Legal

Vertrag über die Auftragsverarbeitung (Art. 28 DSGVO)

Version 2026-10-22

Verantwortlicher (Auftraggeber): die Firma, die diesen Vertrag im Firmenpanel annimmt.
Auftragsverarbeiter (Auftragnehmer): der im Impressum von pdf.ucagg.de genannte Betreiber (Privatperson, Entwickler der UCA-Apps), E-Mail noreply@ucagg.de.

1. Gegenstand und Dauer

Der Auftragnehmer stellt das Firmenkonto von UCA PDF Editor bereit (Firmenpanel, Übermittlung der Firmendaten an die Apps der Mitarbeitenden, Nummernkreise). Der Vertrag gilt, solange das Firmenkonto besteht.

2. Art, Zweck, Daten, Betroffene

Speichern und Übermitteln von: Firmendaten, Logo, Stempel; zu Mitarbeitenden: E-Mail, Name, Funktion, Abteilung, Telefon, Zeichnungsbefugnis, Freigabe-Status, die selbst gezeichnete Unterschrift (verschlüsselt gespeichert), Zeitpunkte der Anmeldung, vergebene Dokumentnummern mit Zeit und Person. Betroffene: Beschäftigte und Beauftragte des Auftraggebers. Dokumente der Mitarbeitenden werden nicht verarbeitet; sie bleiben auf den Geräten.

3. Weisungen

Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers; die Einstellungen im Firmenpanel gelten als Weisung. Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber.

4. Vertraulichkeit

Nur der Auftragnehmer selbst hat Zugriff auf die Verarbeitung. Weitere Personen erhalten Zugriff nur nach Verpflichtung auf Vertraulichkeit.

5. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Transportverschlüsselung (TLS) für alle Verbindungen; HSTS.
• Unterschriften verschlüsselt gespeichert (AES-256-GCM); Anmeldecodes nur als Hash; keine Passwörter.
• Getrennte Rollen: Betreiber-Admin, Partner (ohne Zugriff auf Unterschriften), Firmen-Admin, Mitarbeitende; Protokoll aller Änderungen im Firmenpanel.
• Admin-Zugang mit E-Mail-Code, Ratenbegrenzung, Server-zu-Server-Schnittstellen nur im privaten Netz und mit Token.
• Tägliche Sicherung; Wiederherstellbarkeit; Aktualisierung der Software.

6. Unterauftragsverarbeiter

IONOS SE, Elgendorfer Str. 57, 56410 Montabaur (Server-Hosting im Rechenzentrum Kansas City, USA; E-Mail-Versand). Die Übermittlung in die USA stützt sich auf die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) im Vertrag mit IONOS. Der Auftraggeber stimmt diesem Unterauftragsverarbeiter zu. Über neue Unterauftragsverarbeiter informiert der Auftragnehmer vorab per E-Mail; der Auftraggeber kann widersprechen und den Vertrag dann beenden.

7. Unterstützung

Der Auftragnehmer unterstützt den Auftraggeber bei Anfragen Betroffener (Art. 15-22 DSGVO) und bei Pflichten nach Art. 32-36 DSGVO. Viele Rechte kann der Auftraggeber direkt im Firmenpanel erfüllen (Ändern, Löschen).

8. Datenpannen

Der Auftragnehmer meldet eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 48 Stunden, an die E-Mail-Adressen der Firmen-Admins.

9. Löschung und Rückgabe

Nach Ende des Vertrags oder auf Weisung löscht der Auftragnehmer alle Daten des Auftraggebers binnen 30 Tagen, auch in Sicherungen spätestens nach deren Ablauf (30 Tage). Vorher kann der Auftraggeber die Daten im Panel einsehen und exportieren lassen.

10. Nachweise und Kontrollen

Der Auftragnehmer stellt auf Anfrage die Informationen zum Nachweis der Pflichten bereit und ermöglicht Überprüfungen nach Absprache, in der Regel durch schriftliche Auskunft.

11. Sonstiges

Es gilt deutsches Recht. Bei Widersprüchen gehen die Regelungen dieses Vertrags zum Datenschutz anderen Vereinbarungen vor.

Companies accept this agreement in their company panel (pdf.ucagg.de/company).