Datenschutzerklärung

1. Verantwortlicher
Wolfgang Mitterbucher, Nömayrweg 3, 4060 Leonding, Österreich · office@mitterbucher.com (siehe Impressum).

2. Verarbeitete Datenkategorien
Konto- und Organisationsdaten (Name, E-Mail, Organisation, Rolle); hochgeladene Dokumente; Signatur- und Unterschriftsdaten einschließlich biometrischer Merkmale (Position, Druck, zeitlicher Verlauf); E-Mail-Adressen eingeladener Unterzeichner; Audit- und Nutzungsprotokolle; technische Verbindungsdaten (z. B. IP-Adresse zur Missbrauchsabwehr/Ratenbegrenzung).

3. Zwecke & Rechtsgrundlagen
Bereitstellung und Abwicklung des Signaturdienstes sowie vorvertragliche Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO); Sicherheit, Betrugs-/Missbrauchsabwehr und Protokollierung (lit. f — berechtigtes Interesse); Erfüllung rechtlicher Pflichten wie Aufbewahrung/Buchhaltung (lit. c); soweit erforderlich Einwilligung (lit. a), insbesondere für die Erfassung biometrischer Unterschriftsdaten.

4. Rolle bei Signaturvorgängen
Für Dokumente und Unterschriften, die eine Organisation über die Plattform verarbeiten lässt, ist die jeweilige Organisation Verantwortliche und miPDFsign Cloud Auftragsverarbeiter. Hierfür gilt der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO (inkl. technisch-organisatorischer Maßnahmen und Subunternehmerliste) — er ist Bestandteil der AGB und wird mit der Registrierung automatisch wirksam.

5. Empfänger & Auftragsverarbeiter
Hosting/Serverbetrieb bei der Hostinger International Ltd. in einem Rechenzentrum in Frankfurt am Main, Deutschland (EU); Zahlungsabwicklung über Polar (Merchant of Record; verarbeitet Zahlungs-/Rechnungsdaten eigenständig); transaktionaler E-Mail-Versand über einen von uns selbst betriebenen Mailserver auf demselben EU-Server. Für Zeitstempel wird an öffentliche Zeitstempeldienste (TSA) ausschließlich ein Hashwert des Dokuments übermittelt — nicht das Dokument selbst. Qualifizierte Signaturdienste Dritter (A-Trust, Swisscom, ID-Austria) kommen nur zum Einsatz, wenn die Organisation dies aktiv nutzt; dabei werden die für die jeweilige Signatur erforderlichen Daten an den vom Kunden gewählten Anbieter übermittelt. Meldet sich ein Nutzer über „Anmelden mit Google" an, werden die zur Authentifizierung erforderlichen Daten mit Google (Google Ireland Ltd.) ausgetauscht; dabei kann eine Übermittlung in die USA erfolgen (abgesichert über EU-Standardvertragsklauseln). Entsprechend werden bei Anmeldung über „Anmelden mit Microsoft" die zur Authentifizierung erforderlichen Daten mit Microsoft (Microsoft Ireland Operations Ltd.) ausgetauscht; auch dabei kann eine Übermittlung in die USA erfolgen (abgesichert über EU-Standardvertragsklauseln).

6. Biometrische Signaturdaten
Werden ausschließlich verschlüsselt im signierten Dokument gespeichert (hybride Verschlüsselung) und sind nur mit dem privaten Schlüssel des Organisations-Biometriezertifikats entschlüsselbar. Ein Zugriff durch den Anbieter im Klartext findet nicht statt.

6a. Biometrische Anmeldung (Face ID / Fingerabdruck)
Nutzer mit aktivierter Zwei-Faktor-Authentifizierung können den zweiten Faktor optional mit einem registrierten Gerät bestätigen (W3C-Standard WebAuthn, z. B. Face ID, Touch ID, Android-Fingerabdruck, Windows Hello). Die biometrische Prüfung erfolgt ausschließlich lokal auf Ihrem Gerät; Fingerabdruck- oder Gesichtsdaten werden weder an uns übermittelt noch von uns verarbeitet. Gespeichert werden nur eine Gerätekennung, ein öffentlicher Schlüssel, ein Signaturzähler, eine Bezeichnung und Zeitstempel — bis Sie das Gerät entfernen, die Zwei-Faktor-Authentifizierung deaktivieren oder Ihr Konto löschen. Rechtsgrundlage ist die Vertragserfüllung bzw. die Sicherheit des Kontos (Art. 6 Abs. 1 lit. b und f DSGVO); die Nutzung ist freiwillig. (Davon zu unterscheiden sind die biometrischen Unterschriftsdaten nach Punkt 6.)

7. Speicherdauer
Konto-/Organisationsdaten bis zur Löschung des Kontos; Dokumente und Signaturen für die Dauer der Nutzung bzw. bis zur Löschung durch die Organisation; Protokolle für einen angemessenen Sicherheits-/Nachweiszeitraum; gesetzliche Aufbewahrungsfristen (z. B. Buchhaltung) bleiben unberührt.

7a. Zertifikatsregister der Zertifizierungsstelle des Betreibers (miCA)
Signiert die Plattform mit einem Zertifikat der vom Betreiber als eigenständiger Dienst betriebenen Zertifizierungsstelle („miPDFsign Cloud CA", betrieben mit dem CA-Produkt miCA unter ca.cloud-signing.com), wird die Ausstellung dort in einem Register vermerkt. Bei Löschung des Kontos werden die personenbezogenen Bestandteile dieser Einträge gelöscht — insbesondere Name und E-Mail-Adresse des Signators sowie das Zertifikat selbst. Erhalten bleiben ausschließlich Seriennummer, ausstellende Zertifizierungsstelle, Gültigkeitszeitraum und Sperrstatus. Diese Angaben lassen keinen Personenbezug zu und sind technisch notwendig: Wer ein bereits signiertes Dokument prüft, muss weiterhin eine verbindliche Sperrauskunft (OCSP/Sperrliste) zu dieser Seriennummer erhalten — andernfalls würde die Löschung eines Kontos rückwirkend die Prüfbarkeit aller damit erzeugten Signaturen entwerten. Rechtsgrundlage ist unser berechtigtes Interesse an der dauerhaften Nachprüfbarkeit ausgestellter Signaturen (Art. 6 Abs. 1 lit. f DSGVO). Einzelheiten regeln die auf der Vertrauensseite der CA veröffentlichten CP/CPS.

8. Cookies, lokale Speicherung & Reichweitenmessung
Für die Anmeldung wird ein technisch notwendiges Sitzungs-Token im Browser (localStorage) gespeichert. Innerhalb der Anwendung selbst findet kein Analyse-Tracking statt. Auf der öffentlichen Landingpage setzen wir Google Analytics 4 (Anbieter: Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland; Mess-ID G-ZFRZJBPFFM) zur pseudonymen Reichweitenmessung ein. Dabei können Cookies gesetzt und Daten an Google übermittelt werden, ggf. auch in die USA (abgesichert über EU-Standardvertragsklauseln). Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): Google Analytics wird erst geladen, nachdem Sie im Cookie-Banner zugestimmt haben. Ihre Einwilligung können Sie jederzeit über den Link „Cookie-Einstellungen" (Fußzeile) mit Wirkung für die Zukunft widerrufen. Der Erfassung können Sie zusätzlich mit dem Browser-Add-on von Google (tools.google.com/dlpage/gaoptout) widersprechen.

8a. Push-Benachrichtigungen
Portal-Nutzer können auf der Seite „Sicherheit" je Gerät optional Push-Benachrichtigungen aktivieren, die auf zur Signatur bereitstehende Dokumente hinweisen (Einladung, Erinnerung, Fristablauf). Die Aktivierung erfolgt nur mit Ihrer Einwilligung über die Berechtigungsabfrage des Browsers (Art. 6 Abs. 1 lit. a DSGVO); die Zustellung selbst dient der Abwicklung des Signaturdienstes (lit. b). Gespeichert werden die vom Browser erzeugte Zustelladresse (Endpoint), die zugehörigen öffentlichen Schlüssel, die Browserkennung (User-Agent) sowie Zeitstempel. Die Zustellung erfolgt technisch über den Push-Dienst des jeweiligen Browser-Herstellers (z. B. Google Firebase Cloud Messaging, Apple Push Notification Service, Mozilla Push Service, Microsoft Windows Push Notification Services); diese Dienste erhalten die Zustelladresse sowie die Nachricht ausschließlich Ende-zu-Ende verschlüsselt und können deren Inhalt nicht lesen. Dabei kann eine Übermittlung in Drittländer, insbesondere die USA, erfolgen; sie ist über den Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Art. 45 DSGVO), soweit der Anbieter zertifiziert ist, bzw. über EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) abgesichert. Gegenüber Organisationskunden sind diese Dienste als Unterauftragsverarbeiter in Anlage 2 des AVV aufgeführt. Die Daten werden gelöscht, sobald Sie die Benachrichtigungen auf dem Gerät deaktivieren oder sich abmelden (bei erneuter Anmeldung wird das Gerät automatisch wieder registriert, solange die Browser-Berechtigung besteht), der Browser die Zustelladresse ungültig macht oder Sie Ihr Konto löschen. Die Einwilligung können Sie jederzeit auf der Seite „Sicherheit" oder in den Browser-Einstellungen widerrufen.

9. Betroffenenrechte
Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch sowie auf Widerruf erteilter Einwilligungen. Anfragen richten Sie an office@mitterbucher.com.

10. Beschwerderecht
Sie können sich bei der Österreichischen Datenschutzbehörde (dsb.gv.at) beschweren.