angemessenheitsbeschlusses zum EU-US Data Privacy Framework oder der Standardvertragsklauseln der Europäischen Kommission. Die Grundlage je Auftragsverarbeiter nennt Anlage 1.
§ 7 Nachweise und Überprüfungen
(1) Der Auftragnehmer stellt dem Auftraggeber alle Informationen zur Verfügung, die zum Nachweis der Pflichten aus diesem Vertrag erforderlich sind.
(2) Er ermöglicht Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer und trägt dazu bei. Überprüfungen vor Ort kündigt der Auftraggeber mit angemessener Frist an, in der Regel 14 Tage; sie finden während der üblichen Geschäftszeiten statt und dürfen den Betrieb nicht unverhältnismäßig stören. Der Auftragnehmer kann Nachweise auch durch aktuelle Prüfberichte oder Zertifikate seiner Auftragsverarbeiter erbringen.
§ 8 Pflichten des Auftraggebers
Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere dafür, die Unterzeichner nach Art. 13 und 14 DSGVO zu informieren. Stellt er Fehler oder Unregelmäßigkeiten bei der Verarbeitung fest, informiert er den Auftragnehmer unverzüglich.
§ 9 Löschung und Rückgabe
(1) Der Auftraggeber kann seine Dokumente jederzeit im Konto herunterladen und einzeln löschen.
(2) Nach Ende des Hauptvertrags löscht der Auftragnehmer nach Wahl des Auftraggebers alle personenbezogenen Daten oder gibt sie zurück und löscht die vorhandenen Kopien, sofern keine gesetzliche Pflicht zur Speicherung besteht. Löscht der Auftraggeber sein Konto, gilt das als Wahl der Löschung.
(3) Vollständig unterschriebene Dokumente, an denen außer dem Auftraggeber weitere Personen beteiligt sind, bewahrt der Auftragnehmer nach der Löschung des Kontos vom Konto getrennt auf, damit die übrigen Unterzeichner ihr Exemplar über ihren Link weiter abrufen und prüfen können. Sie werden mit Ablauf des zehnten Kalenderjahres nach der letzten Unterschrift gelöscht. Der Auftraggeber weist das mit diesem Vertrag an. Er kann stattdessen in Textform verlangen, dass auch diese Dokumente sofort gelöscht werden; dann löscht der Auftragnehmer sie innerhalb von 30 Tagen.
(4) Sicherungen werden bei den Auftragsverarbeitern nach deren Fristen überschrieben: die Datenbank nach 24 Stunden, Sicherungen der Hosting-Infrastruktur nach 30 Tagen.
§ 10 Schlussbestimmungen
(1) Für die Haftung gilt Art. 82 DSGVO, im Übrigen der Hauptvertrag.
(2) Bei Widersprüchen geht dieser Vertrag dem Hauptvertrag vor, soweit es um den Schutz personenbezogener Daten geht.
(3) Änderungen bedürfen der Textform. Der Vertrag kann in elektronischem Format geschlossen werden (Art. 28 Abs. 9 DSGVO).
(4) Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam.
(5) Es gilt deutsches Recht. Gerichtsstand ist Hamburg, soweit gesetzlich zulässig.
Anlagen: 1 Weitere Auftragsverarbeiter, 2 Technische und organisatorische Maßnahmen
| Für den Auftraggeber | Für den Auftragnehmer |
|---|---|
| Elektronisch abgeschlossen am ______________________________ durch ______________________________, über das Konto ______________________________ | Elektronisch abgeschlossen am ______________________________ durch Devin Lemcke, Geschäftsführer |
Anlage 1: Weitere Auftragsverarbeiter
Stand: 22.10.2026
| Anbieter | Leistung | Ort der Verarbeitung | Grundlage bei Drittlandbezug |
|---|---|---|---|
| Devin Lemcke (Einzelunternehmen), Bahrenfelder Kirchenweg 36, 22761 Hamburg | Bereitstellung von Hosting, Datenbank, Cloud-Diensten und E-Mail-Versand über seine Verträge mit den folgenden Anbietern; Zugriff nur durch Devin Lemcke | Hamburg, Deutschland | keine Übermittlung, Vertrag nach Art. 28 Abs. 4 DSGVO |
| Vercel Inc., USA | Hosting der Anwendung, Serverfunktionen, Dateispeicher für Dokumente und Unterschriftsbilder | Frankfurt am Main (Region fra1) | EU-US Data Privacy Framework; Standardvertragsklauseln im Data Processing Addendum |
| Databricks, Inc. (Neon), USA | Datenbank | Frankfurt am Main (AWS eu-central-1) | EU-US Data Privacy Framework; ersatzweise Standardvertragsklauseln (Modul 3) |
| Google Cloud | Erzeugung der PDF-Dateien; KI-Funktionen Felderkennung und Kurzfassung (Modell Gemini), Inhalte werden nicht zum Training verwendet | Frankfurt am Main (Region europe-west3) | EU-US Data Privacy Framework; Standardvertragsklauseln |
| Plus Five Five, Inc. (Resend), San Francisco, USA | Versand der E-Mails (Einladungen, Erinnerungen, Abschlussmitteilungen) | Versand über Irland (Region eu-west-1) | EU-US Data Privacy Framework; Standardvertragsklauseln |
Die vier Anbieter setzt das Einzelunternehmen von Devin Lemcke ein, das die Infrastruktur für CanUSign bereitstellt; es ist an dieselben Pflichten gebunden wie der Auftragnehmer. Die Daten liegen in Frankfurt am Main. Die Anbieter haben ihren Sitz in den USA, deshalb ist ein Zugriff aus den USA nicht ausgeschlossen; dafür gilt die genannte Grundlage.
Anlage 2: Technische und organisatorische Maßnahmen
Stand: 22.10.2026
1. Vertraulichkeit
Zutrittskontrolle: Der Auftragnehmer betreibt keine eigenen Server. Die Rechenzentren gehören den Auftragsverarbeitern in Anlage 1 und sind nach deren Verfahren gesichert. Vercel ist nach ISO 27001:2022 zertifiziert und hat eine SOC-2-Typ-2-Prüfung; Databricks (Neon) ist nach ISO 27001 und ISO 27701 zertifiziert und hat einen SOC-2-Bericht.
Zugangskontrolle:
- Nutzer melden sich per Passkey, per Einmal-Link an ihre E-Mail-Adresse oder mit einem Google-Konto an. Passwörter verwendet CanUSign nicht.
- Unterzeichner erhalten je Dokument und Rolle einen zufälligen, nicht erratbaren Link.
- API-Schlüssel werden nur als SHA-256-Hash gespeichert, Anfragen sind auf 60 je Minute begrenzt.
- Zugang zu Hosting, Datenbank, Cloud und E-Mail-Versand hat nur der Geschäftsführer, mit Passkey oder Zwei-Faktor-Anmeldung.
Zugriffskontrolle:
- Jeder Nutzer sieht nur die Dokumente seines Kontos, jeder Unterzeichner nur das Dokument, zu dem er eingeladen ist.
- Administrative Rechte in der Anwendung werden bei jedem Aufruf aus der Datenbank geprüft.
- Dokumente und Unterschriftsbilder liegen in einem nicht öffentlichen Speicher und werden nur über geprüfte Abrufe ausgeliefert.
Trennungskontrolle: Jeder Datensatz ist einem Konto zugeordnet. Entwicklung und Tests laufen mit eigenen Datenbanken ohne Produktivdaten.
Datensparsamkeit: Das Protokoll der API-Anfragen enthält keine Inhalte, nur Methode, Pfad, Status, Dauer und Schlüsselpräfix. Unbezahlte Entwürfe werden 90 Tage nach der letzten Änderung gelöscht.
2. Integrität
Weitergabekontrolle: Alle Verbindungen sind per TLS verschlüsselt. Gespeicherte Daten sind bei allen Auftragsverarbeitern verschlüsselt, bei Vercel und Google Cloud mit AES-256.
Eingabekontrolle: Jedes Dokument hat ein Prüfprotokoll mit Zeitpunkt, IP-Adresse und Browserkennung jedes Öffnens und jeder Unterschrift. Das fertige PDF wird einmal erzeugt, mit einem elektronischen Siegel (PAdES) versehen und sein SHA-256-Hash gespeichert. Jede spätere Änderung ist über die öffentliche Prüfseite erkennbar.
3. Verfügbarkeit und Belastbarkeit
- Betrieb auf der Infrastruktur der Auftragsverarbeiter in Frankfurt am Main mit mehreren Verfügbarkeitszonen.
- Die Datenbank lässt sich auf jeden Zeitpunkt der letzten 24 Stunden zurücksetzen.
- Fehler in kritischen Abläufen (Zahlungen, Kontolöschung, qualifizierte Signatur) melden sich automatisch per E-Mail beim Geschäftsführer.
4. Regelmäßige Überprüfung
- Automatisierte Tests für Anmeldung, Unterschrift und PDF-Erzeugung; vor der ersten Veröffentlichung eines Tages muss der Test der Anmeldung bestanden sein.
- Regelmäßige Aktualisierung der eingesetzten Softwarebibliotheken.
- Löschfristen laufen täglich automatisch.
- Auftragsverarbeiter nur mit Vertrag nach Art. 28 Abs. 4 DSGVO (Anlage 1).