Datenschutzerklärung

1. Einleitung

Diese Datenschutzerklärung informiert Sie über die Verarbeitung personenbezogener Daten bei der Nutzung von CanUSign.

2. Verantwortlicher

3. Welche Daten wir erheben

Wir erheben folgende Daten:

• Kontodaten: E-Mail-Adresse zur Authentifizierung
• Vertragsdaten: Von Ihnen erstellte Verträge und Dokumente
• Signaturdaten: Digitale Unterschriften, IP-Adressen, Zeitstempel
• Gespeicherte Unterschrift: Wenn Sie eine Unterschrift für künftige Verträge hinterlegen (in den Einstellungen oder beim Unterschreiben), speichern wir das Bild dieser Unterschrift in Ihrem Konto, damit Sie es beim Unterschreiben per Klick einsetzen können. Die Ablage ist freiwillig; ohne sie zeichnen Sie Ihre Unterschrift bei jedem Vertrag neu. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Das Bild liegt nicht öffentlich abrufbar bei Vercel (Speicherort Frankfurt am Main) und ist nur für Sie sichtbar. Wir werten es nicht biometrisch aus und vergleichen es nicht mit anderen Unterschriften. Sie können es jederzeit in den Einstellungen ändern oder löschen; mit dem Löschen Ihres Kontos wird es ebenfalls gelöscht. Unterschriften, die Sie bereits in Verträge eingesetzt haben, bleiben Bestandteil dieser Verträge und ihres Prüfprotokolls.
• Missbrauchsschutz beim Gratis-Credit: Neue Konten erhalten einmalig einen kostenlosen Credit. Damit dieser nicht durch wiederholte Registrierung mehrfach bezogen wird, speichern wir bei der Registrierung Ihre E-Mail-Adresse, die IP-Adresse und den Zeitpunkt und gleichen sie mit früheren Registrierungen ab. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Verhinderung von Missbrauch des Gratisangebots. Die IP-Adresse speichern wir sieben Tage, E-Mail-Adresse und Zeitpunkt zwei Jahre, auch wenn Sie Ihr Konto vorher löschen, weil der Schutz sonst durch Löschen und Neuanmelden umgangen werden könnte. Sie können dieser Verarbeitung nach Art. 21 DSGVO widersprechen.
• Nutzungsdaten: Wie Sie unseren Dienst nutzen
• Zahlungsdaten: Werden sicher über Stripe verarbeitet

4. Zweck der Datenverarbeitung

Ihre Daten werden verwendet für:

• Bereitstellung unseres Vertragsdienstes
• Durchführung digitaler Unterschriften
• Erstellung von Audit-Zertifikaten als Nachweis
• Abwicklung von Zahlungen
• Verbesserung unseres Dienstes

5. Rechtsgrundlage

Die Verarbeitung erfolgt auf Basis von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung), Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).

Hinweise zu ähnlichen Leistungen

Wer bei uns kauft, bekommt an die dabei angegebene E-Mail-Adresse gelegentlich Hinweise zu ähnlichen Leistungen von canusign (§ 7 Abs. 3 UWG). Rechtsgrundlage ist unser berechtigtes Interesse an Direktwerbung nach Art. 6 Abs. 1 lit. f DSGVO. Sie können dieser Verwendung jederzeit widersprechen (Art. 21 Abs. 2 DSGVO), in den Einstellungen oder per Antwort auf jede Mail; dafür entstehen nur die Übermittlungskosten nach den Basistarifen. Nach einem Widerspruch nutzen wir die Adresse dafür nicht mehr.

6. Datenspeicherung und Sicherheit

Ihre Daten werden verschlüsselt auf sicheren Servern in der EU gespeichert. Wir verwenden branchenübliche Sicherheitsstandards.

7. Löschung Ihres Kontos und Speicherdauer

Verträge speichern wir mit den hochgeladenen Dokumenten, den Unterschriften und dem Prüfprotokoll nur so lange, wie es nötig ist. Entwürfe, die nicht bezahlt wurden, löschen wir 90 Tage nach ihrer letzten Änderung; haben Sie ein Konto, schreiben wir Ihnen 30 Tage vorher eine E-Mail und löschen frühestens 30 Tage danach. Alle übrigen Verträge in einem Konto bleiben gespeichert, solange das Konto besteht, denn ihre Aufbewahrung ist Teil der Leistung, die Sie nutzen; Sie können jeden Vertrag jederzeit selbst löschen. Verträge ohne Konto löschen wir mit Ablauf des dritten Kalenderjahres nach der Unterschrift, bei Verträgen ohne Unterschrift nach der letzten Änderung. So lange können Ansprüche aus einem Vertrag in der Regel geltend gemacht werden (§ 195, § 199 Abs. 1 BGB). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. f DSGVO. Nach einer Löschung können wir nichts wiederherstellen. Für Verträge, die nach der Löschung eines Kontos erhalten bleiben, gilt die Frist im folgenden Absatz.

Wenn Sie Ihr Konto löschen, löschen wir Ihre Kontodaten, Ihre gespeicherte Unterschrift, Ihre Vorlagen, API-Schlüssel und Webhooks sowie alle Dokumente, die noch nicht von allen Beteiligten unterschrieben sind. Vollständig unterschriebene Verträge, an denen außer Ihnen weitere Personen beteiligt sind, löschen wir nicht sofort. Das gilt nicht für Verträge, die über unsere API angelegt wurden; sie löschen wir mit dem Konto. Das unterschriebene Dokument und das Prüfprotokoll mit Namen, E-Mail-Adressen, Zeitpunkten, IP-Adressen und Geräteangaben der Unterzeichnenden bleiben erhalten, damit die anderen Vertragsparteien ihren Vertrag weiterhin abrufen und nachweisen können. Diese Verträge sind danach mit keinem Konto mehr verbunden und nur noch über die Unterschriftslinks der Beteiligten und über die Prüfseite erreichbar. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse und das der anderen Vertragsparteien besteht darin, Ansprüche aus dem Vertrag nachweisen, geltend machen oder abwehren zu können (Art. 17 Abs. 3 lit. e DSGVO). Wir löschen diese Verträge mit Ablauf des zehnten Kalenderjahres nach der letzten Unterschrift. Nach dieser Frist verjähren vertragliche Ansprüche unabhängig davon, wann jemand von ihnen erfahren hat (§ 199 Abs. 4 BGB). Aus Gründen, die sich aus Ihrer besonderen Situation ergeben, können Sie dieser Speicherung widersprechen (Art. 21 Abs. 1 DSGVO). Wir prüfen den Widerspruch dann im Einzelfall. Zahlungsdaten und Rechnungen bewahren wir auf, weil uns Handels- und Steuerrecht dazu verpflichten (§ 257 HGB, § 147 AO): Buchungsbelege acht Jahre, gerechnet ab dem Ende des Kalenderjahres der Zahlung. Rechtsgrundlage ist insoweit Art. 6 Abs. 1 lit. c DSGVO.

8. Ihre Rechte (DSGVO)

Nach der DSGVO haben Sie folgende Rechte:

• Recht auf Auskunft über Ihre gespeicherten Daten
• Recht auf Berichtigung unrichtiger Daten
• Recht auf Löschung Ihrer Daten
• Recht auf Einschränkung der Verarbeitung
• Recht auf Datenübertragbarkeit
• Widerspruchsrecht gegen die Verarbeitung
• Recht auf Widerruf Ihrer Einwilligung

9. Drittanbieter

Wir nutzen folgende Drittanbieter: Vercel Analytics und Speed Insights (Performance-Messung). Drittlandtransfers in die USA erfolgen auf Grundlage des EU-US Data Privacy Framework (DPF) bzw. der Standardvertragsklauseln (SCC). Weitere Dienste:

• Google Cloud: Erzeugung der PDF-Dateien und die KI-Funktionen (Unterschriftsfelder in hochgeladenen Dokumenten erkennen, Kurzfassung eines Vertrags für den Unterzeichner). Die Verarbeitung findet in Frankfurt am Main statt. Die Inhalte werden vertraglich nicht zum Training von KI-Modellen verwendet.
• Stripe: Zahlungsabwicklung (USA, EU-US Data Privacy Framework (DPF) bzw. Standardvertragsklauseln (SCC))
• Resend: E-Mail-Versand (USA)
• Vercel: Hosting und Infrastruktur (Anbieter mit Sitz in den USA, die Funktionen laufen in Frankfurt am Main)
• Neon: Datenbank-Hosting (EU)
• e-Signature.eu: Qualifizierte elektronische Signatur, nur wenn der Absender sie für einen Unterzeichner wählt. Dafür gehen das fertige Dokument, die Rolle und die E-Mail-Adresse des Unterzeichners an e-Signature.eu (VisitOnWeb, Belgien), das in unserem Auftrag arbeitet (Art. 28 DSGVO); Unterauftragsverarbeiter für die Technik ist eID Easy (Estland). Der Unterzeichner identifiziert sich dort mit itsme oder Evrotrust und unterschreibt. Zurück an uns gehen das signierte Dokument und der bei der Identifizierung bestätigte Name.

10. Cookies

Technisch notwendige Cookies für Authentifizierung und Sitzungsverwaltung setzen wir ohne Einwilligung ein. Vercel Analytics und Speed Insights arbeiten ohne Cookies und ohne Speicherung auf Ihrem Endgerät. Eine Einwilligung nach § 25 TDDDG ist dafür nicht erforderlich. Für die Reichweitenmessung legt die Website außerdem eine zufällige Sitzungskennung im sessionStorage Ihres Browsers ab. Sie enthält keine personenbezogenen Daten, wird beim Schließen des Tabs gelöscht und ist als unbedingt erforderliche Speicherung nach § 25 Abs. 2 TDDDG von der Einwilligung ausgenommen.

11. Kontakt

Bei Fragen zum Datenschutz kontaktieren Sie uns unter: contact@canusign.com