Auftragsverarbeitungsvertrag (AVV)

Vereinbarung über die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 DSGVO — Bestandteil der AGB, automatisch wirksam mit der Registrierung Ihrer Organisation. Kein gesonderter Abschluss nötig.

⬇ AVV als PDF herunterladen (Version 1.1, Oktober 2026)⬇ English version: Data Processing Agreement (DPA, convenience translation)

Das deutsche PDF ist die maßgebliche Fassung — geeignet für Ihr Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO). Auf Wunsch stellen wir eine beidseitig gezeichnete Ausfertigung bereit: office@mitterbucher.com.

Das Wichtigste auf einen Blick

Rollen
Ihre Organisation ist Verantwortliche, miPDFsign Cloud (Wolfgang Mitterbucher) Auftragsverarbeiter — für Dokumente, Empfängerdaten, Signatur- und Protokolldaten, die Sie über die Plattform verarbeiten lassen.

Verarbeitungsort
Dokumente und Signaturdaten ausschließlich in der EU: ISO-27001-Rechenzentrum in Frankfurt am Main, Deutschland. Einzige Ausnahme: aktiviert ein Benutzer Push-Benachrichtigungen, läuft die Zustellung über den Push-Dienst seines Browsers (ggf. USA) — Ende-zu-Ende verschlüsselt, abgesichert über EU-US Data Privacy Framework bzw. Standardvertragsklauseln.

Biometrische Signaturdaten (Art. 9 DSGVO)
Stift-Daten (Druck/Zeitverlauf) werden stets verschlüsselt gespeichert — auf Wunsch ausschließlich mit dem öffentlichen Schlüssel Ihrer Organisation, sodass wir selbst keinen Zugriff haben.

Löschung
Selbst steuerbar: Vorgangs-Löschung, automatische Aufbewahrungsregeln (7–3650 Tage) und vollständige Konto-Löschung. Nach Vertragsende Rückgabe oder Löschung, spätestens nach 90 Tagen.

Technische und organisatorische Maßnahmen (Anlage 1)
TLS, Verschlüsselung at rest für Geheimnisse und Biometrie, strikte Mandantentrennung, 2FA, PBKDF2-Passwort-Hashing, lückenloser Audit-Trail, verschlüsselte Backups, dokumentierter Incident-Response-Plan.

Unterauftragsverarbeiter (Anlage 2)

Unternehmen	Leistung	Ort
Hostinger International Ltd. (Zypern)	Infrastruktur/Hosting (IaaS)	Frankfurt am Main, Deutschland (EU)
Push-Dienste der Browser-Hersteller — nur aktiv, wenn ein Benutzer Push-Benachrichtigungen aktiviert; erhalten nur die Zustelladresse und die Ende-zu-Ende verschlüsselte Nachricht:
Google Ireland Ltd. / Google LLC	Firebase Cloud Messaging (Chrome, Android)	EU / USA
Apple Distribution International Ltd. / Apple Inc.	Apple Push Notification Service (Safari, iPhone/iPad)	EU / USA
Mozilla Corporation	Mozilla Push Service (Firefox)	USA
Microsoft Ireland Operations Ltd. / Microsoft Corp.	Windows Push Notification Services (Edge)	EU / USA

Keine weiteren Unterauftragsverarbeiter. Polar (Zahlungsabwicklung) handelt als Merchant of Record und damit als eigenständiger Verantwortlicher; öffentliche Zeitstempeldienste erhalten ausschließlich Hash-Werte; qualifizierte Signaturdienste (A-Trust, Swisscom) laufen über Ihre eigenen Zugangsdaten und Verträge.

Stand: Oktober 2026 (Version 1.1 — neu: Push-Dienste in Anlage 2) · AGB · Datenschutzerklärung · Impressum