⚠️ ENTWURF - zur juristischen Prüfung durch die Rechtsabteilung. NICHT rechtsverbindlich bis zur Freigabe. Dieser Text ist ein technisch-fachlich vorbereiteter Arbeitsentwurf als Grundlage der anwaltlichen/juristischen Prüfung. Er entfaltet keine Rechtswirkung, begründet keine Vertragspflichten und stellt keine Rechtsberatung dar, solange er nicht durch die Rechtsabteilung der Gosign GmbH freigegeben und im Produkt als verbindliche Fassung veröffentlicht wurde. Stand: v1-2026-06. Die zuvor als „von Legal/Ops zu ergänzen” markierten operativen/faktischen Stellen sind mit verifizierten Echtwerten befüllt (Stand 2026-06) - aus Code, Konfiguration und Impressum hergeleitet bzw., wo es keinen festen Wert gibt, durch eine Klarstellung ersetzt (Click-Wrap-Erfassung zur Laufzeit, „nicht einschlägig” oder infrastrukturgebunden). Der Text ist damit fachlich/operativ verifiziert befüllt und freigabebereit; die formale rechtsverbindliche Freigabe durch die Gosign GmbH bleibt vorbehalten.
Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO - ENTWURF (v1-2026-06)
Vertrag über die Verarbeitung personenbezogener Daten im Auftrag gemäß Artikel 28 Absatz 3 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung - DSGVO)
Status: ENTWURF - zur juristischen Prüfung, nicht rechtsverbindlich bis zur Freigabe. Stand v1-2026-06.
Präambel
Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV” oder „Vertrag”) konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Zusammenhang mit der Nutzung der von der Gosign GmbH bereitgestellten Leistungen, insbesondere des „BV-Kontos” (Funktion „Für später speichern”) sowie des KI-gestützten Entwurfsassistenten „BV-KI-Drafter” (nachfolgend zusammen die „Leistungen”).
Der AVV ergänzt die zwischen den Parteien geltenden Allgemeinen Geschäftsbedingungen der Gosign GmbH (nachfolgend „AGB”, aktuelle Fassung abrufbar unter gosign.de/de/agb/). § 13 der AGB sieht den Abschluss dieses AVV ausdrücklich vor. Bei Widersprüchen zwischen diesem AVV und den AGB gehen in datenschutzrechtlichen Fragen die Regelungen dieses AVV vor; im Übrigen gelten die AGB.
Soweit der Verantwortliche eine eigene, DSGVO-konforme AVV-Vorlage bereitstellt, kann diese nach Maßgabe von § 13 der AGB an die Stelle dieses Vertrags treten.
§ 1 Parteien des Vertrags
(1) Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO:
Gosign GmbH, Hallerstraße 8, 20146 Hamburg, Deutschland (nachfolgend „Gosign” oder „Auftragsverarbeiter”). Kontakt in Datenschutzangelegenheiten: datenschutz@gosign.de
Hinweis: Bei der Gosign GmbH ist gemäß § 38 Abs. 1 BDSG derzeit kein Datenschutzbeauftragter zu bestellen, da nicht ständig mindestens 20 Personen mit der automatisierten Verarbeitung personenbezogener Daten befasst sind. Registergericht: Amtsgericht Hamburg, HRB 112197 (Sitz: Hallerstraße 8, 20146 Hamburg). Vertretungsberechtigte Geschäftsführer: Bert Gogolin und Dieter Gogolin.
(2) Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO ist das die Leistungen nutzende Unternehmen, das im Rahmen des Click-Wrap-Abschlusses als Vertragspartner benannt wird. Anschrift, vertretungsberechtigte Person und Datenschutz-Kontakt des Verantwortlichen sind kein fester Wert dieses Vertrags, sondern werden beim Click-Wrap-Abschluss erfasst und sind Bestandteil des jeweiligen Vertragsabschlusses.
(3) Klarstellung für berufsprivilegierte Berater. Die Privilegierung dieses Absatzes gilt ausschließlich für echte Berufsgeheimnisträger, nämlich Steuerberater (§ 11 Abs. 2 StBerG), Rechtsanwälte (§ 43e BRAO) und Wirtschaftsprüfer (§ 50b WPO), jeweils in Verbindung mit der strafbewehrten Verschwiegenheitspflicht nach § 203 StGB. Diese Berufsträger tragen als Vertragspartner ihre eigene Firma ein - nicht die der betreuten Mandanten. Für die in Ausübung ihres Berufs verarbeiteten Mandantendaten sind sie selbst Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO und gegenüber Gosign nicht Auftragsverarbeiter; dieser eine Vertrag deckt ihre gesamte berufliche Tätigkeit gegenüber Gosign ab, sodass ein gesonderter AVV je Mandant gegenüber Gosign nicht erforderlich ist. Reine Unternehmensberatungen und sonstige Beratungsgesellschaften ohne berufsrechtliche Verschwiegenheitspflicht sind von dieser Privilegierung ausgenommen: Sie verarbeiten die Daten ihrer Auftraggeber als Auftragsverarbeiter nach Art. 28 DSGVO und schließen den AVV in dieser Rolle ab.
(4) Auftragsverarbeiter und Verantwortlicher: einzeln „Partei”, gemeinsam „Parteien”.
§ 2 Gegenstand, Rollenverteilung und Rangfolge
(1) Gegenstand. Verarbeitung personenbezogener Daten durch Gosign ausschließlich im Auftrag und nach Weisung des Verantwortlichen im Rahmen der Leistungen. Der Verantwortliche bleibt „Herr der Daten” und allein verantwortlich für die Rechtmäßigkeit (Art. 5, 6 DSGVO).
(2) Keine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO. Gosign verarbeitet nicht zu eigenen Zwecken.
(3) Inhaltsklassifizierung. Die Verantwortung dafür, welche Inhalte (Freitext-Prompts, Dokumente) eingegeben werden und welche Sensibilität sie haben, liegt allein beim Verantwortlichen. Gosign nimmt keine inhaltliche Vorabprüfung vor, gewährleistet aber die TOM nach Anlage 2 unabhängig von der Sensibilität.
(4) Rangfolge: (i) zwingendes Datenschutzrecht, (ii) dieser AVV inkl. Anlagen, (iii) AGB, (iv) sonstige Vereinbarungen.
§ 3 Art, Zweck und Umfang der Verarbeitung
(1) Art: Erheben, Erfassen, Organisieren, Speichern, Auslesen, Verwenden, Übermitteln an den KI-Dienstleister zur Entwurfserzeugung, Einschränken, Löschen/Vernichten - im erforderlichen Umfang.
(2) Zweck: a) BV-Konto (Speicherung des Arbeitsstands + Konto-/AVV-Akzeptanzdaten); b) BV-KI-Drafter (Erzeugung + Zustellung eines unverbindlichen Textentwurfs); c) Missbrauchsbegrenzung (verschlüsselte E-Mail + anonyme Auswahl-Zusammenfassung).
(3) Umfang: nach Funktionsumfang, Eingaben und dokumentierten Weisungen (§ 6).
(4) Datensparsamkeit. Die Leistungen sind auf Beispiel-/Testangaben ausgelegt, nicht auf echte Beschäftigtendaten; der Verantwortliche wird vorab darauf hingewiesen. Bei abweichender Nutzung gelten die Regelungen dennoch vollumfänglich.
§ 4 Kategorien betroffener Personen
a) Beschäftigte/Bewerber des Verantwortlichen; b) Mitglieder von Arbeitnehmervertretungen; c) Mandanten/Auftraggeber/Dritte (insb. bei berufsprivilegierten Beratern); d) Ansprechpartner/Nutzer des Verantwortlichen; e) weitere nach konkreten Eingaben. Abschließende Festlegung durch den Verantwortlichen (Anlage 1).
§ 5 Kategorien personenbezogener Daten
(1) Allgemein: a) Stamm-/Kontaktdaten (Firma, Zustell-E-Mail, Handlungsbefugnis); b) Konto-/Vertragsmetadaten (AVV-Akzeptanzzeit, akzeptierte Version, Status Arbeitsstand); c) Nutzungs-/Verbindungsdaten (§ 12).
(2) KI-spezifisch: a) Prompt-/Eingabeinhalte (Freitext, potenziell beliebige pbD); b) Modellantworten/Entwurfsinhalte; c) hochgeladene/eingefügte Dokumentinhalte - nicht einschlägig: Datei-Uploads sind nicht im Funktionsumfang, verarbeitet werden ausschließlich Formular-/Freitexteingaben; d) Embeddings/Vektordaten - nicht einschlägig: es ist keine RAG-/Embedding-Pipeline mit Personenbezug aktiv.
(3) Besondere Kategorien (Art. 9 DSGVO). Nicht Zweck der Leistungen, nicht vorgesehen. Da Freitext möglich ist, kann der Verantwortliche solche Daten einbringen; dann trägt er die Verantwortung für die Rechtsgrundlage (Art. 9 Abs. 2 DSGVO). Gosign sichert für alle Inhalte einheitlich die Maßnahmen nach Anlage 2 zu (keine abgesenkte Behandlung sensibler Inhalte).
(4) Beschäftigtenkontext (Art. 88 DSGVO). Beschäftigtendaten im Kontext des Beschäftigungsverhältnisses; Art. 88 DSGVO i.V.m. nationalen Beschäftigtendatenschutzregelungen + etwaige Betriebs-/Dienstvereinbarungen sind vom Verantwortlichen zu beachten.
§ 6 Weisungsrecht (Art. 28 Abs. 3 lit. a DSGVO)
(1) Verarbeitung ausschließlich auf dokumentierte Weisung, auch bzgl. Drittlandübermittlung, außer bei gesetzlicher Verpflichtung (dann Mitteilung vor der Verarbeitung, soweit nicht verboten). (2) Vertrag + Anlagen + bestimmungsgemäße Eingaben = anfängliche dokumentierte Weisung; mündliche Weisungen unverzüglich in Textform. (3) Über die Leistungen hinausgehende Einzelweisungen: Textform, Nachtrag, ggf. Vergütung nach AGB. (4) Bei rechtswidriger Weisung: unverzügliche Information, Aussetzungsrecht. (5) Weisungs-/Empfangsberechtigte in Anlage 3 benannt; vom Verantwortlichen beim Click-Wrap-Abschluss bzw. im BV-Konto hinterlegt.
§ 7 Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO)
(1) Verpflichtung der befugten Personen zur Vertraulichkeit (oder gesetzliche Verschwiegenheit), fortwirkend über die Tätigkeit hinaus. (2) Need-to-know. (3) Berufsgeheimnisträger (§ 203 StGB): Soweit der Verantwortliche beruflicher Verschwiegenheit unterliegt (Anwalt/StB/WP/Arzt + berufsmäßige Gehilfen), verpflichtet Gosign alle mitwirkenden Personen (inkl. Subunternehmer) schriftlich zur Verschwiegenheit und belehrt sie über § 203 StGB (insb. Abs. 4 für mitwirkende Personen); Verpflichtungs-/Belehrungserklärungen werden dokumentiert + auf Anfrage nachgewiesen. Gosign gilt als „mitwirkende Person” (§ 203 Abs. 3 StGB). (4) Nachweis auf Verlangen.
§ 8 Technische und organisatorische Maßnahmen (Art. 28 Abs. 3 lit. c, Art. 32 DSGVO)
(1) TOM nach Art. 32, beschrieben in Anlage 2. (2) Fortentwicklung zulässig, sofern Schutzniveau nicht unterschritten; wesentliche Änderungen dokumentiert + auf Anfrage mitgeteilt. (3) Umfasst Pseudonymisierung/Verschlüsselung, Vertraulichkeit/Integrität/Verfügbarkeit/Belastbarkeit, Wiederherstellung, regelmäßige Überprüfung. (4) Mandantentrennung: logische Trennung der Daten verschiedener Verantwortlicher (Daten, Logs, Historien, Storage, Schlüssel); kein Datenfluss zwischen Mandanten.
§ 9 Sub-Auftragsverarbeiter (Art. 28 Abs. 2 und 4 DSGVO)
(1) Allgemeine Genehmigung zur Inanspruchnahme weiterer Auftragsverarbeiter; die bei Vertragsschluss eingesetzten sind in Anlage 4 abschließend aufgeführt + genehmigt. (2) Vorab-Information + Widerspruchsrecht bei Hinzuziehung/Ersetzung: Textform, Frist mind. 14 Kalendertage; Widerspruch aus wichtigem datenschutzrechtlichem Grund. (3) Folgen: einvernehmliche Lösung; sonst Kündigungsrecht des betroffenen Leistungsteils. (4) Flow-Down (Art. 28 Abs. 4): dieselben Datenschutzpflichten an jeden Sub-AV; Gosign haftet für deren Pflichteinhaltung. (5) Abgrenzung Modell-/Plattform-Provider: im Standardbetrieb alle als Sub-AV von Gosign geführt; abweichende „Bring-your-own-Tenant”-Konstellation gesondert zu vereinbaren. (6) Reine TK-/Postdienste ohne pbD-Verarbeitung sind keine Sub-AV (Sorgfaltspflicht bleibt).
§ 10 KI-spezifische Pflichten (Kein-Training, Retention, Tokenisierung)
(1) Kein Training mit Auftraggeberdaten. Verwendung der im Auftrag verarbeiteten Daten (Prompts, Dokumente, Modellantworten) ausschließlich zur Leistungserbringung; kein Training/Fine-Tuning/Entwicklung/Evaluierung eigener oder fremder Modelle, außer ausdrückliche gesonderte Textform-Freigabe (entspricht § 6.6 AGB). (2) Flow-Down der Trainings-Beschränkung: Modell-Provider vertraglich so eingesetzt, dass auch sie nicht zu Trainingszwecken nutzen + keine Content-Retention über die Anfrage hinaus („Zero-Retention”, soweit providerseitig verfügbar). Der Retention-/No-Training-Status je Modell-Provider/Endpunkt ist in Anlage 4 geführt. (3) In-flight vs. At-rest (Modellverarbeitung ohne persistente Speicherung beim Provider; vorübergehende At-rest-Speicherung bei Gosign zur Zustellung; § 13/Anlage 2). (4) Modell-Agnostik + Modellwechsel (= Sub-AV-Wechsel → Information nach § 9 Abs. 2). (5) PII-Redaktion/Tokenisierung (optional): Eingangs-/Ausgangsfilter, Pseudonymisierung vor LLM-Call + Re-Insertion danach; bei reversibler Re-ID: Zugriffs-/Schlüsselregelung. Im aktuellen Funktionsstand ist die PII-Redaktion nicht aktiviert; die Datensparsamkeit wird über die Eingabe von Beispieldaten (keine echten pbD) gewährleistet. (6) Keine automatisierte Entscheidung im Einzelfall (Art. 22 DSGVO) - Entwürfe sind unverbindliche Vorschläge. (7) Audit-Trail inhaltsdatenarm (Metadaten, keine Prompt-/Dokumentinhalte; § 12).
§ 11 Ort der Verarbeitung; Drittlandübermittlung (Kapitel V DSGVO)
(1) Grundsatz EU/EWR. E-Mail-Hosting Google Workspace (Google Cloud EMEA, Dublin/IE) EU-konfiguriert; Website/Funktionen über Cloudflare. Die Persistenz (BV-Konto + Drafter-Jobs) liegt in von Gosign selbst betriebener Infrastruktur (self-hosted Supabase) innerhalb der EU/des EWR; eine Drittland-Speicherung der Persistenz findet nicht statt. (2) Modell-Provider: Die LLM-Verarbeitung zur Entwurfserzeugung erfolgt durch einen KI-Dienst innerhalb der EU bzw. des EWR; eine Übermittlung an den Modell-Provider in ein Drittland findet nicht statt. (3) Geeignete Garantien: Cloudflare/Google = EU-US Data Privacy Framework (sofern zertifiziert) + ergänzend SCC, soweit für Hosting/Zustellung einschlägig. (4) DPF-Status (2026): Angemessenheitsbeschluss vom 10.07.2023 derzeit gültig; Klage T-553/23 (Latombe) am 03.09.2025 abgewiesen; Rechtsmittel C-703/25 P anhängig → US-Übermittlungen zusätzlich auf SCC gestützt (doppelte Absicherung). Stand 2026-06: der Angemessenheitsbeschluss ist gültig, das Rechtsmittel C-703/25 P ist anhängig; US-Übermittlungen werden daher zusätzlich auf SCC gestützt (doppelte Absicherung). (5) Datensparsamkeit als Transferminimierung (Beispielangaben statt echter pbD).
§ 12 Logging, Monitoring, Umgebungstrennung
(1) Produktiv kein Logging von Anfrage-/Antwort-/Prompt-/Dokumentinhalten; nur technische Metadaten. (2) Debug-Logging produktiv deaktiviert; keine Inhaltsdaten in Stacktraces. (3) Prüfung der Logging-Einstellungen im Release-Prozess. (4) Cloudflare-Server-Logfiles max. 72 h, nicht zusammengeführt. (5) Getrennte Umgebungen (Dev/Test/Prod); Dev/Test verarbeiten ausschließlich synthetische/anonymisierte Daten (keine echten pbD) und sind strikt von Produktiv getrennt. (6) Rollenbasierte Zugriffskontrolle: Der Produktivzugriff ist auf Gosign-Personal in der EU rollenbasiert beschränkt; ein Support-Zugriff erfolgt nur über ein dokumentiertes Ausnahmeverfahren mit Vorab-Freigabe; ein regulärer Drittland-Zugriff findet nicht statt.
§ 13 Löschung, Rückgabe, Speicherdauer (Art. 28 Abs. 3 lit. g DSGVO)
(1) Nach Auftragsende Löschung oder Rückgabe nach Wahl des Verantwortlichen + Löschung der Kopien, außer gesetzliche Speicherpflicht. (2) Produktive Löschfristen: a) Drafter: Entwurfsinhalte + Eingaben 72 h nach Zustellung automatisch genullt, spätestens nach 14 Tagen; nicht zustellbar → nach 14 Tagen vollständig gelöscht; b) verschlüsselte Missbrauchs-Begrenzungsdaten (AES-256-GCM-verschlüsselte E-Mail zur Begrenzung missbräuchlicher Nutzung) werden im Rahmen des Lösch- und Sicherungskonzepts entfernt; c) BV-Konto: Arbeitsstand + Metadaten bestehen, solange das Konto besteht, und werden auf Löschverlangen über die Konto-Löschfunktion vollständig entfernt; eine automatische Inaktivitätslöschung ist nicht vorgesehen. (3) Art. 11 Abs. 2 DSGVO (nach Nullung keine Zuordnung → Auskunft/Löschung mangels Identifizierbarkeit nicht mehr erfüllbar). (4) Backups werden nach spätestens 7 Tagen im Sicherungszyklus überschrieben. Löschverlangen werden in einem nicht-identifizierenden Lösch-Register (Lebensdauer ≥ Backup-Retention) geführt; vor Wiederaufnahme des Produktivbetriebs nach einer Rücksicherung werden alle seit Erstellung des zurückgespielten Backups eingegangenen Löschungen erneut vollzogen und protokolliert - eine Rückführung gelöschter Daten in den Produktivbestand findet nicht statt. Die zeitbasierte Nullung (72 h/14 Tage, Abs. 2 lit. a) wirkt nach einer Rücksicherung zusätzlich. (5) Nachweis auf Verlangen.
§ 14 Unterstützung bei Betroffenenrechten (Art. 28 Abs. 3 lit. e DSGVO)
(1) Unterstützung bei Anträgen nach Art. 12–23 (Auskunft/Berichtigung/Löschung/Einschränkung/Datenübertragbarkeit/Widerspruch). (2) Bei Direktanfrage einer betroffenen Person: unverzügliche Weiterleitung an den Verantwortlichen, keine eigene Beantwortung ohne Weisung. (3) Über Selbstbedienungs-/Exportfunktionen hinausgehender Aufwand ggf. nach AGB vergütet.
§ 15 Unterstützung Sicherheit/Meldepflichten/DSFA (Art. 28 Abs. 3 lit. f, Art. 32–36 DSGVO)
(1) Unterstützung bei Art. 32–36. (2) Meldung von Datenschutzverletzungen an den Verantwortlichen unverzüglich, spätestens 24 h nach Kenntnis (Inhalt nach Art. 33 Abs. 3, soweit verfügbar; entspricht § 9 AGB; ermöglicht die 72-h-Frist des Verantwortlichen). (3) Sofortmaßnahmen; Meldung an Aufsichtsbehörde/Betroffene bleibt beim Verantwortlichen. (4) DSFA-Informationen auf Anfrage.
§ 16 Nachweise, Kontrollen, Audits (Art. 28 Abs. 3 lit. h DSGVO)
(1) Nachweis-Informationen zur Verfügung stellen. (2) Überprüfungen/Inspektionen ermöglichen + beitragen, vorrangig durch: a) Testate/Zertifikate/Berichte (soweit vorhanden); b) dokumentierte TOM (Anlage 2) + Konfigurationsnachweise + geschwärzte Logauszüge; c) schriftlichen Audit-Fragebogen. Gosign hält keine förmlichen ISO-/SOC-Zertifikate; die Architektur ist „Cert-Ready by Design” (ausgerichtet an ISA, PS 951, IDW sowie GoB/GoBD). Der Nachweis erfolgt daher nicht über Zertifikate, sondern über die TOM-Dokumentation (Anlage 2), Konfigurationsnachweise und den Audit-Fragebogen. Mitgliedschaft: BVDW. „Cert-Ready” ist ausdrücklich keine Zertifizierung. (3) Vor-Ort-Prüfung nach Vorankündigung (mind. 14 Kalendertage), Geschäftszeiten, max. 1×/Jahr (+ anlassbezogen), unter Wahrung der Vertraulichkeit (Mandantengeheimnisse + Geschäftsgeheimnisse), ggf. durch verschwiegenheitsverpflichteten Dritten. (4) Pen-Tests nach § 9 AGB. (5) Hinweis auf Weisungsverstoß (§ 6 Abs. 4). (6) Über Standardnachweise hinausgehender Aufwand ggf. nach AGB vergütet.
§ 17 Pflichten des Verantwortlichen
(1) Allein verantwortlich für Rechtmäßigkeit/Zulässigkeit (Art. 5, 6, ggf. 9). (2) Beachtung des Hinweises, keine echten Beschäftigtendaten einzugeben. (3) Eigene Informations-/Melde-/Dokumentationspflichten (Art. 13/14, 30, 33/34, 35); ggf. Einbindung der Arbeitnehmervertretung (§ 87 Abs. 1 Nr. 6 BetrVG, Art. 88 DSGVO). (4) Benennung weisungsberechtigter Ansprechpartner (Anlage 3); Freistellung Gosigns von Drittansprüchen aus rechtswidriger Datenüberlassung/Weisung nach Maßgabe der Gesetze/AGB.
§ 18 Haftung
(1) Art. 82 DSGVO im Außenverhältnis. (2) Innenverhältnis nach § 11 AGB, soweit mit zwingendem Datenschutzrecht vereinbar; Sub-AV-Haftung nach § 9 Abs. 4 (Art. 28 Abs. 4). (3) Keine Beschränkung gegenüber Betroffenen (Art. 82) oder bei Vorsatz/grober Fahrlässigkeit/Verletzung von Leben/Körper/Gesundheit.
§ 19 Beginn, Laufzeit, Beendigung
(1) Click-Wrap-Akzeptanz: Bestätigung von Firma, Handlungsbefugnis + AVV-Version (derzeit v1-2026-06) vor erster pbD-relevanter Nutzung; Zeitpunkt + Version dokumentiert. (2) Laufzeit = Nutzungsdauer; endet automatisch mit der zugrunde liegenden Nutzung. (3) Nachwirkung: §§ 7, 13 + Nachweismitwirkung. (4) Versionierung: Anpassung bei geänderten Anforderungen; Information + ggf. Akzeptanzpflicht der neuen Version; Versions-Label vN-JJJJ-MM.
§ 20 Schlussbestimmungen
(1) Änderungen mind. Textform (auch dieser Klausel); Individualvereinbarungen vorrangig. (2) Deutsches Recht (ohne UN-Kaufrecht); zwingende DSGVO unberührt. (3) Gerichtsstand Hamburg (bei Kaufleuten/jur. Personen d. öff. Rechts, soweit zulässig). (4) Deutsche Fassung maßgeblich. (5) Salvatorische Klausel. (6) Anlagen 1–4 sind Bestandteil.
Anlage 1 - Beschreibung der Verarbeitung
| Merkmal | Festlegung |
|---|---|
| Gegenstand | pbD-Verarbeitung zur Bereitstellung BV-Konto + BV-KI-Drafter |
| Art | Erheben, Speichern, Übermitteln an Modell-Provider, Zustellen, Löschen/Nullen (§ 3) |
| Zweck | Arbeitsstand-Speicherung; Entwurfserzeugung + Zustellung; Missbrauchsbegrenzung |
| Dauer | Nutzungsdauer; Löschmechaniken § 13 (Drafter: 72 h / max. 14 Tage) |
| Betroffene | Beschäftigte/Bewerber, Arbeitnehmervertreter, ggf. Mandanten/Dritte, Nutzer (§ 4) |
| Datenkategorien | Stamm-/Kontakt-/Metadaten; KI-spezifisch: Prompts, Modellantworten, ggf. Dokumente/Embeddings (§ 5) |
| Art. 9 | Nicht vorgesehen; ggf. durch Freitext (§ 5 Abs. 3) |
Anlage 2 - TOM (Art. 32 DSGVO)
Verfahren (Stand 2026-06, gegen den Betriebsstand verifiziert): Verschlüsselung der Missbrauchs-E-Mail mit AES-256-GCM (12-Byte-Nonce pro Datensatz; Schlüssel als 32-Byte-Base64 aus dem Secret-Management/env, kein stiller Fallback). IP-Adressen werden nur als gesalzener SHA-256-Hash verarbeitet, nie im Klartext. Storage-/DB-Region: self-hosted innerhalb der EU/des EWR (von Gosign betriebene Infrastruktur). Backups werden nach spätestens 7 Tagen im Sicherungszyklus überschrieben (flache 7-Tage-Retention). Nach jeder Rücksicherung wird das Restore-Re-Löschungs-Verfahren angewandt - alle seit Erstellung des zurückgespielten Backups eingegangenen Löschungen werden erneut vollzogen und protokolliert (nicht-identifizierendes Lösch-Register, Lebensdauer ≥ Retention), sodass gelöschte Daten nicht reanimiert werden (§ 13 Abs. 4; Verfahren im Restore-Re-Löschungs-Runbook dokumentiert).
1. Vertraulichkeit: Zutritts-/Zugangs-/Zugriffskontrolle (Need-to-know, RBAC, Prod-/Dev-Trennung); Trennungskontrolle/Mandantenisolation; TLS-Übertragung + verschlüsselte Speicherung der Missbrauchs-E-Mail. 2. Integrität: inhaltsdatenarmer Audit-Trail; verschlüsselte Übermittlung an Modell-Provider, keine Content-Retention über die Anfrage hinaus. 3. Verfügbarkeit/Belastbarkeit: redundante Provider-Infrastruktur; Sicherungskonzept. 4. Regelmäßige Überprüfung: Release-Prozess-Check der Logging-/Datenschutz-Einstellungen; Auftragskontrolle Sub-AV. 5. Datensparsamkeit/Privacy by Design (Art. 25): Beispieldaten statt echter pbD; kurze Löschfristen; inhaltsdatenarmes Logging; cookielose Bereitstellung.
Anlage 3 - Ansprechpartner
Die Spalte „Verantwortlicher” wird beim Click-Wrap-Abschluss benannt; ein fester Wert dieses Vertrags besteht insoweit nicht.
| Rolle | Verantwortlicher | Gosign |
|---|---|---|
| Weisungsberechtigt/Datenschutz | beim Click-Wrap-Abschluss benannt | datenschutz@gosign.de |
| Technisch | beim Click-Wrap-Abschluss benannt | datenschutz@gosign.de |
| Datenschutzbeauftragter | sofern bestellt, beim Click-Wrap-Abschluss benannt | Nicht bestellt (§ 38 Abs. 1 BDSG); datenschutz@gosign.de |
Anlage 4 - Genehmigte Sub-Auftragsverarbeiter (Stand v1-2026-06)
Verifiziert (Stand 2026-06): Firmierung, Zweck, Verarbeitungsort/Region und Transfermechanismus je tatsächlich eingesetztem Anbieter. Es ist kein separater SMTP-Versanddienst eingesetzt - der E-Mail-Versand läuft über Google Workspace (Zeile 3).
| # | Sub-AV | Zweck | Ort | Transfer-Mechanismus |
|---|---|---|---|---|
| 1 | EU-/EWR-Modell-Provider | KI-Dienst (LLM zur Entwurfserzeugung) | EU/EWR | EU-Verarbeitung, keine Drittland-Übermittlung |
| 2 | Cloudflare, Inc. (USA) | Hosting/CDN (Pages), Routing (Workers, ohne Persistenz), KV-Speicherung | EU/global (KV) | DPF und/oder SCC; DPA vorhanden |
| 3 | Google Cloud EMEA / Google Ireland | E-Mail-Hosting (Workspace, EU) zur Zustellung | EU (IE) | AVV vorhanden; bei US-Zugriff: DPF und/oder SCC |
| 4 | Untergeordnete Modell-/LLM-Anbieter (EU/EWR) | Modellinferenz | EU/EWR | EU-Verarbeitung; Zero-Retention/No-Training soweit providerseitig verfügbar |
Abgrenzung (§ 9 Abs. 5): im Standardbetrieb alle als Sub-AV von Gosign geführt; „Bring-your-own-Tenant” nicht vorgesehen, gesondert zu vereinbaren.
Ende des Entwurfs. ENTWURF - zur juristischen Prüfung durch die Rechtsabteilung der Gosign GmbH. Nicht rechtsverbindlich bis zur Freigabe. Stand v1-2026-06. Die zuvor als „von Legal/Ops zu ergänzen” markierten operativen/faktischen Stellen sind mit verifizierten Echtwerten befüllt (Stand 2026-06); der Text ist fachlich/operativ verifiziert befüllt und freigabebereit. Vor der Veröffentlichung steht die formale rechtsverbindliche Freigabe durch die Gosign GmbH aus (anwaltliche Schlussprüfung der Klausel-Formulierungen, finale Bestätigung der Anlagen 1–4, Verifikation des EU-US-DPF-Stands C-703/25 P + der Sub-AV-Ketten zum Freigabezeitpunkt).
Quellen (web-verifiziert)
- Art. 28 DSGVO (dsgvo-gesetz.de, dejure.org)
- AVV-Muster Art. 28 Abs. 3 (LfDI Baden-Württemberg)
- EU-US Data Privacy Framework Status 2026; T-553/23 (Latombe) abgewiesen 03.09.2025; C-703/25 P anhängig (PwC Legal, EFAR)