Datenschutzerklärung von Tvarka

Datenschutzerklärung von Tvarka

Diese Datenschutzerklärung erläutert, wie Tvarka personenbezogene Daten verarbeitet.

Zuletzt aktualisiert: 2026-10-15

1. Verantwortliche

1.1. Verantwortliche für die personenbezogenen Daten sind entsprechend ihren Aufgaben bei Tvarka.pro die Anwaltskanzlei Advokato M. Kiškio kontora INVENT (Rechtsdienstleister) und die Socialiniai algoritmai, UAB (Plattformbetreiber). Ihre Rollen und Kontaktdaten stehen im Abschnitt Kontakt.

1.2. Bei der Verarbeitung personenbezogener Daten halten wir die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 (DSGVO) und die geltenden Rechtsvorschriften der Republik Litauen ein.

2. Für wen diese Datenschutzerklärung gilt

2.1. Die Datenschutzerklärung gilt für Besucher und Nutzer der Plattform Tvarka sowie für Vertretungen von Kunden, Partnern und Dienstleistern, wenn sie mit uns in Kontakt treten oder Tvarka nutzen.

2.2. Die Dienste von Tvarka richten sich an Unternehmen. Tvarka ist nicht für Minderjährige bestimmt. Nutzen Sie die Plattform nicht, wenn Sie unter 18 Jahre alt sind.

2.3. Wenn Sie bei der Nutzung von Tvarka personenbezogene Daten Dritter einreichen, sind Sie dafür verantwortlich, diese über die Verarbeitung zu unterrichten und ihnen diese Datenschutzerklärung zugänglich zu machen.

3. Welche personenbezogenen Daten wir verarbeiten

Tvarka verarbeitet personenbezogene Daten in dem Umfang, der nötig ist, um die Plattform bereitzustellen und zu verwalten. Der Umfang der Daten kann sich je nach genutzten Funktionen unterscheiden.

3.1. Daten zur Authentifizierung (Anmeldung)

Alle Nutzer werden über die Lösungen zur Identitätsprüfung von Mitsoft TSP und/oder des staatlichen Unternehmens Registerzentrum (Registrų centras) authentifiziert, mit litauischen Mitteln der elektronischen Identifizierung (etwa Smart-ID, Mobile-ID, der eID-Karte).

Wir können die folgenden von den Anbietern der Identitätsprüfung bereitgestellten Daten erhalten und verarbeiten: Personenkennzahl (asmens kodas), Vorname, Nachname, Ländercode, Zertifikatsdaten für den Prüfpfad.

3.2. Daten zu Konto und Rolle

Tvarka speichert Angaben zu Konto und Rolle eines Nutzers in Bezug auf ein bestimmtes Unternehmen: zugewiesene Rollen und Rechte, das Datum der Zuweisung, die zuweisende Person und Prüfeinträge über Rollenänderungen.

3.3. Daten zum Unternehmen und zur Tätigkeit

Tvarka verarbeitet Daten über das auf der Plattform verwaltete Unternehmen und über die Handlungen des Nutzers auf der Plattform, etwa: Unternehmensnummer, Name, Rechtsform (etwa UAB, MB), Compliance-Einstellungen, Einträge im Verzeichnis der Beteiligten, Kalendereinträge, Aufgaben, Metadaten von Dokumenten.

In manchen Fällen kann Tvarka öffentlich zugängliche oder amtliche Quellen nutzen (etwa Register- oder Steuerdaten), um Unternehmensdaten zu prüfen oder vorauszufüllen, sofern die Plattform eine solche Funktion vorsieht.

3.4. Dokumente und Daten zum Unterschreiben mit qualifizierter elektronischer Signatur (QES)

Wenn Sie die Ablage, die Erzeugung von Dokumenten oder das Unterschreiben nutzen, verarbeitet Tvarka hochgeladene Dokumente, erzeugte Dateien und die beim Unterschreiben anfallenden technischen Daten (etwa Zeitpunkt der Unterschrift, Zertifikatsangaben, das Signaturprotokoll). Das Unterschreiben mit QES läuft über die Signaturinfrastruktur von Mitsoft TSP und/oder des staatlichen Unternehmens Registerzentrum.

3.5. Daten zu Zahlungen und Rechnungen

Zahlungen für Guthabenaufladungen, Rechnungen und andere kostenpflichtige Vorgänge wickelt der gewählte Zahlungsdienstleister ab. Tvarka kann Angaben zu Zahlungsstatus, Guthaben, Rechnung und Zahlungsdatum erhalten, die für die Freigabe des Zugangs und für die Buchhaltung nötig sind. Vollständige Daten von Zahlungskarten oder Bankkonten speichert Tvarka nicht.

3.6. Technische Daten und Cookies

Tvarka nutzt notwendige Cookies und ähnliche Techniken (etwa Sitzungs-Cookies, CSRF-Schutz), damit die Plattform sicher läuft. Werden Analyse- oder Marketing-Cookies eingesetzt, geschieht das allein mit Ihrer Einwilligung.

4. Zwecke der Verarbeitung, Rechtsgrundlagen und Aufbewahrung

Die wichtigsten Verarbeitungszwecke stehen unten. Einzelne Fristen können sich nach den rechtlichen Anforderungen und der tatsächlichen Art der Diensterbringung richten.

Zur Verbesserung des Dienstes zählen wir mit PostHog in dessen EU-Region abgeschlossene E-Mail-Registrierungen, die erste erfolgreiche Signatur eines registrierten Nutzers und die erste gutgeschriebene Guthabenaufladung. Unser Server übermittelt nur Ereignis, Zeitpunkt, Registrierungswebsite und eine mit einem Schlüssel geschützte pseudonyme Kontokennung. Namen, E-Mail-Adressen, Dokumente, Signaturdaten, Zahlungsbeträge und Zahlungsdetails werden nicht übermittelt. Diese Ereignisse bleiben von anonymen Besuchen der öffentlichen Website getrennt. Rechtsgrundlage: unser berechtigtes Interesse an der Verbesserung des Dienstes (Art. 6 Abs. 1 Buchst. f DSGVO).

5. Empfänger der Daten (Auftragsverarbeiter und/oder Verantwortliche)

Tvarka gibt personenbezogene Daten an Dritte allein in dem Umfang weiter, der nötig ist, um die Dienste zu erbringen, die Sicherheit zu wahren oder rechtliche Pflichten zu erfüllen.

Die wichtigsten Gruppen von Empfängern:

• Anbieter von IT- und Hostingdiensten (etwa Cloud-Infrastruktur);
• Mitsoft TSP und/oder das staatliche Unternehmen Registerzentrum als Anbieter der Authentifizierung und des Unterschreibens mit QES;
• Zahlungsdienstleister (etwa Stripe oder ein anderer auf der Plattform benannter Dienstleister);
• Berufsträger (etwa Rechtsanwälte, Wirtschaftsprüfer), soweit dies zur Wahrung berechtigter Interessen oder nach Rechtsvorschriften nötig ist;
• Behörden und Gerichte, soweit das Recht dies verlangt oder es der Streitbeilegung dient.

Mit Auftragsverarbeitern schließen wir Verträge, die die Einhaltung der Anforderungen der DSGVO sichern.

6. Cookies und andere Techniken

6.1. Notwendige Cookies. Tvarka setzt keine zusätzlichen Analyse- oder Marketing-Cookies ein. Für Betrieb und Sicherheit der Plattform können allein notwendige Cookies zum Einsatz kommen, die Infrastruktur- oder Identitätsdienstleister setzen (etwa Botschutz, Verkehrslenkung, Aufrechterhaltung der Sitzung während der Identitätsprüfung). Diese Cookies stützen sich auf unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).

6.2. Optionale Cookies. Tvarka setzt keine Analyse- oder Marketing-Cookies ein und fragt für solche Cookies keine Einwilligung ab.

6.3. Liste der eingesetzten Cookies

Hinweis: „sofern einschlägig“ heißt, dass das Cookie nur gesetzt wird, wenn die betreffende Infrastruktur oder der betreffende Identitätsdienst in der konkreten Umgebung genutzt wird, unter Berücksichtigung der Einstellungen des Nutzers.

7. Übermittlung in Drittländer

7.1. Tvarka kann Dienstleister einsetzen, die personenbezogene Daten außerhalb des Europäischen Wirtschaftsraums verarbeiten. In diesen Fällen sorgen wir für geeignete Garantien (etwa die Standardvertragsklauseln der Europäischen Kommission, Angemessenheitsbeschlüsse oder andere in der DSGVO vorgesehene Maßnahmen).

8. Sicherheit der personenbezogenen Daten

8.1. Wir setzen technische und organisatorische Maßnahmen ein, die personenbezogene Daten vor unbefugtem Zugang, Verlust oder Offenlegung schützen sollen.

8.2. In der Architektur von Tvarka wird die Personenkennzahl sicher verarbeitet: Für die Indexierung dient eine Kennung als HMAC-SHA256-Hashwert, und verschlüsselte Daten liegen getrennt (mit getrennt verwalteten Schlüsseln), um das Risiko zu senken.

8.3. Wir unternehmen angemessene Anstrengungen; dennoch ist keine Art der Übertragung oder Speicherung von Daten zu 100 % sicher.

9. Ihre Rechte

Ihnen stehen die Rechte aus der DSGVO zu: Auskunft über Ihre Daten, Berichtigung oder Löschung, Einschränkung der Verarbeitung, Widerspruch gegen die Verarbeitung, Datenübertragbarkeit (soweit einschlägig) und Beschwerde bei einer Aufsichtsbehörde.

Um Ihre Rechte auszuüben, wenden Sie sich an die in Abschnitt 12 genannte E-Mail-Adresse. Wir antworten spätestens binnen 1 Monat, soweit die DSGVO keine Verlängerung der Frist zulässt.

Aufsichtsbehörde in Litauen ist die staatliche Datenschutzinspektion (Valstybinė duomenų apsaugos inspekcija, VDAI), L. Sapiegos g. 17, 10312 Vilnius, E-Mail [email protected].

10. Änderungen der Datenschutzerklärung

10.1. Wir können diese Datenschutzerklärung aktualisieren. Aktualisierungen werden auf der Plattform veröffentlicht. Über wesentliche Änderungen können wir Sie zusätzlich unterrichten.

11. Verantwortung und Sicherheit des Kontos

11.1. Die Nutzer von Tvarka sind für die Sicherheit ihrer Geräte, ihrer Mittel der elektronischen Identifizierung und ihrer Handlungen auf der Plattform verantwortlich. Wir empfehlen aktuelle Software und angemessene Maßnahmen der Cybersicherheit.

12. Verantwortliche und Kontaktdaten

Das Projekt Tvarka.pro tragen die Anwaltskanzlei Advokato M. Kiškio kontora INVENT und die Socialiniai algoritmai, UAB. Ihre Rollen, Registernummern, Umsatzsteuer-Identifikationsnummern und Anschriften stehen auf der Seite Über uns.

Die allgemeinen Kontaktdaten von Tvarka.pro und der Weg für Anfragen stehen auf der Seite Kontakt.

13. Der kostenlose Tarif von Tvarka Sign für Privatpersonen

13.1. Dieser Abschnitt gilt, wenn eine natürliche Person den kostenlosen Tarif der Tvarka Sign App ohne Tvarka-Konto nutzt. Abweichend von Ziffer 2.2 wird der Dienst insoweit auch zu privaten (nicht geschäftlichen) Zwecken erbracht. Verantwortlicher für die in diesem Abschnitt beschriebene Verarbeitung ist der Plattformbetreiber, die Socialiniai algoritmai, UAB.

13.2. Verarbeitet werden folgende Daten:

• Daten der Geräteregistrierung: eine zufällig erzeugte Gerätekennung und ein Zugangstoken, technische Protokolle und die IP-Adresse (für Sicherheit, Ratenbegrenzung und Missbrauchsabwehr);
• Signaturdaten: die beim Unterschreiben von der eID-Karte gelesenen Daten des qualifizierten Zertifikats (Vorname, Nachname, Personenkennzahl, Zertifikatsangaben) und das Signaturprotokoll, wie in Abschnitt 3.4 beschrieben;
• der Datensatz zur Abrechnung des monatlichen Kontingents: ein Hashwert (HMAC) der Personenkennzahl aus dem Zertifikat, der Kalendermonat und die Zahl der Unterschriften – die Personenkennzahl wird für die Abrechnung des Kontingents nicht im Klartext gespeichert;
• ein Token für Benachrichtigungen (Push), wenn Benachrichtigungen auf dem Gerät eingeschaltet sind.

13.3. Das zu unterschreibende PDF-Dokument wird allein zur Durchführung des Signaturvorgangs auf die Plattform geladen und zu keinen anderen Zwecken genutzt. Das Dokument und seine unterschriebene Fassung werden gelöscht, sobald die App den Download des unterschriebenen Dokuments bestätigt, in jedem Fall aber spätestens 48 Stunden nach dem Hochladen.

13.4. Rechtsgrundlagen: Erbringung des Dienstes – Vertrag (Art. 6 Abs. 1 lit. b DSGVO); Abrechnung des Kontingents, Ratenbegrenzung und Missbrauchsabwehr – berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO); Marketingbenachrichtigungen in der App – allein eine gesonderte Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die standardmäßig aus ist und sich jederzeit in den Einstellungen der App widerrufen lässt.

13.5. Empfänger: Anbieter qualifizierter Zeitstempeldienste in der Europäischen Union (etwa ACCV, Spanien) – in der Zeitstempelanfrage wird allein ein kryptografischer Hashwert übermittelt, nicht der Inhalt des Dokuments; Anfragen zur Gültigkeit des Zertifikats (OCSP) gehen an den qualifizierten Vertrauensdiensteanbieter, der das Zertifikat ausgegeben hat; für die Zustellung von Benachrichtigungen kommen auf Android Google Firebase Cloud Messaging und auf iOS Apple Push Notification service (APNs) zum Einsatz (sofern eingeschaltet); dazu die in Abschnitt 5 genannten Anbieter von IT- und Hostingdiensten.

13.6. Um Ihre Rechte auszuüben, nutzen Sie die Kontaktdaten in Abschnitt 12 oder den Löschantrag unten. Wir können weitere Angaben benötigen, um die betreffenden Einträge zu finden. Das Deinstallieren der App löscht keine Servereinträge automatisch, widerruft keinen Gerätezugriff und stellt keinen Löschantrag.

13.7. Antrag auf Löschung der Daten von Tvarka Sign

Das Zurücksetzen der App entfernt ihre lokale Einrichtung und ihren Verlauf. Es fordert außerdem den Widerruf gespeicherter Geräte- oder Kontozugriffe an. Damit stellen Sie keinen Antrag auf Löschung des Kontos, der Dokumente oder anderer Servereinträge.

Für einen Antrag auf Löschung der Daten auf dem Server schreiben Sie an [email protected], setzen Sie „Löschung der Daten von Tvarka Sign“ in den Betreff und geben Sie an, dass Sie den kostenlosen Tarif für Privatpersonen genutzt haben. Ist die Gerätekennung in der App noch sichtbar, legen Sie sie dem Antrag bei. Wir können zusätzliche Angaben erbitten, um Ihre Identität den betroffenen Einträgen zuzuordnen.

Nach Eingang eines begründeten Antrags entfernen oder anonymisieren wir die Daten der Geräteregistrierung, die nicht mehr nötig sind. Dokumente und ihre unterschriebenen Fassungen werden innerhalb der Frist aus Ziffer 13.3 gelöscht. Technische Sicherheitsprotokolle bleiben in der Regel bis zu 12 Monate, Supportanfragen bis zu 2 Jahre, und Daten, die wir wegen rechtlicher Pflichten, der Sicherheit, der Betrugsabwehr oder eines Streits aufbewahren müssen, bleiben allein für den in Abschnitt 4 genannten Zeitraum.

14. Mobile Konten bei Tvarka Sign und Android-Dienste

14.1. Sie können auch ein E-Mail-Konto für persönliche Dokumente oder Unternehmensarbeitsbereiche nutzen, auf die Sie Zugriff haben. Für die persönliche Nutzung brauchen Sie kein Unternehmenskonto. Wir verarbeiten die E-Mail-Adresse des Kontos, den Namen, Authentifizierungs- und Gerätezugriffseinträge, die Sprache und die Arbeitsbereichsberechtigungen. Damit stellen wir den Dienst bereit und schützen den Zugriff. Es gelten die Zwecke, Rechtsgrundlagen und Aufbewahrungsregeln aus Abschnitt 4. Der Plattformbetreiber ist Verantwortlicher für die Verwaltung persönlicher Konten. Für Unternehmensdokumente gelten weiterhin die Weisungen des Unternehmens und die einschlägigen Aufbewahrungspflichten.

14.2. Wir verarbeiten von Ihnen eingereichte Dateien und Fotos, aufbereitete PDFs, unterschriebene Dateien und Nachweise zum Unterschreiben. Je nach Vorgang umfassen die Nachweise die unterzeichnende Person, Authentifizierung und Einwilligung, die eingegebene oder gezeichnete Unterschrift, Dokumentversion und Fingerabdruck, Methode, Zeitpunkt und IP-Adresse. Für Einladungen nutzen wir auch Namen und E-Mail-Adressen der Empfänger sowie Telefonnummern, wenn SMS gewählt wird. Unternehmensnutzer und Empfänger von Einladungen zum Unterschreiben erhalten die Dateien und Nachweise, auf die sie Zugriff haben. Persönliche und Unternehmensdokumente in der Cloud werden für den weiteren Zugriff und die Wiederherstellung aufbewahrt. Die Regel für temporäre Dateien ohne Konto in Ziffer 13.3 gilt für diese Dokumente nicht.

14.3. Wo die Geräteerkennung verfügbar ist, speichert der Server nach einer abgeschlossenen qualifizierten Signatur geschützte Angaben zum Unterschreiben und eine gerätegebundene Referenz für spätere Signaturen. Gerätereferenzen verfallen nach einem Jahr ohne Nutzung. Das separate Mobile-ID-Telefonverzeichnis verfällt nach zwei Jahren ohne Nutzung. Wenn Sie gespeicherte Angaben in der App entfernen, verhindert dies die weitere Nutzung der Gerätereferenz. Bereits unterschriebene Dokumente und ihre Nachweise werden dadurch nicht gelöscht.

14.4. Zum Scannen von QR-Codes auf Android wird Google code scanner verwendet. Kamerabilder und Erkennung bleiben auf dem Gerät. Google erhält Geräte- und App-Informationen, Kennungen sowie Leistungsdaten und Funktions- und Fehlerereignisse für Diagnose und Nutzungsanalyse. Automatischer Zoom erzeugt außerdem Daten zu Scan-Sitzungen und Zoom. Siehe Googles Angaben zur Datenverarbeitung durch den Scanner und Googles Datenschutzerklärung.

14.5. Android-Benachrichtigungen nutzen Firebase Cloud Messaging. Dieser Dienst verarbeitet Installationskennungen und Zustellungstoken. Das Ausschalten der Benachrichtigungsanzeige verhindert für sich allein nicht, dass der Google-Dienst eine Installationskennung erstellt. Dienstbenachrichtigungen und optionale Marketingbenachrichtigungen haben getrennte Einstellungen. Marketing ist standardmäßig ausgeschaltet. Siehe Angaben zur Datenverarbeitung durch Firebase. Die Cookie-Einstellungen des Browsers steuern diese nativen Android-Dienste nicht.

14.6. Sie können die Löschung Ihres Kontos und Ihrer Daten im Browser beantragen, ohne die App. Melden Sie sich an, bestätigen Sie Ihre Identität erneut und senden Sie den Antrag ab. Vor der Löschung prüfen wir ihn, einschließlich Unternehmensunterlagen, Nachweisen zum Unterschreiben und Aufbewahrungspflichten. Sie erhalten eine Eingangsbestätigung. Das Absenden deaktiviert das Konto nicht sofort und löscht keine Daten sofort. Wenn Sie sich nicht anmelden können oder die App ohne Konto genutzt haben, verwenden Sie den Supportlink auf dieser Seite. Senden Sie keine PINs, Passwörter oder Dokumentkopien.