Auftragsverarbeitungsvertrag

Diese Übersetzung dient nur der Information; rechtlich verbindlich ist allein die englische Fassung.

Zuletzt geprüft am 14. Oktober 2026

Wenn Ihre Organisation ihr Verzeichnis, ihre Signaturen und ihre E-Mails mit Ascripto verbindet, verarbeiten wir personenbezogene Daten in Ihrem Auftrag. Dieser Vertrag regelt, wie das geschieht, so wie es Artikel 28 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, „DSGVO“) verlangt. Er ist Bestandteil unserer Nutzungsbedingungen und bedarf keiner gesonderten Unterschrift.

1. Parteien und Rollen

Der Kunde, der die Nutzungsbedingungen akzeptiert hat, ist der Verantwortliche. Auftragsverarbeiter ist Andrii Koptiukh Software Developer, Einzelunternehmer, eingetragen im CEIDG (dem polnischen Gewerberegister), ul. Dąbska 20 lok. 39, 31-572 Kraków, Poland, NIP 5213970831, USt-IdNr. PL5213970831. In der DSGVO definierte Begriffe haben hier dieselbe Bedeutung. Soweit die UK GDPR anwendbar ist, schließen Verweise auf die DSGVO diese mit ein.

2. Gegenstand, Dauer, Art und Zweck

Wir verarbeiten personenbezogene Kundendaten ausschließlich, um Ihnen Ascripto bereitzustellen: Lesen Ihres Verzeichnisses, Prüfen und Bereitstellen von E-Mail-Signaturen, Hinzufügen von Signaturen zu E-Mails, die über unser Relay geleitet werden, Führen des Nachrichtenprotokolls, Hosten von Marken-Assets, Messen von Kampagnen und Unterstützung für Sie. Die Verarbeitung dauert so lange, wie die Nutzungsbedingungen gelten, zuzüglich der Löschfrist nach Abschnitt 10. Die Kategorien der Daten und der betroffenen Personen sind in Anhang 1 aufgeführt.

3. Ihre Weisungen

Wir verarbeiten personenbezogene Kundendaten ausschließlich auf Ihre dokumentierte Weisung. Diese Weisungen sind die Nutzungsbedingungen, dieser Vertrag sowie Ihre Konfiguration und Nutzung des Dienstes. Sind wir der Auffassung, dass eine Weisung gegen Datenschutzrecht verstößt, teilen wir Ihnen dies mit. Sind wir gesetzlich verpflichtet, Daten anders zu verarbeiten, teilen wir Ihnen dies vorher mit, sofern das Gesetz dies nicht verbietet.

4. Vertraulichkeit

Alle Personen, die wir zur Verarbeitung personenbezogener Kundendaten befugen, sind zur Vertraulichkeit verpflichtet. Unsere Mitarbeitenden greifen auf Kundendaten nur über eine Support-Freigabe zu, die zeitlich begrenzt ist, eine Begründung enthält, protokolliert wird und für Sie sichtbar ist.

5. Sicherheit

Wir setzen die technischen und organisatorischen Maßnahmen gemäß Anhang 2 um und halten sie bei der Weiterentwicklung des Dienstes dem Risiko angemessen. Wir dürfen sie ändern, solange das Gesamtschutzniveau nicht sinkt.

6. Unterauftragsverarbeiter

Sie erteilen uns eine allgemeine Genehmigung, die in Anhang 3 aufgeführten Unterauftragsverarbeiter in Anspruch zu nehmen. Wir informieren Sie mindestens 30 Tage vor dem Hinzufügen oder Ersetzen eines Unterauftragsverarbeiters, per E-Mail an den Inhaber Ihres Workspace und durch Aktualisierung von Anhang 3. Erheben Sie aus berechtigten datenschutzrechtlichen Gründen Einspruch, besprechen wir dies nach Treu und Glauben; können wir keine Lösung finden, können Sie den Vertrag für den betroffenen Dienst beenden und zahlen danach nichts mehr dafür. Wir verpflichten jeden Unterauftragsverarbeiter auf Datenschutzpflichten, die nicht weniger schützen als diese, und bleiben Ihnen gegenüber für die Erfüllung ihrer Pflichten verantwortlich.

Google und Microsoft, deren Plattformen Sie verbinden, sind Ihre Anbieter, nicht unsere Unterauftragsverarbeiter.

7. Übermittlungen an Drittländer

Personenbezogene Kundendaten werden im Europäischen Wirtschaftsraum gespeichert und verarbeitet. Wir übermitteln sie nicht in Länder außerhalb des EWR, außer wie in Anhang 3 angegeben, und dann nur auf Grundlage eines rechtmäßigen Übermittlungsmechanismus wie der Standardvertragsklauseln der Europäischen Kommission oder eines Angemessenheitsbeschlusses.

8. Wie wir Sie unterstützen

Unter Berücksichtigung der Art der Verarbeitung unterstützen wir Sie bei der Beantwortung von Anträgen betroffener Personen auf Wahrnehmung ihrer Rechte, vor allem über den Dienst selbst; erreicht uns ein Antrag direkt, leiten wir ihn unverzüglich an Sie weiter und beantworten ihn nicht selbst, es sei denn, Sie bitten uns darum. Außerdem stellen wir Ihnen die Informationen zur Verfügung, die Sie für Datenschutz-Folgenabschätzungen und Konsultationen mit einer Aufsichtsbehörde vernünftigerweise benötigen.

9. Verletzungen des Schutzes personenbezogener Daten

Wir benachrichtigen Sie unverzüglich, in jedem Fall aber innerhalb von 48 Stunden, nachdem uns eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die personenbezogene Kundendaten betrifft. Wir teilen Ihnen mit, was wir wissen – ihre Art, die wahrscheinlich betroffenen Daten und Personen, ihre wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen –, und ergänzen diese Angaben, sobald wir mehr erfahren. Die Benachrichtigung ist kein Schuldeingeständnis.

10. Löschung und Rückgabe

Enden die Nutzungsbedingungen, können Sie Ihre Daten 30 Tage lang exportieren. Innerhalb von 30 Tagen nach Ablauf dieses Zeitraums löschen wir die personenbezogenen Kundendaten, sofern wir nicht gesetzlich zur Aufbewahrung verpflichtet sind. Backups werden jede Nacht erstellt, 30 Tage lang aufbewahrt und dann gelöscht und nur zur Wiederherstellung des Dienstes eingespielt.

11. Nachweis der Einhaltung und Überprüfungen

Wir stellen die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind, und beantworten angemessene Sicherheitsfragebögen. Reicht das nicht aus, können Sie oder ein zur Vertraulichkeit verpflichteter unabhängiger Prüfer die Einhaltung durch uns einmal jährlich mit einer Ankündigungsfrist von 30 Tagen überprüfen, während der Geschäftszeiten und ohne Beeinträchtigung des Dienstes oder der Daten anderer Kunden, auf Ihre Kosten. Eine Aufsichtsbehörde kann jederzeit Überprüfungen nach Maßgabe des Gesetzes durchführen.

12. Haftung und Vorrang

Die Haftungsbestimmungen der Nutzungsbedingungen gelten für diesen Vertrag, soweit die DSGVO nichts anderes bestimmt. Widerspricht dieser Vertrag den Nutzungsbedingungen hinsichtlich der Verarbeitung personenbezogener Daten, hat dieser Vertrag Vorrang.

Anhang 1 – Betroffene Personen und Datenkategorien

Wir fordern keine besonderen Kategorien personenbezogener Daten an. Tragen Sie solche Daten nicht in Signaturen oder Verzeichnisfelder ein, die Ascripto liest.

Anhang 2 – Technische und organisatorische Maßnahmen

• Standort: Der Dienst läuft in der Region Germany West Central (Frankfurt) von Microsoft Azure.
• Verschlüsselung: TLS für den gesamten Datenverkehr zu und zwischen unseren Diensten; ruhende Daten werden von der Speicherplattform verschlüsselt. E-Mails zwischen Exchange Online und unserem Relay werden per TLS übertragen und per Zertifikat authentifiziert.
• Zugangsdaten: Verzeichnistoken, Signierschlüssel und Dienstkontoschlüssel werden in Azure Key Vault aufbewahrt, niemals in einer Datenbank oder im Code. Die Datensätze eines Workspace enthalten nur einen Verweis darauf.
• Trennung: Die Daten jedes Workspace werden bei jedem Lese- und Schreibvorgang über dessen Kennung abgegrenzt. Anwendungen greifen auf die Datenbanken nur über definierte Routinen zu, niemals über direkten Tabellenzugriff.
• Zugriff: Der Zugriff von Mitarbeitenden erfordert Multi-Faktor-Authentifizierung. Der Zugriff auf die Daten eines Kunden erfordert eine zeitlich begrenzte, begründete und protokollierte Support-Freigabe, die für den Kunden sichtbar ist. Der Zugriff auf die Produktionsumgebung ist auf die Personen beschränkt, die den Dienst betreiben.
• Konten: Passwörter werden nur als Einweg-Hashes gespeichert; zweite Faktoren werden für jedes Konto unterstützt; Sitzungen sind für ihren Inhaber aufgelistet und von ihm widerrufbar.
• Datenminimierung: Das Relay speichert niemals Nachrichteninhalte oder Betreffzeilen; das Tracking speichert keine IP-Adressen; der Zugriff auf die Verzeichnisse von Google und Microsoft erfolgt nur lesend.
• Protokollierung: Verwaltungsaktionen in einem Workspace und Aktionen von Mitarbeitenden werden in Audit-Protokollen aufgezeichnet, die durch die Aktionen selbst nicht verändert werden können.
• Belastbarkeit: Der Zustand jedes Teils des Dienstes wird überwacht; Datenbanken werden jede Nacht gesichert und die Sicherungen 30 Tage lang aufbewahrt; das Verhalten des Relays, wenn es E-Mails nicht mit einer Signatur versehen kann, wird pro Workspace festgelegt.

Anhang 3 – Unterauftragsverarbeiter

Transaktions-E-Mails werden über einen E-Mail-Server versendet, den wir selbst betreiben, sodass dabei kein Unterauftragsverarbeiter beteiligt ist. Unser Zahlungsdienstleister Stripe erhält die Anzahl der Personen, für die ein Workspace abgerechnet wird, aber niemals, wer diese Personen sind, und verarbeitet daher im Rahmen dieses Vertrags keine personenbezogenen Kundendaten; die Abrechnungsdaten, die Stripe tatsächlich verarbeitet, sind unsere eigenen, wie in der Datenschutzerklärung beschrieben.