Auftragsverarbeitungsvertrag von Dazr Sign
Zuletzt aktualisiert am 6. Oktober 2026 · Für Organisationen, die Dokumente mit Dazr Sign unter sign.dazr.eu oder über die Dazr Sign API versenden.
Weicht eine Übersetzung dieser Seite von der englischen Fassung ab, gilt die englische Fassung.
Parteien und Geltungsbereich
Dieser Vertrag besteht zwischen der Organisation, die Dazr Sign nutzt (dem Verantwortlichen), und Dazr, Viale Cesare Poggi 1, 15061 Arquata Scrivia (AL), Italien, USt-IdNr. IT 02801250065 („Dazr“, dem Auftragsverarbeiter). Er gilt, wenn jemand mit Dazr Sign Dokumente für ein Unternehmen, eine Behörde oder das eigene Geschäft versendet, auch für Dokumente, die eine App für sie über die Dazr Sign API versendet. Er gilt nicht für Dokumente, die zu privaten Zwecken versendet werden, und nicht für Daten, die Dazr als Verantwortlicher verarbeitet: Dazr-Identity-Konten und die Anmeldung, die Sicherheit des Dienstes und Zahlungen.
Was Dazr verarbeitet
- Gegenstand und Zweck. Bereitstellung von Dazr Sign: Dokumente speichern, Signaturanfragen und Erinnerungen senden, Signaturen und Feldwerte erfassen, die unterschriebene Kopie versiegeln, das Prüfprotokoll führen und die Prüfseite sowie die Dazr Sign API bedienen.
- Personenbezogene Daten. Namen und E-Mail-Adressen der Empfänger, die von ihnen eingetragenen Werte, Unterschriften und Initialen, das Prüfprotokoll (Zeitpunkte, Anmeldemethode, ungefähres Land, eine kurze Beschreibung des Geräts und ein Einweg-Hash der IP-Adresse), die Zertifikatsdaten qualifiziert Unterzeichnender sowie alle personenbezogenen Daten in den Dokumenten selbst.
- Betroffene Personen. Die Mitarbeitenden des Verantwortlichen, die Dokumente versenden, die Personen, die sie erhalten und unterschreiben, etwa Beschäftigte, Kunden und Lieferanten, und Personen, die in den Dokumenten genannt werden.
- Dauer. Solange die Dokumente in Dazr Sign gespeichert sind: bis die versendende Person sie oder ihr Dazr-Identity-Konto löscht.
Weisungen
Dazr verarbeitet die Daten nur nach den dokumentierten Weisungen des Verantwortlichen: der bestimmungsgemäßen Nutzung von Dazr Sign und diesem Vertrag. Dazr informiert den Verantwortlichen, wenn eine Weisung nach seiner Auffassung gegen Datenschutzrecht verstößt. Dazr nutzt den Inhalt von Dokumenten für keinen anderen Zweck.
Was Dazr tut
- Alle bei Dazr, die auf die Daten zugreifen können, sind zur Vertraulichkeit verpflichtet.
- Dazr trifft die unten und im Trust Center beschriebenen Sicherheitsmaßnahmen (Artikel 32 DSGVO).
- Dazr unterstützt den Verantwortlichen bei der Beantwortung von Anfragen betroffener Personen sowie bei Datenschutz-Folgenabschätzungen und Konsultationen der Aufsichtsbehörden, soweit die Art der Verarbeitung dies zulässt.
- Dazr stellt dem Verantwortlichen die Informationen bereit, die zum Nachweis der Einhaltung von Artikel 28 DSGVO nötig sind, und ermöglicht Prüfungen und wirkt daran mit, wie unten beschrieben.
Unterauftragsverarbeiter
Der Verantwortliche erlaubt Dazr, die im Trust Center von Dazr Sign aufgeführten Unterauftragsverarbeiter einzusetzen; dort steht auch, wo sie sitzen. Dazr verpflichtet sie schriftlich auf dieselben Datenschutzpflichten wie in diesem Vertrag und bleibt für sie verantwortlich. Dazr kündigt einen neuen oder ersetzten Unterauftragsverarbeiter mindestens 30 Tage im Voraus an, auf dieser Seite und per E-Mail an die betroffenen Versender. Der Verantwortliche kann aus berechtigten Gründen widersprechen; kann Dazr dem Widerspruch nicht abhelfen, darf der Verantwortliche die Nutzung von Dazr Sign beenden.
Wo die Daten verarbeitet werden
Wo die Daten gespeichert werden und wie Übermittlungen außerhalb des Europäischen Wirtschaftsraums abgesichert sind, steht in den Datenschutzhinweisen von Dazr Sign. Dieselben Garantien gelten nach diesem Vertrag.
Sicherheitsmaßnahmen
- Der gesamte Datenverkehr ist mit HTTPS verschlüsselt, und Browser werden angewiesen, nur HTTPS zu verwenden (HSTS).
- Jedes Dokument ist im Ruhezustand mit einem eigenen Schlüssel verschlüsselt (AES-256-GCM), zusätzlich zur Verschlüsselung unserer Dienstleister.
- Nur die versendende Person und die Empfänger können ein Dokument öffnen. Jeder Signaturlink funktioniert nur für die Adresse, an die er ging, nachdem die Person diese Adresse bestätigt hat.
- Wenn alle unterschrieben haben, versiegelt Dazr das PDF mit einer PAdES-Signatur, sodass jede spätere Änderung sichtbar wird, und fügt das Prüfprotokoll hinzu.
- Anfragen sind begrenzt, und Browser führen nur die von uns freigegebenen Skripte aus (Content Security Policy).
- Nur die wenigen Menschen bei Dazr, die den Dienst betreiben, haben Zugriff auf seine Systeme.
Datenschutzverletzungen
Dazr informiert den Verantwortlichen unverzüglich, spätestens 72 Stunden nachdem Dazr davon Kenntnis erlangt hat, über eine Verletzung des Schutzes personenbezogener Daten, die seine Daten betrifft, mit allem, was über Art, wahrscheinliche Folgen und ergriffene Maßnahmen bekannt ist. Dazr unterstützt den Verantwortlichen bei seinen eigenen Meldungen. Mitteilungen gehen an die E-Mail-Adresse des Dazr-Identity-Kontos der versendenden Person.
Anfragen betroffener Personen
Versender können ihre Dokumente selbst herunterladen und löschen. Fragt jemand Dazr nach einem Dokument, das eine Organisation versendet hat, leitet Dazr die Anfrage an diese Organisation weiter und beantwortet sie nicht selbst, es sei denn, das Gesetz verlangt es.
Löschung und Rückgabe
Der Verantwortliche kann jede unterschriebene Kopie und jedes Prüfprotokoll jederzeit herunterladen und Dokumente in Dazr Sign löschen. Ein gelöschtes Dokument ist sofort weg; das Löschen des Dazr-Identity-Kontos der versendenden Person löscht alle Dokumente, die sie versendet hat. Kopien in den verschlüsselten Datenbank-Backups von Dazr verschwinden, wenn die Backups ablaufen, innerhalb von 12 Monaten; die PDFs selbst sind nicht in diesen Backups. Dazr bewahrt Daten nur länger auf, wenn EU-Recht oder das Recht eines Mitgliedstaats es verlangt.
Prüfungen
Dazr beantwortet angemessene Fragen dazu, wie es diesen Vertrag einhält. Einmal alle 12 Monate darf der Verantwortliche oder eine von ihm unter Vertraulichkeit beauftragte unabhängige Prüferin Dazr prüfen, mit 30 Tagen Vorankündigung, während der Geschäftszeiten und ohne Zugriff auf Daten anderer Kunden. Für weitere Prüfungen darf Dazr eine angemessene Vergütung verlangen.
Haftung und Vorrang
Die Haftung nach diesem Vertrag richtet sich nach den Nutzungsbedingungen von Dazr Sign; nichts davon beschränkt die Rechte betroffener Personen nach Artikel 82 DSGVO. In Fragen des Datenschutzes hat dieser Vertrag Vorrang vor den Nutzungsbedingungen und den Datenschutzhinweisen.
Kontakt
- Datenschutz und Anfragen zu Ihren Daten: privacy@dazr.eu
- Sicherheit: security@dazr.eu
- Allgemein: hello@dazr.eu
- Post: Dazr, Viale Cesare Poggi 1, 15061 Arquata Scrivia (AL), Italien