Datenschutzerklärung

Mit dieser Erklärung informieren wir Sie, welche personenbezogenen Daten wir verarbeiten, wenn Sie unsere Website besuchen, eine Zugangsanfrage stellen oder OneSign als Kunde nutzen, zu welchen Zwecken und auf welcher Rechtsgrundlage, und welche Rechte Sie haben.

1. Verantwortlicher

Verantwortlicher

[Gesellschaft]

Anschrift

[Straße Hausnummer], [PLZ] [Ort], Deutschland

Vertreten durch

[Vorname Nachname]

E-Mail

[kontakt@example.com]

Telefon

[+49 000 000000]

Kontakt für Datenschutzfragen

[datenschutz@example.com]

Datenschutzbeauftragter

[Name und Kontakt des Datenschutzbeauftragten oder Hinweis, dass keine Benennungspflicht besteht] [vor Livegang prüfen]

2. Überblick und Rollen

Je nachdem, in welcher Beziehung Sie zu uns stehen, sind wir für Ihre Daten unterschiedlich verantwortlich:

• Wir sind Verantwortlicher für die Daten von Website-Besucherinnen und -Besuchern, für Zugangsanfragen und Kontaktaufnahmen, für die Benutzerkonten im Dashboard und für die Abrechnung mit unseren Kunden.
• Wir sind Auftragsverarbeiter (Art. 28 DSGVO) für die Dokumente und Unterzeichnerdaten, die unsere Kunden in OneSign verarbeiten. Verantwortlich ist dann die jeweilige Kundenorganisation. Sie informiert die betroffenen Personen selbst. Wenn Sie Fragen zu solchen Daten haben, wenden Sie sich bitte an die Organisation, die OneSign einsetzt.
• Der Zertifikatsaussteller, ein qualifizierter Vertrauensdiensteanbieter mit Sitz in der EU, verarbeitet für die Video-Identifizierung, die Ausstellung und Verwaltung des qualifizierten Zertifikats und die Erstellung der Signatur Daten der Zertifikatsinhaber in der Regel als eigener Verantwortlicher. Er informiert die Zertifikatsinhaber gesondert über seine Datenverarbeitung, bevor die Identifizierung beginnt.

3. Hosting und Server-Logfiles

Die Website und der Dienst werden bei [Hosting-Anbieter] mit Serverstandort in der EU betrieben [vor Livegang prüfen]. Mit dem Anbieter besteht ein Auftragsverarbeitungsvertrag.

Beim Aufruf der Website verarbeitet der Server technisch notwendige Daten, die Ihr Browser übermittelt:

• IP-Adresse,
• Datum und Uhrzeit des Zugriffs,
• aufgerufene Seite und übertragene Datenmenge,
• Statuscode der Antwort,
• Referrer-URL (die zuvor besuchte Seite),
• Browsertyp, Betriebssystem und Spracheinstellung.

Zweck ist die Auslieferung der Website, die Sicherstellung von Stabilität und Sicherheit und die Abwehr von Angriffen. Rechtsgrundlage ist unser berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO. Die Logfiles werden nach [Anzahl] Tagen gelöscht, sofern sie nicht zur Aufklärung eines Sicherheitsvorfalls länger benötigt werden [vor Livegang prüfen].

Zur Erkennung und Behebung technischer Fehler setzen wir einen Dienst zur Fehlerüberwachung ein: [Anbieter, Serverstandort] [vor Livegang prüfen]. Dabei werden technische Angaben zum Fehler übermittelt. Zugangsdaten, Tokens und Dokumentinhalte werden vor der Übermittlung maskiert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

4. Cookies und Einwilligung

Cookies sind kleine Dateien, die Ihr Browser speichert. Das Speichern von und der Zugriff auf Informationen in Ihrem Endgerät sind nach § 25 TDDDG nur mit Ihrer Einwilligung erlaubt, es sei denn, sie sind für den von Ihnen gewünschten Dienst unbedingt erforderlich.

Technisch notwendige Cookies

Rechtsgrundlage für diese Cookies ist § 25 Abs. 2 Nr. 2 TDDDG und für die damit verbundene Datenverarbeitung Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im sicheren Betrieb und in der Bereitstellung der von Ihnen gewünschten Funktionen.

Einwilligungspflichtige Dienste

Beim ersten Besuch fragen wir Sie in einem Banner, ob Sie den Kategorien Statistik (PostHog, Google Analytics) und Spam-Schutz (Cloudflare Turnstile) zustimmen. Die Skripte dieser Dienste werden erst nach Ihrer Zustimmung geladen, nur auf der öffentlichen Website und nie im Dashboard.

Rechtsgrundlage ist Ihre Einwilligung nach § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen oder ändern, über den Link Cookie-Einstellungen im Fußbereich jeder Seite. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

5. Statistik: PostHog

Mit Ihrer Einwilligung nutzen wir PostHog, um zu verstehen, wie unsere Website genutzt wird. Anbieter ist [PostHog Inc., Anschrift] [vor Livegang prüfen]. Wir nutzen die EU-Cloud von PostHog, die Daten werden in Frankfurt am Main gespeichert.

Erfasst werden aufgerufene Seiten, Klicks und andere Interaktionen, die zuvor besuchte Seite, Angaben zu Browser und Gerät sowie ein aus der IP-Adresse abgeleiteter ungefährer Standort. PostHog speichert dazu eine zufällige Kennung in Ihrem Browser. Sitzungsaufzeichnungen sind deaktiviert. Personenprofile werden nicht angelegt, solange Sie nicht identifiziert sind.

Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Mit PostHog besteht ein Auftragsverarbeitungsvertrag [vor Livegang prüfen]. Die Daten werden nach [Dauer] gelöscht [vor Livegang prüfen]. Da der Anbieter seinen Sitz in den USA hat, ist ein Zugriff aus den USA nicht ausgeschlossen; Einzelheiten unter Abschnitt 13.

6. Statistik: Google Analytics 4

Mit Ihrer Einwilligung nutzen wir Google Analytics 4. Anbieter ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland („Google“).

Google Analytics erfasst, wie Sie die Website nutzen, etwa aufgerufene Seiten, Verweildauer, Herkunft des Besuchs sowie Angaben zu Browser und Gerät. Dazu setzt Google Cookies, etwa das Cookie „_ga“. IP-Adressen werden gekürzt und nicht vollständig gespeichert; sie werden nur zur Ableitung eines ungefähren Standorts verwendet.

Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Die Daten werden nach 14 Monaten gelöscht. Eine Übermittlung an die Google LLC in den USA ist möglich. Die Google LLC nimmt am EU-US Data Privacy Framework teil; für die USA besteht insoweit ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO). Weitere Informationen: Datenschutzerklärung von Google.

7. Spam-Schutz: Cloudflare Turnstile

Wenn Sie der Kategorie Spam-Schutz zustimmen, prüfen wir beim Absenden des Formulars mit Cloudflare Turnstile, ob die Anfrage von einem Menschen stammt. Anbieter ist [Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA] [vor Livegang prüfen]. Dabei werden die IP-Adresse sowie technische Merkmale von Browser und Gerät an Cloudflare übermittelt.

Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Eine Übermittlung in die USA findet statt. [Cloudflare nimmt am EU-US Data Privacy Framework teil] [vor Livegang prüfen].

Ohne Ihre Einwilligung schützen wir das Formular mit eigenen Mitteln: ein für Menschen unsichtbares Feld, das leer bleiben muss, eine Mindestzeit zum Ausfüllen und eine Begrenzung der Anfragen pro IP-Adresse. Dafür speichern wir nicht die IP-Adresse selbst, sondern nur einen mit einem geheimen Schlüssel gebildeten, nicht umkehrbaren Hashwert. Die Zähler für die Begrenzung verfallen spätestens nach 24 Stunden. Rechtsgrundlage ist unser berechtigtes Interesse an der Abwehr von Missbrauch (Art. 6 Abs. 1 lit. f DSGVO).

8. Zugangsanfrage und Kontakt

Über das Formular Zugang anfordern verarbeiten wir folgende Angaben:

• Anliegen (Zugang, Frage oder Partnerschaft),
• Name, Unternehmen und E-Mail-Adresse,
• optional Telefonnummer und Website,
• Branche, gewünschte Nutzung (Browser, Schnittstelle oder beides) und erwartetes Signaturvolumen,
• optional Ihre Nachricht,
• die Sprache der Website und einen Hashwert Ihrer IP-Adresse (siehe Abschnitt 7).

Wir verwenden die Angaben, um Ihre Anfrage zu bearbeiten, Sie zu kontaktieren und gegebenenfalls ein Konto für Sie einzurichten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen), bei allgemeinen Fragen Art. 6 Abs. 1 lit. f DSGVO (unser Interesse an der Beantwortung).

Nach dem Eingang benachrichtigen wir unser Team per E-Mail über die Anfrage. Erledigte Anfragen löschen wir 12 Monate nach ihrem Abschluss, sofern daraus kein Vertrag entstanden ist oder gesetzliche Aufbewahrungspflichten entgegenstehen.

9. E-Mail-Versand

Für den Versand von Systemnachrichten, etwa Einladungen, Anmeldelinks, Benachrichtigungen zu Signaturen und Zertifikaten sowie Rechnungen, nutzen wir einen Dienstleister für E-Mail-Versand: [Anbieter]. Der Versand erfolgt aus der EU (Irland); Konto- und Metadaten verarbeitet der Dienstleister in den USA (Garantie: EU-US Data Privacy Framework bzw. EU-Standardvertragsklauseln) [vor Livegang prüfen]. Verarbeitet werden E-Mail-Adresse, Name, Inhalt der Nachricht und Zustelldaten. Mit dem Dienstleister besteht ein Auftragsverarbeitungsvertrag.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die E-Mails der Vertragserfüllung dienen, im Übrigen Art. 6 Abs. 1 lit. f DSGVO.

10. Kundenkonto und Dashboard

Für Nutzerinnen und Nutzer des Dashboards verarbeiten wir als Verantwortlicher:

• Name, E-Mail-Adresse, Organisation und Rolle,
• Anmeldedaten und Angaben zur Zwei-Faktor-Anmeldung,
• Sicherheits- und Nutzungsprotokolle, etwa Anmeldungen und Downloads,
• Vertrags- und Abrechnungsdaten der Organisation.

Die Anmeldung läuft über einen Authentifizierungsdienst mit Serverstandort Frankfurt am Main, mit dem ein Auftragsverarbeitungsvertrag besteht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag) und für Sicherheitsprotokolle Art. 6 Abs. 1 lit. f DSGVO. Abrechnungsdaten verarbeiten wir zur Erfüllung gesetzlicher Pflichten (Art. 6 Abs. 1 lit. c DSGVO).

Dokumente und Unterzeichnerdaten verarbeiten wir im Auftrag der jeweiligen Kundenorganisation, siehe Abschnitt 2.

11. Empfänger

Wir geben personenbezogene Daten nur weiter, soweit das für die genannten Zwecke erforderlich ist. Empfänger sind:

• Anbieter von Hosting, Datenbank, Objektspeicher und Authentifizierung mit Speicherort in der EU (Auftragsverarbeiter),
• ein Dienstleister für E-Mail-Versand (Auftragsverarbeiter),
• ein Dienstleister für Fehlerüberwachung (Auftragsverarbeiter),
• nur mit Ihrer Einwilligung: PostHog, Google und Cloudflare (siehe Abschnitte 5 bis 7),
• für Kundenkonten: der Zertifikatsaussteller, ein qualifizierter Vertrauensdiensteanbieter mit Sitz in der EU, soweit das für Zertifikatsbestellung und Signaturerstellung nötig ist,
• Steuerberater, Wirtschaftsprüfer und Behörden, soweit wir gesetzlich dazu verpflichtet sind.

12. Speicherdauer

13. Übermittlung in Drittländer

Die Speicherung unserer Daten erfolgt in der EU. Eine Übermittlung in Länder außerhalb der EU oder des EWR ist bei den einwilligungspflichtigen Diensten möglich: Google Analytics (Google LLC, USA), Cloudflare Turnstile (Cloudflare, Inc., USA) und gegebenenfalls PostHog (PostHog Inc., USA) [vor Livegang prüfen]. Beim E-Mail-Versand verarbeitet der Dienstleister Konto- und Metadaten in den USA (Abschnitt 9). Grundlage ist jeweils der Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO), soweit der Empfänger daran teilnimmt, im Übrigen EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

14. Ihre Rechte

Sie haben gegenüber uns folgende Rechte hinsichtlich Ihrer personenbezogenen Daten. Schreiben Sie uns dazu an [datenschutz@example.com].

• Auskunft über die zu Ihnen gespeicherten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO, siehe nächster Abschnitt),
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO), etwa über die Cookie-Einstellungen.

15. Widerspruchsrecht nach Art. 21 DSGVO

16. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des mutmaßlichen Verstoßes. Für uns zuständig ist [Name und Anschrift der Landesdatenschutzbehörde am Sitz des Anbieters] [vor Livegang prüfen].

17. Pflicht zur Bereitstellung

Sie sind weder gesetzlich noch vertraglich verpflichtet, uns Daten bereitzustellen. Ohne die Pflichtangaben im Formular können wir Ihre Anfrage aber nicht bearbeiten, und ohne die Angaben für das Benutzerkonto können wir Ihnen keinen Zugang zum Dashboard geben.

18. Keine automatisierte Entscheidungsfindung

Wir setzen keine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO ein. Über Zugangsanfragen entscheiden Menschen.

19. Stand

Stand dieser Datenschutzerklärung: 26.09.2026. Wir passen sie an, wenn sich unsere Datenverarbeitung oder die Rechtslage ändert.