Auftragsverarbeitungsvertrag (AVV)
Stand: Juli 2026 · gem. Art. 28 DSGVO
§ 1 Vertragsparteien
Auftraggeber (Verantwortlicher)
Der Kunde, der den Dienst „CenSig – Central Email Signatures for M365“ nutzt und den Admin-Consent in seiner Microsoft-365-Organisation erteilt hat (nachfolgend „Auftraggeber“).
Auftragnehmer (Auftragsverarbeiter)
Guido Kalter
Anzengruberstr. 1, 82178 Puchheim
E-Mail: info@censig.org
Web: censig.org
§ 2 Gegenstand und Dauer der Verarbeitung
Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers zum Zweck der Bereitstellung zentral verwalteter E-Mail-Signaturen für Microsoft 365. Die Verarbeitung beginnt mit der Einrichtung des Dienstes (Admin-Consent) und endet mit der Kündigung des Nutzungsvertrags.
§ 3 Art und Zweck der Verarbeitung
Die Verarbeitung umfasst:
- Abruf von Verzeichnisdaten aus Microsoft Entra ID per delegierter Berechtigung (
User.Read) im On-Behalf-Of-Flow - Kurzzeitiges Caching dieser Daten (max. 15 Minuten) zur Signatur-Erstellung
- Rendern personalisierter HTML-Signaturen auf Basis von Templates des Auftraggebers
- Auslieferung der Signatur an das Outlook-Add-in des jeweiligen Nutzers
- Optionales Click-Tracking: Zählung von Klicks auf Links in Signaturen per serverseitigem Redirect (HTTP 302). Dabei werden Ziel-URL, Zeitpunkt und User-Agent erfasst — keine personenbezogene Zuordnung, keine Cookies, keine Profilbildung. Vom Administrator deaktivierbar.
E-Mail-Inhalte, Postfächer, Kalender oder sonstige Kommunikationsdaten werden nicht verarbeitet.
§ 4 Art der personenbezogenen Daten
| Datenkategorie | Herkunft | Speicherdauer |
|---|---|---|
| Anzeigename, Vorname, Nachname | Entra ID (Graph API) | max. 15 Min. Cache |
| E-Mail-Adresse | Entra ID (Graph API) | max. 15 Min. Cache |
| Berufsbezeichnung (Job Title) | Entra ID (Graph API) | max. 15 Min. Cache |
| Abteilung | Entra ID (Graph API) | max. 15 Min. Cache |
| Telefonnummern (geschäftlich, mobil) | Entra ID (Graph API) | max. 15 Min. Cache |
| Standort / Büro / Land | Entra ID (Graph API) | max. 15 Min. Cache |
| Profilfoto | Entra ID (Graph API) | max. 15 Min. Cache |
| Objekt-ID (OID, pseudonym) | Entra ID (JWT Token) | max. 15 Min. als Cache-Key |
| Link-Klicks (URL, Zeitpunkt, User-Agent) | Signatur-Links (serverseitiger Redirect) | Speicherdauer gem. Vertrag, keine personenbezogene Zuordnung |
§ 5 Kategorien betroffener Personen
Mitarbeiterinnen und Mitarbeiter des Auftraggebers, die über ein Microsoft-365-Postfach verfügen und das CenSig-Add-in nutzen.
§ 6 Pflichten des Auftragnehmers
Der Auftragnehmer verpflichtet sich:
- Personenbezogene Daten ausschließlich im Rahmen der Weisungen des Auftraggebers zu verarbeiten, es sei denn, es besteht eine gesetzliche Pflicht zur Verarbeitung.
- Alle mit der Verarbeitung betrauten Personen zur Vertraulichkeit zu verpflichten.
- Geeignete technische und organisatorische Maßnahmen gem. Art. 32 DSGVO zu treffen (siehe § 8).
- Unterauftragsverarbeiter nur mit vorheriger Zustimmung des Auftraggebers einzusetzen (siehe § 9).
- Den Auftraggeber bei der Erfüllung von Betroffenenrechten zu unterstützen.
- Nach Beendigung der Verarbeitung alle personenbezogenen Daten zu löschen, sofern keine gesetzliche Aufbewahrungspflicht besteht. Der Cache läuft automatisch nach max. 15 Minuten ab.
- Dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten nach Art. 28 DSGVO zur Verfügung zu stellen und Überprüfungen zu ermöglichen.
§ 7 Pflichten des Auftraggebers
Der Auftraggeber ist für die Rechtmäßigkeit der Datenverarbeitung verantwortlich. Er stellt sicher, dass:
- Die für den Betrieb erforderlichen Microsoft-365-Berechtigungen erteilt und aufrechterhalten werden.
- Die Verzeichnisdaten in Entra ID korrekt und aktuell sind.
- Betroffene Mitarbeiter über die Verarbeitung im Rahmen der Signatur-Lösung informiert werden.
§ 8 Technische und organisatorische Maßnahmen (TOM)
Zutrittskontrolle
Der Dienst wird auf Microsoft Azure (europäische Rechenzentren) betrieben. Physische Zutrittskontrolle liegt in der Verantwortung von Microsoft gem. deren Auftragsverarbeitungsvertrag.
Zugangskontrolle
Zugang zum Signature-Service erfordert ein gültiges Microsoft-Entra-Token. Die Administration ist durch rollenbasierte Zugriffskontrolle geschützt (Entra-Rollen + SUPER_ADMINS). Kein anonymer Zugang.
Zugriffskontrolle
Ausschließlich delegierte Berechtigungen (User.Read) im Kontext des jeweiligen Nutzers. Kein Application-Level-Zugriff auf Verzeichnisse oder Postfächer. Jeder Nutzer kann nur sein eigenes Profil abrufen.
Trennungskontrolle
Daten verschiedener Mandanten werden durch die Tenant-ID getrennt. Cache-Keys enthalten die Objekt-ID des Nutzers. Templates, Regeln und Assets werden mandantenspezifisch gespeichert.
Transportverschlüsselung
Alle Verbindungen sind TLS-verschlüsselt (HTTPS). Kommunikation zwischen Add-in, Signature-Service und Microsoft Graph erfolgt ausschließlich über verschlüsselte Kanäle.
Verfügbarkeitskontrolle
Azure Container Apps mit automatischem Neustart. Das Add-in ist offline-fähig (Cache-First): bei Nicht-Erreichbarkeit wird die zuletzt gecachte Signatur verwendet. E-Mail-Versand wird nie blockiert.
§ 9 Unterauftragsverarbeiter
Folgende Unterauftragsverarbeiter werden zum Zeitpunkt des Vertragsschlusses eingesetzt:
| Unternehmen | Leistung | Standort |
|---|---|---|
| Microsoft Ireland Operations Ltd. | Cloud-Hosting (Azure Container Apps, PostgreSQL Flexible Server, Blob Storage) | EU (West Europe) |
| Cloudflare Inc. | DNS, DDoS-Schutz, Reverse Proxy | EU-Routing konfiguriert |
Der Auftragnehmer informiert den Auftraggeber vor dem Einsatz neuer oder dem Wechsel bestehender Unterauftragsverarbeiter. Der Auftraggeber kann innerhalb von 14 Tagen Einspruch erheben. Bei berechtigtem Einspruch hat der Auftraggeber ein Sonderkündigungsrecht.
§ 10 Meldung von Datenschutzverletzungen
Der Auftragnehmer informiert den Auftraggeber unverzüglich, spätestens innerhalb von 24 Stunden, über jede Verletzung des Schutzes personenbezogener Daten gem. Art. 33 DSGVO. Die Meldung enthält Art der Verletzung, betroffene Datenkategorien, geschätzte Anzahl betroffener Personen und ergriffene Maßnahmen.
§ 11 Weisungsrecht
Der Auftraggeber kann Weisungen zur Verarbeitung personenbezogener Daten erteilen. Weisungen sind in Textform (E-Mail an info@censig.org) zu erteilen. Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er eine Weisung für rechtswidrig hält.
§ 12 Löschung und Rückgabe
Nach Beendigung des Vertrags werden alle personenbezogenen Daten gelöscht. Der Graph-Cache läuft automatisch ab (max. 15 Min.). Templates und Assets werden auf Wunsch in einem gängigen Format herausgegeben und anschließend gelöscht. Die Löschung wird dem Auftraggeber auf Anfrage bestätigt.
§ 13 Schlussbestimmungen
Dieser AVV ist Bestandteil des Nutzungsvertrags für CenSig. Bei Widersprüchen zwischen diesem AVV und dem Nutzungsvertrag gehen die Regelungen dieses AVV vor, soweit sie den Schutz personenbezogener Daten betreffen.
Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist der Sitz des Auftragnehmers, soweit gesetzlich zulässig.