Datenschutzerklärung

1.1 Verantwortlicher

swipesign GmbH
Elisabethstraße 15, Top 5A, 1010 Wien, Österreich
Firmenbuchnummer: FN 664099 t
E-Mail: office@swipesign.io

Weitere Angaben zum Unternehmen finden Sie in unserem Impressum.

1.2 Datenschutz-Kontakt

Wir haben keinen Datenschutzbeauftragten bestellt, weil wir gesetzlich nicht dazu verpflichtet sind. Für alle Anliegen zu Ihren Daten schreiben Sie an support@swipesign.io.

1.3 Geltungsbereich

Diese Datenschutzerklärung gilt für:

• unsere Website www.swipesign.io, einschließlich unseres Hilfe-Centers (/support);
• unsere Plattform app.swipesign.io: elektronische Signaturen, Identitätsprüfung und Safe Transfer;
• Support-Anfragen;
• die Abrechnung.

Für die Nutzung der Plattform gelten außerdem unsere AGB.

Für Kontoinhaber und Besucher der Website sind wir Verantwortlicher. Wir entscheiden, wozu und wie Ihre Daten verarbeitet werden.

Unsere Kunden laden andere Personen ein, Dokumente zu unterschreiben oder zu empfangen, und speichern Kontakte in ihrem Adressbuch. Für diese Personen (Unterzeichner, Empfänger, Kontakte) ist der Kunde Verantwortlicher. Wir verarbeiten ihre Daten in seinem Auftrag auf Grundlage eines Auftragsverarbeitungsvertrags (Art. 28 DSGVO). Wenn Sie von einem unserer Kunden eingeladen wurden, wenden Sie sich mit Fragen zu Ihren Daten zuerst an diesen Kunden.

Eine Ausnahme: das Audit-Protokoll und die Signaturnachweise. Diese speichern wir selbst, damit wir die Gültigkeit einer Signatur nach der eIDAS-Verordnung und den gesetzlichen Vorgaben nachweisen können. Rechtsgrundlage: unser berechtigtes Interesse am Nachweis von Signaturen (Art. 6 Abs. 1 lit. f DSGVO) und unsere rechtlichen Verpflichtungen (Art. 6 Abs. 1 lit. c DSGVO).

3.1 Hosting und Server-Logs

Die Website wird von OVH (OVH SAS, 2 rue Kellermann, 59100 Roubaix, Frankreich) in Rechenzentren in der EU gehostet und als statische Dateien über nginx ausgeliefert. Jeder Aufruf wird mit IP-Adresse, Zeitpunkt, aufgerufener URL, Referrer, User-Agent und Statuscode protokolliert. Diese Logs brauchen wir für Sicherheit und Betrieb. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Die Logs werden nach spätestens 30 Tagen gelöscht.

Schriftarten liegen auf unserem eigenen Server. Die Website setzt keine Cookies.

3.2 Kontaktformular

Wenn Sie das Kontaktformular nutzen, erhalten wir Ihren Namen, Ihre E-Mail-Adresse, Ihr Unternehmen (optional), Ihr Segment (optional) und Ihre Nachricht. Das Formular wird per E-Mail über unseren Mailserver an unser Support-Postfach gesendet. Wir verwenden die Daten nur, um Ihre Anfrage zu beantworten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, wenn Ihre Anfrage einen Vertrag oder vorvertragliche Maßnahmen betrifft; sonst Art. 6 Abs. 1 lit. f DSGVO, unser Interesse an der Beantwortung von Anfragen. Um Missbrauch zu verhindern, halten wir Ihre IP-Adresse kurzzeitig im Arbeitsspeicher, um die Zahl der Anfragen zu begrenzen.

Wir speichern die Daten, solange wir sie zur Bearbeitung Ihrer Anfrage brauchen. Kommt ein Vertrag zustande, gelten die gesetzlichen Aufbewahrungsfristen.

3.3 Preisseite für Notare

Das Passwort für /notaries/pricing wird von einer Google-Apps-Script-Web-App (Google Ireland Ltd) geprüft, die das Passwort und Ihre IP-Adresse erhält. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

3.4 Webanalyse

Wir verwenden Plausible Analytics (Plausible Insights OÜ, Västriku tn 2, 50403 Tartu, Estland), um Besuche zu zählen. Plausible setzt keine Cookies und verfolgt Sie nicht über andere Websites hinweg. Ihre IP-Adresse wird gehasht und nicht gespeichert. Die Daten liegen in der EU. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, unser Interesse zu verstehen, wie die Website genutzt wird. Wir können Plausible zeitweise abschalten.

3.5 Externe Links

Die Website verlinkt auf LinkedIn und YouTube. Wenn Sie diesen Links folgen, verlassen Sie unsere Website. Dort gilt die Datenschutzerklärung des jeweiligen Anbieters.

4.1 Hosting

Die Plattform läuft auf unserem eigenen, von OVH gehosteten Cluster in nach ISO 27001 zertifizierten Rechenzentren in der EU (Deutschland und Frankreich). Datenbank und Cache betreiben wir selbst auf derselben Infrastruktur. Backups erstellen wir täglich.

4.2 Ihr Konto

Bei Registrierung und Nutzung Ihres Kontos verarbeiten wir:

• E-Mail-Adresse, Name und Sprache;
• Passwort (nur als Hash gespeichert);
• Mobilnummer, die wir mit einem SMS-Code bestätigen;
• PIN, falls Sie eine festlegen (nur als Hash gespeichert);
• Name der Organisation, Land und UID-Nummer;
• Ihre Antworten auf die Onboarding-Umfrage.

Diese Daten brauchen wir, um den Dienst zu erbringen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

4.3 Identitätsprüfung

Wir prüfen Ihre Identität nur, wenn Sie oder der Absender eine verifizierte Signatur oder Safe Transfer wählen. Je nach Auswahl wird einer dieser Dienste genutzt:

• ID Austria. Sie melden sich unter eid.oesterreich.gv.at an, betrieben von der Republik Österreich (Bundesministerium für Inneres) gemeinsam mit A-Trust. Wir erhalten Ihren Vornamen, Nachnamen und ein bereichsspezifisches Personenkennzeichen (bPK). Das bPK speichern wir nur als SHA-256-Hash.
• WebID. Videoidentifikation durch die WebID Solutions GmbH, Friedrichstraße 88, 10117 Berlin, Deutschland. Wir übermitteln Vor- und Nachname, E-Mail-Adresse, Geburtsdatum, Geschlecht, Mobilnummer und Postanschrift. Wir erhalten das Ergebnis der Prüfung und Ihre Identitätsdaten. Bilder Ihres Ausweises und das Video speichern wir nicht. WebID bewahrt diese nach eigenen Fristen auf.
• eID Easy. Die eID Easy OÜ, Tallinn, Estland, verbindet uns mit nationalen eIDs und Vertrauensdiensteanbietern, zum Beispiel D-Trust sign-me, Swisscom, Smart-ID, Mobile-ID, itsme, Veriff, BankID, InfoCert und SPID. Es gilt die Datenschutzerklärung des von Ihnen gewählten Anbieters.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (die von Ihnen gewünschte Signatur oder Übermittlung) und Art. 6 Abs. 1 lit. c DSGVO (eIDAS und die Geldwäsche-Pflichten unserer Kunden). Die Identitätsdaten speichern wir zusammen mit den Signaturnachweisen (siehe 4.4).

4.4 Signaturen und Nachweise

Qualifizierte elektronische Signaturen werden von einem qualifizierten Vertrauensdiensteanbieter erstellt. Bei ID Austria ist das die A-Trust GmbH, Landstraßer Hauptstraße 5, 1030 Wien, Österreich. Bei eID Easy ist es der von Ihnen gewählte Vertrauensdiensteanbieter (zum Beispiel D-Trust, Swisscom oder InfoCert). Qualifizierte Zeitstempel stammen von A-Trust. Fortgeschrittene Signaturen werden auf unserer Plattform erstellt.

Für jeden Unterzeichner speichern wir folgende Signaturnachweise:

• Name, E-Mail-Adresse und Telefonnummer;
• Signaturart und Zeitstempel;
• IP-Adresse und User-Agent;
• Zertifikatsdaten;
• bei eID-Anbietern den vom Anbieter übermittelten Identitätscode.

Für jedes Dokument führen wir außerdem ein Audit-Protokoll: Benutzer-ID, Aktion, Zeitstempel und IP-Adresse.

Nachweise und Audit-Protokoll bewahren wir so lange auf, wie es zum Nachweis der Gültigkeit einer Signatur nötig ist, mindestens aber 7 Jahre (gesetzliche Aufbewahrungspflicht nach § 132 BAO und § 212 UGB). Rechtsgrundlage: Art. 6 Abs. 1 lit. c und f DSGVO.

4.5 Dokumente

Hochgeladene Dokumente und Unterzeichnerdaten verarbeiten wir nur, um den Signaturablauf durchzuführen. Abgeschlossene Dokumente können 14 Tage nach Abschluss heruntergeladen werden. Danach löschen wir die Dateien aus unserem Speicher. Es bleiben nur eine kryptografische Prüfsumme, die Unterzeichnerdaten und das Audit-Protokoll. Abgebrochene und abgelaufene Signaturvorgänge behandeln wir genauso. Temporäre Dateien aus Konvertierungen (DOCX zu PDF, PDF/A) werden innerhalb von 3 Stunden gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

4.6 Dokumenten-KI

Ein Dienst auf unserer eigenen Infrastruktur analysiert das PDF und die Rollen der Unterzeichner, um Signaturfelder und Zusammenfassungen vorzuschlagen. Wir nutzen keinen externen KI-Anbieter, und es werden dafür keine Daten an Dritte übermittelt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO bzw. Art. 6 Abs. 1 lit. f DSGVO, unser Interesse, das Unterschreiben zu beschleunigen.

4.7 Safe Transfer

Wenn Sie ein Dokument über Safe Transfer erhalten, verarbeiten wir Ihre E-Mail-Adresse und Ihren Namen, das Ergebnis Ihrer Identitätsprüfung (gehashtes bPK oder WebID-Ergebnis sowie den Namensabgleich), Ihre Zustimmung zu den Bedingungen (Zeitpunkt und Version) sowie die Zeitpunkte von Zugriff und Download. Links laufen nach 14 Tagen ab. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

4.8 Adressbuch

Kunden können Kontakte speichern: Name, E-Mail-Adresse und Telefonnummer anderer Personen. Für diese Daten ist der Kunde Verantwortlicher (siehe 2).

4.9 Zahlungen

Zahlungen wickelt die Stripe Payments Europe Ltd, 1 Grand Canal Street Lower, Dublin 2, Irland, ab. Wir übermitteln Stripe Ihre E-Mail-Adresse, den Namen der Organisation, die UID-Nummer und eine interne Kunden-ID. Kartendaten gehen direkt an Stripe und berühren unsere Server nie. Für die nutzungsabhängige Abrechnung melden wir Nutzungszahlen an Stripe. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Rechnungen bewahren wir 7 Jahre auf (Art. 6 Abs. 1 lit. c DSGVO).

4.10 E-Mail

Transaktionale E-Mails (zum Beispiel Signatureinladungen und Benachrichtigungen) versenden wir über Brevo (Sendinblue GmbH, Köpenicker Straße 126, 10179 Berlin, Deutschland). Brevo verarbeitet Ihre E-Mail-Adresse, Ihren Namen und den Inhalt der Nachricht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

4.11 SMS-Codes

Bestätigungscodes versenden wir per SMS über die Twilio Ireland Ltd, 3 Dublin Landings, Dublin 1, Irland. Muttergesellschaft ist die Twilio Inc. in den USA. Twilio verarbeitet Ihre Mobilnummer und den Code. Übermittlungen in die USA sind durch EU-Standardvertragsklauseln und das EU-US Data Privacy Framework abgesichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO und Art. 6 Abs. 1 lit. f DSGVO, unser Interesse an der Sicherheit Ihres Kontos.

4.12 Fehlerüberwachung

Wir verwenden Sentry (Functional Software Inc., San Francisco, USA), um Fehler zu finden und zu beheben. Die Daten liegen in der EU-Region von Sentry in Frankfurt. Sentry erhält Fehlermeldungen, Stacktraces, Browser- und Geräteinformationen sowie Ihre Benutzer-ID. Session Replay nutzen wir nicht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, unser Interesse an einer funktionierenden Plattform.

4.13 Webanalyse

Auf app.swipesign.io verwenden wir ebenfalls Plausible Analytics, wie in 3.4 beschrieben. Keine Cookies, kein websiteübergreifendes Tracking.

4.14 Länderermittlung

Wenn Sie das Login- oder Registrierungsformular öffnen, ermittelt unser Server Ihr Land aus Ihrer IP-Adresse mithilfe einer Datenbank auf unserer eigenen Infrastruktur, um die Telefon-Ländervorwahl vorauszuwählen. Die IP-Adresse wird dafür nicht gespeichert, und es ist kein Dritter beteiligt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

4.15 Affiliate-Tracking

Wenn Sie über einen Partnerlink kommen, fragt ein Cookie-Banner nach Ihrer Einwilligung. Nur wenn Sie „Marketing“-Cookies akzeptieren, laden wir Refindie. Refindie speichert eine Empfehlungs-ID und den Zeitpunkt Ihres Besuchs für bis zu 90 Tage, damit wir ein Abonnement dem vermittelnden Partner zuordnen können. Rechtsgrundlage: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Sie können sie jederzeit in den Cookie-Einstellungen widerrufen.

4.16 Cookies und Browser-Speicher

Die Plattform verwendet:

• cc_cookie: speichert Ihre Cookie-Auswahl für 1 Jahr. Notwendig.
• Refindie-Cookies: Affiliate-Tracking (siehe 4.15). Marketing, nur mit Ihrer Einwilligung.
• Stripe-Cookies: Stripe Elements kann eigene Cookies zur Betrugsprävention setzen. Notwendig.
• localStorage: Login-Token, zwischengespeichertes Benutzerprofil, Sprache.
• sessionStorage: Sitzungs-Token, zwischengespeichertes Land (24 Stunden), Freischaltstatus für Safe Transfer.

Notwendige Speicherung ist für den Betrieb der Plattform erforderlich (§ 165 Abs. 3 TKG 2021, Art. 6 Abs. 1 lit. b und f DSGVO).

E-Mails an support@swipesign.io bearbeiten wir selbst in unserem Support-Postfach. Das Postfach läuft auf Google Workspace (Google Ireland Ltd) und wird in der EU (Frankfurt) gespeichert. Wir verarbeiten Ihren Namen, Ihre E-Mail-Adresse und den Inhalt Ihrer Anfrage, um sie zu beantworten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für Kunden, sonst Art. 6 Abs. 1 lit. f DSGVO, unser Interesse an der Beantwortung von Anfragen.

Wir arbeiten mit diesen Anbietern. Jeder ist vertraglich an uns gebunden.

• OVH — Hosting von Website und Plattform, Speicher — EU (Frankreich, Deutschland)
• Stripe — Zahlungen und Rechnungen — Irland
• Brevo — transaktionale E-Mails — Deutschland
• Twilio — SMS-Codes — Irland, USA
• Sentry — Fehlerüberwachung — EU-Region (Deutschland), Unternehmen in den USA
• Plausible — Webanalyse ohne Cookies — EU (Estland)
• WebID — Videoidentifikation — Deutschland
• eID Easy — eID- und Signatur-Aggregator — Estland
• A-Trust — qualifizierte Zertifikate und Zeitstempel, ID Austria — Österreich
• Google — Support-Postfach (Workspace, gespeichert in Frankfurt) und Passwortprüfung der Notar-Preisseite (Apps Script) — Irland, USA
• Refindie — Affiliate-Tracking (mit Einwilligung) — Verarbeitung außerhalb der EU möglich

Grundsätzlich bleiben Ihre Daten in der EU. Ausnahmen: Twilio, Sentry (Daten in der EU-Region, Unternehmen in den USA), Google und Refindie können Daten außerhalb der EU verarbeiten. Diese Übermittlungen sichern wir durch EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) und, wenn der Empfänger zertifiziert ist, durch das EU-US Data Privacy Framework ab.

• Kontodaten: solange Ihr Konto besteht und bis zu 30 Tage nach seiner Schließung.
• Signaturnachweise und Audit-Protokoll: mindestens 7 Jahre.
• Rechnungen: 7 Jahre.
• Dokumente: 14 Tage nach Abschluss.
• Server-Logs: 30 Tage.
• Support-E-Mails: 3 Jahre.

• Alle Verbindungen sind mit TLS verschlüsselt.
• Gespeicherte Daten sind verschlüsselt (Encryption at Rest).
• Safe-Transfer-Dateien sind mit AES-GCM verschlüsselt.
• Zugriff auf Daten haben nur Mitarbeiter, die ihn brauchen.
• Unsere Rechenzentren sind nach ISO 27001 zertifiziert.
• Signaturen tragen qualifizierte Zeitstempel.

Sie haben das Recht auf:

• Auskunft über Ihre Daten (Art. 15 DSGVO);
• Berichtigung unrichtiger Daten (Art. 16 DSGVO);
• Löschung Ihrer Daten (Art. 17 DSGVO);
• Einschränkung der Verarbeitung (Art. 18 DSGVO);
• Datenübertragbarkeit (Art. 20 DSGVO);
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO);
• Widerruf Ihrer Einwilligung jederzeit, ohne dass die Rechtmäßigkeit der bisherigen Verarbeitung berührt wird (Art. 7 Abs. 3 DSGVO).

Um diese Rechte auszuüben, schreiben Sie an support@swipesign.io. Wir können Sie bitten, zuerst Ihre Identität nachzuweisen.

Eine Kontolöschung per Selbstbedienung gibt es noch nicht. Um Ihr Konto zu löschen, schreiben Sie uns eine E-Mail. Wir schließen die Löschung innerhalb von 30 Tagen ab, außer für Daten, die wir gesetzlich aufbewahren müssen (siehe 8).

Sie können sich bei der Österreichischen Datenschutzbehörde beschweren (Barichgasse 40-42, 1030 Wien, https://www.dsb.gv.at) oder bei der Aufsichtsbehörde Ihres EU-Mitgliedstaats.

Wir aktualisieren diese Seite, wenn sich unsere Verarbeitung ändert. Das Datum oben zeigt die aktuelle Fassung.