Zum Inhalt springen
Bloc-Apps
Starten
Rechtliches

Auftragsverarbeitungsvertrag (Art. 28 DSGVO)

Stand: 01.08.2026

Worum es hier geht

Wenn Sie über Bloc-Apps personenbezogene Daten anderer Personen verarbeiten — bei BlocSign sind das Ihre Vertragspartner: Name, E-Mail-Adresse, IP-Adresse, Unterschriftsbild —, dann bestimmen Sie, wozu und womit das geschieht. Sie sind damit Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO und wir sind Ihr Auftragsverarbeiter (Art. 4 Nr. 8 DSGVO).

Für diese Konstellation schreibt Art. 28 Abs. 3 DSGVO einen Vertrag vor. Dieser Text ist dieser Vertrag. Er wird mit dem Vertragsschluss über Bloc-Apps Bestandteil unseres Vertragsverhältnisses (§ 9 unserer AGB) und bedarf keiner gesonderten Unterschrift: Art. 28 Abs. 9 DSGVO lässt das elektronische Format ausdrücklich zu. Eine von uns unterzeichnete Fassung für Ihre Unterlagen erhalten Sie formlos auf Anfrage unter info@bloc-apps.com.

§ 1 Parteien

Verantwortlicher ist der Inhaber des Bloc-Apps-Kontos, mit dem der Vertrag über die Nutzung geschlossen wurde (im Folgenden „Sie“).

Auftragsverarbeiter ist:
Tobias Westrich (Westrich Webdesign)
Hochstraße 33
66287 Quierschied, Deutschland
E-Mail: info@bloc-apps.com

Ein Datenschutzbeauftragter ist nicht bestellt; die Schwellen des § 38 BDSG sind nicht erreicht. Ansprechpartner in allen Datenschutzfragen ist Tobias Westrich unter der vorstehenden Adresse.

§ 2 Was Auftragsverarbeitung ist — und was nicht

Diese Abgrenzung steht bewusst am Anfang, weil sie darüber entscheidet, wer für welche Verarbeitung geradesteht.

Wir handeln als Ihr Auftragsverarbeiter bei:

Wir sind eigener Verantwortlicher bei:

Für diesen zweiten Bereich gilt nicht dieser Vertrag, sondern unsere Datenschutzerklärung. Eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO begründen wir nicht und beabsichtigen wir nicht.

§ 3 Gegenstand, Dauer, Art und Zweck (Art. 28 Abs. 3 S. 1)

Kategorien betroffener Personen

Kategorien personenbezogener Daten

Besondere Kategorien nach Art. 9 DSGVO sind nicht Gegenstand dieses Vertrags. Der Dienst ist nicht dafür ausgelegt. Zur Unterschrift im Besonderen: Wir speichern nur das fertige Rasterbild. Die dynamischen Merkmale des Schreibvorgangs (Druck, Geschwindigkeit, Beschleunigung, Stiftwinkel) werden im Browser verworfen und nie übertragen. Damit fehlt es an der Verarbeitung „mit speziellen technischen Verfahren“ zum Zweck der eindeutigen Identifizierung (Art. 4 Nr. 14, Art. 9 Abs. 1 DSGVO). Laden Sie dennoch Dokumente mit Daten nach Art. 9 hoch, geschieht das in Ihrer Verantwortung; teilen Sie es uns vorher mit, damit wir prüfen können, ob zusätzliche Maßnahmen nötig sind.

§ 4 Weisungsbindung (Art. 28 Abs. 3 lit. a)

Wir verarbeiten personenbezogene Daten nur auf Ihre dokumentierte Weisung — auch bei einer Übermittlung in ein Drittland. Ihre Weisungen erteilen Sie

Halten wir eine Weisung für rechtswidrig, teilen wir Ihnen das unverzüglich mit und dürfen ihre Ausführung aussetzen, bis Sie sie bestätigen oder ändern (Art. 28 Abs. 3 S. 3 DSGVO). Sind wir aufgrund des Rechts der Union oder eines Mitgliedstaats zu einer Verarbeitung verpflichtet, teilen wir Ihnen das vor der Verarbeitung mit, sofern das Gesetz das nicht verbietet.

§ 5 Vertraulichkeit (Art. 28 Abs. 3 lit. b)

Alle Personen, die in unserem Auftrag Zugang zu personenbezogenen Daten haben, sind zur Vertraulichkeit verpflichtet; diese Verpflichtung besteht auch nach Beendigung ihrer Tätigkeit fort. Derzeit ist das ausschließlich der Inhaber des Einzelunternehmens (Tobias Westrich), der von Gesetzes wegen gebunden ist. Kommen Beschäftigte hinzu, werden sie vor dem ersten Zugriff schriftlich verpflichtet.

§ 6 Sicherheit der Verarbeitung (Art. 28 Abs. 3 lit. c, Art. 32)

Wir treffen die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen. Sie sind auf dem Stand vom 01.08.2026 und dürfen an den Stand der Technik angepasst werden, solange das Schutzniveau dabei nicht sinkt. Wesentliche Änderungen teilen wir Ihnen wie in § 7 beschrieben mit.

§ 7 Unterauftragnehmer (Art. 28 Abs. 2 und 4, Abs. 3 lit. d)

Sie erteilen uns hiermit die allgemeine Genehmigung, weitere Auftragsverarbeiter einzusetzen. Die jeweils aktuelle Liste — mit Firmierung, Sitz, Zweck, Datenkategorien und Grundlage einer etwaigen Drittlandsübermittlung — steht öffentlich unter Unterauftragnehmer. Sie ist Bestandteil dieses Vertrags. Genehmigt sind zum 01.08.2026:

Bevor ein neuer Unterauftragnehmer eingesetzt wird oder ein bestehender ausgetauscht wird, teilen wir Ihnen das mindestens vier Wochen vorher per E-Mail an die im Konto hinterlegte Adresse mit. Sie können innerhalb dieser Frist aus einem wichtigen datenschutzrechtlichen Grund in Textform widersprechen. Widersprechen Sie, dürfen wir den Unterauftragnehmer für Ihre Daten nicht einsetzen; können wir die Leistung dann nicht mehr wie vereinbart erbringen, darf jede Seite den Nutzungsvertrag zum Wirksamwerden der Änderung außerordentlich kündigen. Bereits gezahlte, nicht verbrauchte Beträge erstatten wir in diesem Fall anteilig.

Wir verpflichten jeden Unterauftragnehmer vertraglich auf Datenschutzpflichten, die den hiesigen entsprechen, und haften Ihnen gegenüber für dessen Verhalten wie für eigenes (Art. 28 Abs. 4 S. 2 DSGVO).

Keine Unterauftragsverarbeitung sind Nebenleistungen ohne bestimmungsgemäßen Zugriff auf Ihre Daten — Telekommunikation, Post, Wartung und Prüfung von Hard- und Software, Entsorgung. Für sie treffen wir angemessene Schutzvorkehrungen, ohne sie hier zu listen.

§ 8 Ihre Unterstützung (Art. 28 Abs. 3 lit. e und f)

Unterstützungsleistungen erbringen wir unentgeltlich, soweit sie den üblichen Rahmen nicht übersteigen und die Ursache nicht in Ihrer Sphäre liegt.

§ 9 Löschung und Rückgabe (Art. 28 Abs. 3 lit. g)

Sie bestimmen die Aufbewahrungsdauer, nicht wir. Solange der Vertrag läuft, speichern wir Ihre Dokumente und Protokolle, bis Sie sie löschen. Eine automatische Löschung nach Ablauf einer von uns gesetzten Frist findet nicht statt — welche Frist für Ihre Verträge richtig ist, ergibt sich aus Ihrem Zweck und Ihren Aufbewahrungspflichten (Art. 5 Abs. 1 lit. e DSGVO).

Nach Beendigung des Nutzungsvertrags stellen wir Ihnen Ihre Dokumente 30 Tage zum Herunterladen bereit und löschen danach alle personenbezogenen Daten aus diesem Auftrag einschließlich vorhandener Kopien. Verlangen Sie stattdessen die Herausgabe oder eine sofortige Löschung, führen wir das binnen 30 Tagen aus und bestätigen es in Textform.

Ausgenommen sind Daten, die wir aufgrund gesetzlicher Pflichten aufbewahren müssen — insbesondere Rechnungs- und Buchungsunterlagen nach § 147 AO und § 257 HGB. Diese Daten werden für die Dauer der Aufbewahrung in der Verarbeitung eingeschränkt (Art. 18 DSGVO) und ausschließlich zur Erfüllung dieser Pflichten genutzt.

§ 10 Nachweise und Kontrollen (Art. 28 Abs. 3 lit. h)

Wir stellen Ihnen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind, und ermöglichen Überprüfungen einschließlich Inspektionen. In der Reihenfolge:

Prüfer, die Wettbewerber von uns sind, dürfen wir ablehnen; Sie können dann einen unabhängig zur Verschwiegenheit verpflichteten Dritten benennen.

§ 11 Ort der Verarbeitung und Drittländer (Art. 44 ff.)

Die Verarbeitung Ihrer Inhalte findet in der Europäischen Union statt — Server-Funktionen und Datenbank in Frankfurt am Main, die Dateiablage in Falkenstein (Sachsen). Einzelheiten und die Grundlage jeder Übermittlung außerhalb der EU stehen in der Liste der Unterauftragnehmer.

Eine Übermittlung in ein Drittland erfolgt nur auf Grundlage eines Angemessenheitsbeschlusses nach Art. 45 DSGVO oder geeigneter Garantien nach Art. 46 DSGVO (Standardvertragsklauseln) und nur, soweit sie zur Leistungserbringung erforderlich ist. Wir setzen keinen Unterauftragnehmer ein, für den weder das eine noch das andere vorliegt.

§ 12 Haftung und Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO. Im Verhältnis der Parteien untereinander gelten ergänzend die Regelungen unserer AGB; Art. 82 DSGVO wird dadurch nicht eingeschränkt.

Widersprechen sich dieser Vertrag und die AGB, geht dieser Vertrag in Fragen der Auftragsverarbeitung vor. Änderungen bedürfen der Textform. Es gilt deutsches Recht.

Anlage 1 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Stand: 01.08.2026. Diese Anlage beschreibt, was tatsächlich eingerichtet ist. Wo eine Maßnahme fehlt oder noch nicht vollständig ist, steht das als Lücke da und nicht als Häkchen — eine geschönte TOM-Anlage wäre gegenüber Ihnen eine Falschangabe.

1. Vertraulichkeit — Zutritt zu den Räumen

Art. 32 Abs. 1 lit. b DSGVO. Wir betreiben keine eigenen Server. Der physische Schutz liegt bei den Rechenzentrumsbetreibern; wir wählen sie danach aus.

  • Keine eigene Hardware, keine Datenträger im Büro. Es gibt keinen Ort, an dem Kundendaten körperlich liegen und den man betreten könnte.
  • Anwendung und Datenbank laufen in Rechenzentren in Frankfurt am Main, die Dateiablage in Falkenstein (Sachsen). Die Betreiber unterhalten Zutrittskontrollen mit Vereinzelung, Videoüberwachung und Protokollierung und sind nach ISO/IEC 27001 zertifiziert.
  • Der Arbeitsplatzrechner ist vollverschlüsselt (FileVault) und mit Kennwort sowie biometrisch gesperrt. Er hält keine Kundendaten dauerhaft vor — die Datenbank-Zugangsdaten sind als „sensitive“ in Vercel abgelegt und lassen sich auch von uns nicht mehr auslesen.

2. Vertraulichkeit — Zugang zu den Systemen

Art. 32 Abs. 1 lit. b DSGVO, Art. 5 Abs. 1 lit. f DSGVO.

  • Anmeldung, Kennwörter, Sitzungen und Brute-Force-Schutz liegen vollständig bei einem spezialisierten Anbieter (Clerk). Wir speichern selbst kein Kennwort und keinen Kennwort-Hash.
  • Kennwörter werden gegen bekannte Leaks geprüft; Zwei-Faktor-Anmeldung steht zur Verfügung und kann von Ihnen für Ihr Konto aktiviert werden.
  • Der Zugang zum Verwaltungsbereich hängt an einer serverseitigen Positivliste von E-Mail-Adressen (Umgebungsvariable, nicht über die Datenbank veränderbar) und wird in jeder Seite und jeder Server-Aktion erneut geprüft — nicht nur im Layout.
  • API-Schlüssel werden ausschließlich als Hash gespeichert. Ein gestohlener Datenbankauszug gibt keinen benutzbaren Schlüssel her; ein kompromittierter Schlüssel lässt sich im Konto sofort widerrufen.
  • Zugangsdaten zu Dritt-Diensten liegen als „sensitive“ in der Plattformkonfiguration und sind auch mit einem gültigen Zugangstoken nicht mehr auslesbar. Ein Prüfskript bricht den Auslieferungslauf ab, wenn irgendwo ein Geheimnis auslesbar gesetzt ist.
  • ⚠ Offen: Ein Rollen- und Berechtigungskonzept mit mehreren Personen gibt es nicht — das Unternehmen hat genau eine handelnde Person. Kommen Beschäftigte hinzu, ist das Konzept vor dem ersten Zugriff zu erstellen.

3. Vertraulichkeit — Zugriff auf die Daten und Trennung der Mandanten

Art. 32 Abs. 1 lit. b, Art. 32 Abs. 4 DSGVO.

  • Jeder Datensatz trägt die Kennung des Kontos, dem er gehört; jede Abfrage filtert danach. Eine Abfrage ohne Kontobezug gibt es nicht.
  • Die Mandantentrennung der Dateiablage ist nicht nur eine Prüfung, sondern kryptografisch erzwungen: Werkzeug, Konto und Ablageort gehen als mitgeprüfte Zusatzdaten in die Verschlüsselung ein. Eine Datei, die an einen fremden Platz kopiert wird, lässt sich dort nicht mehr entschlüsseln — nicht, weil eine Regel es verbietet, sondern weil die Prüfsumme nicht passt.
  • Der Zugang zur öffentlichen Signaturseite hängt an einem Zufallswert von 32 Byte je Empfänger, mit Ablaufdatum und Zugriffsbegrenzung. Ein Fehlversuch antwortet neutral und verrät nicht, ob es den Vorgang gibt.
  • Beim kostenlosen Gebrauch ohne Konto wird die IP-Adresse nicht gespeichert, sondern nur ein mit einem serverseitigen Geheimnis gebildeter Prüfwert (HMAC-SHA-256), der nach spätestens 30 Tagen verfällt und sich ohne das Geheimnis nicht zurückrechnen lässt (Pseudonymisierung, Art. 32 Abs. 1 lit. a).

4. Integrität — Verschlüsselung und Weitergabe

Art. 32 Abs. 1 lit. a DSGVO (Verschlüsselung), Art. 32 Abs. 1 lit. b.

  • Der gesamte Verkehr läuft über TLS. HTTPS wird erzwungen (HSTS, zwei Jahre, einschließlich aller Subdomains); dazu kommen eine Content-Security-Policy, X-Frame-Options DENY, nosniff, eine restriktive Permissions-Policy und Referrer-Policy strict-origin-when-cross-origin.
  • Vertragsdateien werden mit AES-256-GCM verschlüsselt, BEVOR sie den Objektspeicher erreichen. Der Speicheranbieter sieht ausschließlich Zufallsrauschen. Damit schützt die Verschlüsselung auch gegen ein falsch gesetztes Zugriffsrecht, einen abgeflossenen Speicherschlüssel und gegen den Anbieter selbst — nicht nur gegen den Diebstahl einer Festplatte.
  • Je Datei ein eigener Zufallsschlüssel, verpackt unter einem Hauptschlüssel („Umschlagverfahren“). Damit gibt es keine Obergrenze für die Zahl der Verschlüsselungen unter einem Schlüssel, und eine einzelne Datei lässt sich unwiderruflich löschen, indem ihr Schlüssel vernichtet wird.
  • Jeder Umschlag trägt die Kennung seines Hauptschlüssels. Ein Schlüsselwechsel ist deshalb möglich, ohne die Altbestände zu verlieren, und bewegt nur wenige Byte je Datei statt der Datei selbst.
  • Die Datenbankverbindung ist TLS-verschlüsselt; der Objektspeicher hat privaten Sichtbarkeitsstatus und aktiviertes Object Lock.
  • Die Signatur-Rohdaten des Schreibvorgangs (Druck, Geschwindigkeit, Stiftwinkel) werden im Browser verworfen und nie übertragen. Gespeichert wird nur das fertige Bild — damit entsteht kein biometrisches Datum nach Art. 9 DSGVO.

5. Integrität — Eingabe, Nachvollziehbarkeit, Unverfälschtheit

Art. 32 Abs. 1 lit. b DSGVO, Art. 5 Abs. 1 lit. f.

  • Jeder Schritt eines Signaturvorgangs wird mit Zeitpunkt, Art des Ereignisses, IP-Adresse und Browserkennung protokolliert. Das Protokoll enthält bewusst keine Vertragsinhalte, damit es auch dann noch gelesen werden kann, wenn das Dokument gelöscht ist.
  • Vom hochgeladenen Original und von der versiegelten Endfassung wird je eine SHA-256-Prüfsumme gebildet und im Protokoll geführt. Beide zusammen belegen, dass zwischen Einladung und Unterschrift nichts ausgetauscht wurde.
  • Beim Lesen einer Datei wird die Prüfsumme gegen den gespeicherten Wert geprüft. Eine Abweichung führt zu einem Fehler, nicht zu einer stillen Auslieferung.
  • Vor dem Versiegeln werden vorhandene Formularfelder des PDF abgeflacht, damit das ausgelieferte Dokument nicht nachträglich im Formular veränderbar bleibt.
  • Für Vertragsarten, bei denen die elektronische Form gesetzlich ausgeschlossen ist, verweigert das System den Versand. Die Prüfung sitzt im Ablauf und hat keinen Umgehungsparameter.

6. Verfügbarkeit und Belastbarkeit

Art. 32 Abs. 1 lit. b und lit. c DSGVO.

  • Anwendung und Datenbank laufen auf verwalteten Plattformen mit redundanter Auslegung; die Datenbank wird vom Anbieter fortlaufend gesichert und erlaubt eine Wiederherstellung auf einen Zeitpunkt (Point-in-Time-Recovery).
  • Für den Objektspeicher ist Object Lock aktiviert: Ein bereits geschriebenes Objekt kann für die eingestellte Dauer nicht überschrieben oder gelöscht werden — auch nicht mit gültigen Zugangsdaten. Das ist der Schutz gegen Verschlüsselungstrojaner und gegen den eigenen Fehler.
  • Die Ausführung ist auf europäische Regionen festgelegt und wird vor jeder Auslieferung maschinell geprüft; eine App ohne Regionsfestlegung bricht den Lauf ab.
  • ⚠ Offen: Eine zweite, unabhängige Sicherung der Dateiablage bei einem ANDEREN Anbieter ist eingeplant, aber noch nicht eingerichtet. Sie ist notwendig, weil eine Kontosperrung alle Regionen desselben Anbieters gleichzeitig trifft und ein Brand Sicherungen im selben Gebäude mitnimmt. Bis dahin gilt: Laden Sie Ihre abgeschlossenen Dokumente herunter und bewahren Sie sie auch bei sich auf.
  • ⚠ Offen: Ein geprobtes Wiederanlaufverfahren mit gemessener Wiederherstellungszeit gibt es noch nicht. Eine Sicherung, die nie zurückgespielt wurde, ist eine Vermutung und keine Maßnahme.

7. Verfahren zur regelmäßigen Überprüfung

Art. 32 Abs. 1 lit. d DSGVO.

  • Vor jeder Auslieferung laufen maschinelle Prüfungen: Typen, Code-Regeln, Auslieferungsregion, Auslesbarkeit von Geheimnissen, Übereinstimmung von Preisangabe und Abrechnung sowie eine Prüfung der kundenseitigen Texte auf unzulässige Werbeaussagen.
  • Abhängigkeiten werden über eine Sperrdatei festgeschrieben; Sicherheitsmeldungen werden über die Plattform des Quellcode-Hosters ausgewertet.
  • Ein Betriebsprüfskript stellt nach Auslieferungen, die Anmeldung, Zahlung oder Hosts betreffen, fest, ob der tatsächliche Zustand dem beabsichtigten entspricht — es prüft Belege statt Statusanzeigen.
  • ⚠ Offen: Ein Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO (Pflicht des Auftragsverarbeiters) liegt noch nicht in getrennter Form vor. Die dafür nötigen Angaben — Kategorien der Verarbeitung, Empfänger, Drittländer, TOM — stehen in diesem Dokument und im Verzeichnis der Unterauftragnehmer und sind daraus zusammenzuführen.
  • ⚠ Offen: Ein externes Sicherheitsaudit oder ein Penetrationstest durch Dritte hat nicht stattgefunden.
  • ⚠ Offen: Die vollständige Löschung nach Vertragsende (§ 9 des Vertrags) ist noch nicht durchgängig automatisiert: Beim Löschen eines Kontos entfallen die Verweise in der Datenbank, die verschlüsselten Dateiblöcke im Objektspeicher müssen derzeit gesondert entfernt werden. Bis das automatisiert ist, führen wir die Löschung auf Anforderung von Hand aus und bestätigen sie in Textform. Der Zugriff auf die Daten ist in der Zwischenzeit ausgeschlossen, weil ohne den Datenbankeintrag der zugehörige Dateischlüssel fehlt.

8. Auftragskontrolle und Weisungsbindung

Art. 28, Art. 32 Abs. 4 DSGVO.

  • Mit jedem Unterauftragnehmer besteht ein Auftragsverarbeitungsvertrag; bei Übermittlungen außerhalb der EU liegen Standardvertragsklauseln oder ein Angemessenheitsbeschluss zugrunde. Die Zuordnung steht je Anbieter im Verzeichnis der Unterauftragnehmer.
  • Die Auswahl der Unterauftragnehmer richtet sich nach Verarbeitungsort, vorliegender Zertifizierung und Erforderlichkeit. Der Verarbeitungsort der Inhalte ist auf die EU festgelegt.
  • Neue oder ausgetauschte Unterauftragnehmer werden vier Wochen vorher angekündigt; bis dahin gilt der veröffentlichte Stand.

9. Umgang mit Datenschutzverletzungen

Art. 33, Art. 34 DSGVO.

  • Meldungen über Sicherheitslücken nehmen wir unter der im Impressum genannten Adresse entgegen und bestätigen den Eingang.
  • Wird eine Verletzung des Schutzes personenbezogener Daten bekannt, unterrichten wir betroffene Verantwortliche unverzüglich mit den Angaben, die Art. 33 Abs. 3 DSGVO verlangt, damit deren eigene 72-Stunden-Frist eingehalten werden kann.
  • Für den Fall, dass wir als Anbieter eines elektronischen Vertrauensdienstes eingeordnet werden, halten wir zusätzlich einen Meldeweg binnen 24 Stunden an die Bundesnetzagentur vor (Art. 19 Abs. 2 eIDAS). Diese Einordnung ist nicht abschließend geklärt; wir erfüllen die Pflicht vorsorglich.
  • ⚠ Offen: Ein schriftlich festgelegter, geprobter Notfallplan mit Rollen, Eskalationsstufen und Textbausteinen liegt noch nicht vor.

Anlage 2 — Unterauftragnehmer

Die vollständige Liste mit Firmierung, Anschrift, Zweck, Datenkategorien und Grundlage der Übermittlung finden Sie unter Verzeichnis der Unterauftragnehmer. Sie ist Bestandteil dieses Vertrags und wird bei jeder Änderung fortgeschrieben.

Stand: 01.08.2026

Zurück zur Startseite
Auftragsverarbeitungsvertrag (AVV) · Bloc-Apps