FAQ

Wie verwalten sie Daten? Sind Verträge sicher?

Wir implementieren beständige Maßnahmen für das Datenmanagement und die Datensicherheit wie Verschlüsselung und Zugangskontrollen, um sensible Kundeninformationen zu sichern.

Kunden werden darauf hingewiesen, dass es im Allgemeinen zwei Arten von “Daten” innerhalb des Docusign- Systems gibt; (1) eDocument-Daten und (2) Transaktionsdaten oder Metadaten. Diese Unterscheidung ist ausschlaggebend für das klare Verständnis, wo die Daten gespeichert werden.

eDocuments sind Dokumente, die vom Kunden an das System übermittelt werden. Sie werden verschlüsselt gespeichert, und kein Docusign-Mitarbeiter hat Zugriff auf sie. Beim Onboarding hat der Kunde die Möglichkeit, den Ort auszuwählen, an dem sein Dokument gespeichert werden soll: USA, Europa (EU), Kanada (CA) oder Australien (AU). Einmal ausgewählt, verbleiben die eDokumente immer an dem gewählten Ort, es sei denn, sie werden vom Kunden oder von einem Empfänger, dem der Kunde Zugriff gewährt hat, heruntergeladen. Der Ort, an dem sich das Dokument befindet, liegt daher immer im Kontrollbereich des Kunden. Wenn ein Kunde einem Empfänger Zugang zu einem elektronischen Dokument gewährt, sendet das System nicht das Dokument selbst. Das System sendet einen Link, der den Empfänger zu dem Ort führt, an dem sich das Dokument befindet. Daher kann der Kunde sicher sein, dass der Speicherort des Dokuments immer unter der Kontrolle des Kunden als Verantwortlichen ist.

Was Transaktionsdaten oder Metadaten betrifft, so teilt oder verschiebt Docusign diese Daten außerhalb des vom Kunden für seine eDokumente gewählten Standorts. 

Diese Metadaten beschränken sich auf das Minumum und inkludieren lediglich den Vor- und Nachnamen, den angegebenen geografischen Standort und die IP-Adresse. Docusign teilt diese Informationen über sein eigenes Netzwerk (US, NA, CA und AU), um sicherzustellen, dass ein weltweiter Service angeboten werden kann. Da das Dokument immer an dem vom Kunden gewählten Ort verbleibt und nur Links zu diesem Dokument an die Empfänger gesendet werden, verwendet Docusign die minimale Menge an Metadaten, um sicherzustellen, dass ein Empfänger, dem Zugang gewährt wurde, von überall auf der Welt zu einem Dokumenten-Speicherplatz geleitet werden kann. Wenn zum Beispiel ein Kunde, der seine eDokumente in Europa aufbewahrt, jemandem Zugang gewährt, der dann versucht, auf das in der EU befindliche Dokument von einem Ort außerhalb der EU, z.B. in Südamerika, zuzugreifen, dann kann dieser Empfänger anhand der Metadaten, die Docusign in seiner globalen Infrastruktur speichert, von Südamerika nach Europa geleitet werden.

Wie lange werden die Daten gespeichert?

Gemäß den Vertragsbedingungen speichert Docusign die Kundendaten so lange, wie der Vertrag besteht. Nach Beendigung des Vertrags kann Docusign die Kundendaten nach 90 Tagen löschen und wird die Transaktionsdaten so lange aufbewahren, wie dies für den geschäftlichen Zweck notwendig ist.

Wer sind die Unterauftragsverarbeiter, wo befinden sie sich und welche Daten verarbeiten sie?

Diese Details sind in der Docusign Unterauftragsverarbeiter Liste enthalten.

Kann gewährleistet werden, dass keine Daten die EU verlassen?

Für Docusign eSignature gilt:

Docusign ermöglicht es Kunden, Dokumente in der Region zu speichern, in der ihr Docusign-Konto ursprünglich erstellt wurde. Diese Dokumente bleiben in einem verschlüsselten Format innerhalb des vom Kunden gewählten geografischen Standorts gespeichert und sind so konzipiert, dass sie für Docusign-Mitarbeiter unzugänglich sind. Da Docusign in begrenztem Umfang personenbezogene Daten des Kunden zum Zwecke der sicheren Authentifizierung der Benutzeridentität auf seinen Servern weltweit speichert, kann die rechtmäßige geschäftliche Nutzung der Docusign-Dienste durch den Kunden daher zur Übertragung einiger begrenzter personenbezogener Daten (d.h. Name und E-Mail-Adresse) außerhalb der geografischen Region des Kunden führen. Speziell für eSignature können Metadaten zu eSignature-Vorgängen, die einzelnen Nutzern zugeordnet sind, zwischen geografischen Regionen übertragen werden.

Illustrativer Anwendungsfall: Peter Schmidt (ein bestehender Nutzer eines in der EU eingerichteten Docusign eSignature-Kontos) sendet ein Dokument an Jane Anderson (eine bestehende Docusign eSignature-Nutzerin, die ein Konto in Australien hat). In diesem Fall werden die Benutzerdaten von Peter Schmidt zwischen der EU und Australien ausgetauscht, um Jane zu benachrichtigen, dass ein Dokument zur Unterzeichnung bereit liegt. Die Benachrichtigung enthält einen Link, über den Jane auf das Dokument zugreifen und es elektronisch unterzeichnen kann, wobei die Daten in der EU verbleiben. Wenn Jane das Dokument unterzeichnet, werden begrenzte personenbezogene Daten (z. B. Benutzername und E- Mail-Adresse) an das Datenzentrum zurückgeschickt, in dem das Dokument gespeichert ist (d. h. in der EU). Diese Transaktionsmetadaten, die begrenzte personenbezogene Daten sowohl des Absenders als auch des Empfängers enthalten, und der Abschluss des Unterzeichnungsvorgangs führen zu einem Abschlusszertifikat, d. h. zu einem überprüfbaren Prüfpfad für die Unterzeichnung des Dokuments. 

Für Docusign CLM gilt:

Docusign ermöglicht es Kunden, Dokumente in den Regionen zu speichern, in denen ihr CLM-Konto ursprünglich erstellt wurde, sowie in der entsprechenden Backup-Umgebungsregion (z. B. EU und Großbritannien als gepaarte Regionen). Docusign speichert begrenzte Daten zur Kontoidentität. Um eine globale Benutzererfahrung zu ermöglichen, werden einige minimale Daten zur Kontoidentität zwischen den regionalen Instanzen des Docusign CLM-Dienstes ausgetauscht. Die zwischen den Regionen ausgetauschten Daten zur Kontoidentität beschränken sich auf das Minimum (Name, Benutzer-ID und E-Mail), das für die Authentifizierung des Benutzers und die Zuordnung des Benutzers zum entsprechenden Docusign CLM-Konto und zur Rechenzentrumsregion erforderlich ist. Ausführlichere Informationen finden Sie im Dokument “Transfer Impact Assessment” im Privacy Pack, das Sie auf Anfrage von Ihrem Vertriebs-oder Kundenbetreuer erhalten können. Docusign führt auch interne Compliance-Aufzeichnungen über die Datenverarbeitungsaktivitäten, die wir im Namen eines Kunden in Übereinstimmung mit dem geltenden Datenschutz durchführen

Vertrauen hat höchste Priorität, und Meldungen über verdächtige Aktivitäten werden ernst genommen.  Es ist von essenzieller Bedeutung, dass uns Sicherheitsbedenken mitgeteilt werden, um sicherzustellen, dass die Probleme rechtzeitig und angemessen angegangen werden. Im Leitfaden zum Thema Sicherheitsmeldungen finden Sie das richtige Programm für jedes Sicherheitsproblem.

Docusign kategorisiert Vorfälle wie folgt:

• Nachahmung von Docusign

• Unsachgemäße Verwendung von Docusign

• Andere Sicherheitsbedenken

Wie kann Phishing vermieden werden? Gibt es Best Practises?

Unsere Kunden sind die wichtigste Instanz zur Vermeidung von Cybersecurityrisiken. Die schnelle Erkennung von Cybersecurityrisiken verringert die Möglichkeit negativer Konsequenzen. Die folgenden Informationen erklären, wie man Cybersecurityrisiken durch Imitationen (auch Spoofing genannt) erkennt und sie dem Informationssicherheitsteam von Docusign zur Untersuchung meldet. Richtlinien zur Erkennung von gefälschten E-Mails und Webseiten.

Docusign hat je nach Art der Bedrohung spezielle Programme eingerichtet: (1) Gefälschte Docusign-E-Mails und -Websites: Wenn Sie glauben, dass Sie eine betrügerische E-Mail erhalten haben, die angeblich von Docusign stammt, leiten Sie die gesamte E-Mail als Anhang an spam@docusign.com weiter und löschen Sie sie sofort. Wenn Sie eine Website erkennen, die Docusign imitiert, kopieren Sie bitte die URL und fügen Sie sie zur Untersuchung in eine E-Mail an spam@docusign.com ein. (2) Andere Sicherheitsrisiken im Zusammenhang mit Docusign: Zur Unterstützung der Informationssicherheit von Docusign und zur Aufklärung von Bedrohungen melden Sie bitte Vorfälle, die die Sicherheit beeinträchtigen können, sowie andere Bedrohungen oder Gefährdungen der Docusign-Plattform an security@docusign.com

Ich bin ein Administrator und muss den Docusign-Endpunkt zulassen — was sind die richtigen IP-Adressen?

Wenn Kunden nur den Docusign-Endpunkt zulassen müssen, gelten die hier aufgeführten IP-Adressen.

Wo sind Ihre STAPs?

Das “Security & Trust Assurance Pack” (STAP) von DocuSign ist als Selbstbedienungsoption auf der Trust-Webseite verfügbar.

Wie lauten die von Docusign verbindlichen internen Datenschutzvorschriften (Binding Corporate Rules, BCR)?

Docusign unterhält sowohl als Auftragsverarbeiter als auch als Verantwortlicher verbindliche interne Datenschutzvorschriften (BCR), die von den Datenschutzbehörden der Europäischen Union genehmigt wurden. Die BCR, die als Goldstandard für den Datenschutz gelten, sind ein strenges Regelwerk für die Mitglieder der Docusign-Unternehmensfamilie und spiegeln die Relevanz und das Engagement in Bezug auf das Thema Datenschutz wider, das Docusign seinen Kunden, Mitarbeitern und anderen Geschäftskontakten entgegenbringt.

Was sind BCR und wann sind sie anwendbar?

Gemäß Artikel 44 der Europäischen Datenschutzgrundverordnung 2016/679 (DSGVO) kann jede Übermittlung personenbezogener Daten in ein Drittland außerhalb des Europäischen Wirtschaftsraums nur dann stattfinden, wenn dieses Drittland ein angemessenes Datenschutzniveau gewährleistet. Dieses Datenschutzniveau kann durch verschiedene Übermittlungsmechanismen nachgewiesen werden. Zum einen kann die EU-Kommission einen Angemessenheitsbeschluss erlassen, der die Angemessenheit des Datenschutzniveaus in einem bestimmten Land bestätigt. Zum anderen ist der Abschluss sogenannter Standardvertragsklauseln (Standard Contractual Clauses, SCC) zwischen dem Absender und dem Empfänger der Daten gemäß Artikel 46 Abs.2 lit. c) DSGVO möglich. Eine andere, komplexere und anspruchsvollere Möglichkeit, ein umfassendes und angemessenes Datenschutzniveau zu gewährleisten, sind die verbindlichen internen Datenschutzvorschriften (Binding Corporate Rules, BCR) gemäß Artikel 46 Abs. 2 lit. b) DSGVO. Die folgenden Informationen beziehen sich auf diesen Übermittlungsmechanismus.

BCR stellen einen umfassenden Satz von Standards dar, für die Sicherheit und den Schutz personenbezogener

Daten gemäß den Anforderungen der Datenschutz-Grundverordnung, die von verbundenen Unternehmen oder Unternehmen, die eine gemeinsame Wirtschaftstätigkeit ausüben, formell angenommen werden. BCR müssen von einer EU-Aufsichtsbehörde offiziell genehmigt werden, um als rechtmäßiger internationaler Übermittlungsmechanismus gemäß Artikel 47 DSGVO anerkannt zu werden (wie weiter unten erläutert). Bei DocuSign dienen BCR als starker und effektiver globaler Datentransfermechanismus, den Docusign innerhalb seiner globalen Data-Governance-Struktur implementiert hat, um alle Docusign-Mitglieder in Bezug auf die sichere Verarbeitung personenbezogener Daten unabhängig vom geografischen Standort zu verpflichten.

Wenn ein europäischer Kunde als Verantwortlicher einen Vertrag mit einem BCR-Mitglied von Docusign abschließt, um die Dienste von Docusign zu nutzen, decken die Datenverarbeitungsbedingungen in der maßgeblichen Dienstleistungsvereinbarung zwischen Docusign und dem Kunden alle Verarbeitungstätigkeiten von Docusign-Mitgliedern im Auftrag des Kunden gemäß den Anforderungen der BCR von Docusign ab. Docusigns BCR für Auftragsverarbeiter (die “Processor Policy”) werden in die geltende Docusign-Dienstleistungsvereinbarung zwischen Docusign und einem Kunden aufgenommen und bieten weitere Zusicherungen von Docusigns Verpflichtung zu spezifischen Regeln für die Sicherheit und den Schutz personenbezogener Daten im Rahmen der Unternehmensführung. Docusign wendet die in der Auftragsverarbeiter-Richtlinie enthaltenen Standards weltweit auf alle Mitglieder der Docusign-Gruppe an, wenn sie personenbezogene Daten verarbeiten, unabhängig vom Herkunftsland, dem Land, in dem sie verarbeitet werden, oder dem Land, in dem das Mitglied der Docusign-Gruppe seinen Sitz hat.

Darüber hinaus übernimmt der Auftraggeber von Docusign die Haftung für jegliche Verletzung unserer Standards durch Handlungen einer anderen Unternehmenseinheit von Docusign oder eines externen Unterauftragsverarbeiters außerhalb der EU oder des Vereinigten Königreichs. Wenn ein in der EU ansässiger Kunde sich dafür entscheidet, einen Dienstleistungsvertrag mit einer in Europa ansässigen Docusign-Unternehmenseinheit abzuschließen oder wenn Sie sich für die Bereitstellung ihrer Docusign-Dienste in einem in der EU ansässigen Rechenzentrum entscheiden, ist für die ursprüngliche Übermittlung an Docusign kein zusätzlicher Übermittlungsmechanismus erforderlich, da es sich bei dieser Datenübermittlung um eine Datenübermittlung innerhalb der EU handelt und der Zielstaat somit zwangsläufig ein angemessenes Datenschutzniveau aufweist. Darüber hinaus sind Erstübermittlungen aus dem Vereinigten Königreich an eines der in der EU ansässigen Rechenzentren von Docusign durch die gegenseitige Angemessenheit abgedeckt, die zwischen der EU und dem Vereinigten Königreich gilt. Jegliche Weiterübermittlung in Nicht-EU-Länder (ohne angemessenes Datenschutzniveau) durch eine in der EU ansässige Unternehmenseinheit von Docusign oder im Zuge der Verarbeitung hochgeladener Daten an die europäischen Rechenzentren von Docusign wird von Docusigns BCR als Übertragung zwischen Gruppenmitgliedern abgedeckt und unterliegt denselben umfassenden technischen und organisatorischen Sicherheitsmaßnahmen, die in Docusigns BCR beschrieben sind.

Die BCR gelten für alle Gruppenmitglieder im Rahmen der Auftragsverarbeiter-Richtlinie und bieten einen soliden Schutz für personenbezogene Daten, die von den Gruppenmitgliedern verarbeitet werden. Docusign bietet europäischen Kunden außerdem die Möglichkeit, ihre Docusign-Serviceumgebungen in der EU einzurichten, um den Datenspeicherungsort von Dokumenten und Kundeninhalten innerhalb der EU aufrechtzuerhalten. In diesen Fällen bleiben Dokumente und Inhalte, die in den Docusign “eSignature- Diensten” hochgeladen werden, verschlüsselt und verlassen nicht das vom Kunden gewählte Gebiet (oder Gebiete, im Falle von anwendbaren Disaster-Recovery-Funktionen für anwendbare Docusign-Dienste wie Docusign CLM), in dem die Serviceumgebung bereitgestellt wird. Bei der Nutzung des Docusign eSignature-Dienstes können auf Veranlassung des Kunden sogenannte Transaktionsdaten (Metadaten) außerhalb des vom Kunden angegebenen Gebietes verarbeitet werden. Dabei handelt es sich um Daten über Aktivitäten, Ereignisse und Handlungen, die im Rahmen des normalen Ablaufs von Nutzern bei  Beginn, bei der Ausführung und beim Abschließen ihrer digitalen Transaktionen im Docusign eSignature-Dienst auftreten. Transaktionsdaten können daher in begrenztem Umfang personenbezogene Daten enthalten (z.B. Namen und E-Mail-Adressen von Absendern/Empfängern, IP-Adressen und andere Online-Kennungen und Standortdaten). Die Übertragung dieser begrenzten personenbezogenen Daten außerhalb des Gebietes erfolgt, wenn der Kunde einen Dokumentenlink zur elektronischen Signatur an den Empfänger sendet; dieser Datentransfer wird durchgeführt, um die Nutzung der Docusign-Dienste durch den Kunden zu erleichtern.

Welche SSO/ Verschlüsselung verwenden sie (innerhalb des E-Dokuments, CoCs)?

Docusign priorisiert die Sicherheit von Benutzerdaten durch die Implementierung von Single-Sign-On-Authentifizierungsprozessen und widerstandsfähigen Verschlüsselungsmaßnahmen. Wir beschränken den Zugang zu unserem Produktionsnetzwerk auf Grundlage der Aufgabenbereiche. Um auf das System zuzugreifen, müssen die Team Mitglieder eine Zwei-Faktor-Authentifizierung über ein virtuelles privates Netzwerk durchlaufen. Privilegierte Zugriffe werden als Teil des Systemüberwachungsprozesses überwacht. Docusign nutzt auch Lösungen für das Identitäts- und Zugriffsmanagement, um hohe Sicherheits- und Authentifizierungsstandards zu gewährleisten.

Welche Transaktionsdaten verlassen die EU bzw. dürfen die EU verlassen?

Bei der Nutzung des Docusign eSignature-Dienstes können auf Veranlassung des Kunden sogenannte Transaktionsdaten (Metadaten) außerhalb des vom Kunden angegebenen Gebietes verarbeitet werden. Dabei handelt es sich um Daten über Aktivitäten, Ereignisse und Handlungen, die im normalen Verlauf der Nutzer bei Beginn, bei der Ausführung und beim Abschließen ihrer digitalen Transaktionen im Docusign eSignature-Dienst auftreten.

Transaktionsdaten können daher beispielsweise in begrenztem Umfang personenbezogene Daten enthalten:

• Absender-/Empfängernamen und E-Mail-Adressen,

• IP-Adressen,

• und andere Online-Kennungen und Standortdaten.

Die Übermittlung dieser begrenzten personenbezogenen Daten außerhalb des Gebietes erfolgt, wenn der Kunde dem Empfänger einen Dokumentenlink zur elektronischen Signatur sendet, und diese Datenübermittlung wird durchgeführt, um dem Kunden die Nutzung der Docusign-Dienste zu erleichtern.

Wie sieht die Policy zur Löschung von Daten und Dokumenten aus?

Die Docusign eSignature wurde entwickelt, um unseren Kunden die Möglichkeit zu geben, ihre eigenen Datenaufbewahrungsrichtlinien zu kontrollieren. Die Konteneinstellungen innerhalb von Docusign eSignature ermöglichen es dem Kunden, nach eigenem Ermessen auf eDokumente zuzugreifen und diese zu löschen.

Ist Docusign konform mit dem EU-US-Datenschutzrahmen?

Die Europäische Kommission hat kürzlich einen Angemessenheitsbeschluss für den EU-US-Datenschutzrahmen (“Datenschutzrahmen”) angenommen. Diese Entscheidung trat sofort in Kraft. Infolgedessen gelten die USA nun als ein Land mit “angemessenem” Datenschutzniveau für die Übermittlung personenbezogener Daten aus der EU, da die US-Regierung bestimmte Rechtsbehelfe vorgesehen und Maßnahmen zum Schutz personenbezogener Daten aus der EU ergriffen hat. Dies ist sicherlich eine positive Entwicklung für multinationale SaaS-Unternehmen mit Sitz in den USA wie Docusign, die personenbezogene Daten weltweit übermitteln, sowie für andere Unternehmen mit Sitz in den USA, die zuvor nach dem U.S. Privacy Shield für datenschutzkonforme Datenübermittlungen zertifiziert waren (im Juli 2020 vom Gerichtshof der Europäischen Union für ungültig erklärt).

Allerdings ist eine Zertifizierung nach dem Datenschutzrahmen erforderlich, um sich darauf berufen zu können, und ein Schutzmechanismus für die Übermittlung (hier “Angemessenheit”) ist nach wie vor erforderlich, wenn eine Datenschutzvereinbarung zur Übermittlung personenbezogener Daten in Länder außerhalb der EU verwendet wird. Die Datenübermittlungen von Docusign sind jedoch weiterhin rechtmäßig, und Docusign war von dem Fehlen eines EU-US-Datenschutzrahmens nie betroffen. Docusigns verbindliche interne Datenschutzvorschriften (BCR), der “Goldstandard” für Datenübermittlungen, und unsere Verwendung von Standardvertragsklauseln (SCC), die in Docusigns Datenschutzvereinbarung integriert sind, bleiben zusätzlich zu diesem neuen Selbstzertifizierungsrahmen autorisierte DSGVO-Übertragungsschutzmaßnahmen.

Der Mechanismus zur Selbstzertifizierung unter dem Datenschutzrahmen wurde vor kurzem in Betrieb genommen. Docusign evaluiert die Zertifizierung nach dem neuen Datenschutzrahmen und ob er für Docusign von Vorteil und eine Kundenanforderung sein wird. Bitte beachten Sie, dass unsere Datenschutzvereinbarung BCR und SCC verwendet und rechtmäßig, operativ und wirksam bleibt, um einen angemessenen Schutz der Privatsphäre und der Daten im Einklang mit EU- und anderen anwendbaren Rechtsvorschriften zu gewährleisten. Wenn Sie Fragen haben, wenden Sie sich bitte an privacy@docusign.com.

Verfügt  Docusign über ein TIA (Transfer Impact Assessment)?

Docusign führt immer dann ein Transfer Impact Assessment durch, wenn eine neue Verarbeitung von personenbezogenen Daten oder Änderungen an der bestehenden Verarbeitung von personenbezogenen Daten geplant sind. Docusign stellt Informationen bezüglich des Transfer Impact Assessments für Länder mit Docusign-Unternehmen im Docusign Privacy Pack zur Verfügung, das auf Anfrage erhältlich ist. Das Privacy Pack enthält (i) einen Überblick über die Gesetze des jeweiligen Landes, (ii) die Anwendung der Zugriffsgesetze auf Docusign auf der Grundlage einschlägiger Quellen, (iii) Docusigns Recht auf Anfechtung der Anfragen über Datenzugriffe gemäß den Zugriffsgesetzen, (iv) Bestimmungen in Zugriffsgesetzen, die dazu verwendet werden können, Docusign zu verbieten, den Kunden und/oder die betroffenen Personen über eine Anfrage zu informieren, (v) durchsetzbare Rechte oder Rechtsmittel von betroffenen Personen gegen Datenüberwachung oder Zugriffsanfragen von Behörden, und (vi) Aufsichtsbehörde(n) aus Drittländern, die mit der Sicherstellung und Durchsetzung der Einhaltung von Datenschutzgesetzen beauftragt sind.