DSGVO und Sicherheit bei Gruppenkarten: Was die IT prüfen sollte

Kurze Antwort: SignThisCard wird von einem britischen Unternehmen betrieben und veröffentlicht eine Datenschutzerklärung zu erhobenen Daten, Rechtsgrundlagen, Aufbewahrung und Drittanbietern (Google Fonts, reCAPTCHA, Stripe), die Daten außerhalb des Vereinigten Königreichs verarbeiten können. Es gibt keinen veröffentlichten AVV und kein SSO; die Anmeldung erfolgt per E-Mail und Passwort oder per E-Mail-Link samt Code. Für Fragebögen kontaktieren Sie uns.

Ihr HR-Team möchte ein Gruppenkarten-Tool einführen, und die Anfrage landet mit einer einzigen Frage bei der IT: „Ist das DSGVO-konform?“ Dieser Ratgeber beantwortet die Fragen, die Prüferinnen und Prüfer zu DSGVO und Sicherheit bei Gruppenkarten im Unternehmen tatsächlich stellen – ehrlich und verständlich – und endet mit einer Checkliste, die Sie für SignThisCard oder jeden anderen Anbieter nutzen können.

Zu Plätzen, Rollen und Abrechnung lesen Sie zuerst unseren Ratgeber zu Firmenkonten für Gruppenkarten.

Ist SignThisCard DSGVO-konform?

Wir verwenden kein Siegel wie „DSGVO-konform“ oder „zertifiziert“. Stattdessen beschreiben wir unsere Praxis in unserer Datenschutzerklärung, damit Sie sie selbst beurteilen können. Aus unserer Sicht sagt ein Siegel einer prüfenden Person weniger als die Fakten.

Was wir Ihnen sagen können:

• Wer es betreibt: SignThisCard wird von Williation Technologies Ltd betrieben, einer in England und Wales eingetragenen Private Limited Company (company number 17289183).
• Datenschutzerklärung: Unsere Datenschutzerklärung erklärt, welche personenbezogenen Daten erhoben werden, auf welche Rechtsgrundlagen wir uns stützen, wie lange Daten aufbewahrt werden und welche Drittanbieter sie verarbeiten können.
• Aufbewahrung: Karten werden aufbewahrt, solange sie verfügbar bleiben. Es gibt kein festes öffentliches Ablaufdatum; eine Löschung ist auf Anfrage möglich.
• Zahlungen: Kartendaten werden von Stripe verarbeitet und nicht von SignThisCard gespeichert.
• Transportverschlüsselung: Die Website nutzt HTTPS.
• Schutz vor Missbrauch: reCAPTCHA v3 und E-Mail-Bestätigung für Organisatoren.

Im Vereinigten Königreich gelten für den Umgang Ihrer Organisation mit Mitarbeiterdaten außerdem die UK GDPR und der Data Protection Act 2018. GOV.UK bietet eine leicht verständliche Zusammenfassung der britischen Datenschutzregeln.

Unterzeichnen Sie einen Auftragsverarbeitungsvertrag (AVV)?

Es gibt keinen veröffentlichten AVV (englisch DPA). Wenn Ihre Organisation einen Auftragsverarbeitungsvertrag braucht oder einen Sicherheitsfragebogen beantwortet haben möchte, kontaktieren Sie uns, und wir besprechen es.

Bevor Sie anfragen, hilft es, zu klären, wie Ihre Organisation das Verhältnis einordnet. Die britische Datenschutzbehörde ICO erklärt den Unterschied zwischen einem Verantwortlichen (controller, entscheidet, warum und wie personenbezogene Daten genutzt werden) und einem Auftragsverarbeiter (processor, handelt auf Weisung des Verantwortlichen) und listet auf, was ein Vertrag zwischen beiden nach Artikel 28 der UK GDPR enthalten muss. Ihr Datenschutzbeauftragter ist die richtige Person, um das für Ihren Anwendungsfall zu entscheiden.

Wo werden unsere Mitarbeiterdaten gespeichert?

Angaben zum Hosting-Anbieter gibt es auf Anfrage. Einige in der Datenschutzerklärung genannte Drittanbieter (Google Fonts, reCAPTCHA und Stripe) können Daten außerhalb des Vereinigten Königreichs verarbeiten. Wenn Sie die Hosting-Angaben für eine Bewertung von Datenübermittlungen brauchen, fragen Sie uns über die Kontaktseite.

Die Leitlinien der ICO zu internationalen Übermittlungen erklären, wann die Übermittlung personenbezogener Daten aus dem Vereinigten Königreich als eingeschränkte Übermittlung (restricted transfer) gilt und welche Schutzmaßnahmen greifen. Ihre Prüfer können unsere Antworten damit abgleichen.

Welche Daten enthält eine Gruppenkarte?

Eine Gruppenkarte enthält typischerweise:

• Die Kontodaten der organisierenden Person (Name und E-Mail-Adresse)
• Das Titelbild, die Titelnachricht und Musik oder Video, falls die organisierende Person sie hinzufügt
• Die Nachricht jeder unterschreibenden Person und den eingegebenen Namen, dazu ein Foto oder eine gezeichnete Unterschrift, falls sie das möchte
• Die E-Mail-Adresse der beschenkten Person, wenn die organisierende Person die Schaltfläche zum Versand per E-Mail nutzt

Unterstützt SignThisCard SSO mit Microsoft oder Google?

Nein. SignThisCard unterstützt kein Single Sign-on (SAML, Anmeldung mit Microsoft oder Google). Organisatoren melden sich mit E-Mail-Adresse und Passwort an oder mit einem Anmeldelink samt Code, der per E-Mail kommt. Unterschreibende melden sich gar nicht an.

Was das in der Praxis bedeutet:

• Wer ein Konto braucht: nur Organisatoren, also die Personen, die Karten erstellen. Bei einem Team-Konto sind das die Personen mit Platz.
• Beitritt: Der Team-Inhaber oder Admins laden Personen per E-Mail ein (Einladungslinks funktionieren einmal und 14 Tage lang), oder der Inhaber erlaubt allen mit bestätigter E-Mail-Adresse der eigenen Firmendomain den Beitritt, solange Plätze frei sind. Private E-Mail-Domains funktionieren dafür nicht. Es gibt kein SCIM und keine andere automatische Bereitstellung.
• Rollen: Inhaber, Team-Admin und Mitglied. Nur Inhaber und Admins sehen die Mitgliederliste; nur der Inhaber verwaltet die Abrechnung.
• Ausscheidende: Inhaber und Admins können Mitglieder aus dem Team entfernen. Karten gehören der Person, die sie erstellt hat, und bleiben in ihrem eigenen Konto; durch das Entfernen wechselt die Person zurück in ihren eigenen Tarif. Nehmen Sie das in Ihre Offboarding-Checkliste auf.

Das britische National Cyber Security Centre (NCSC) führt Single Sign-on in seinen kompakten Prüffragen für Cloud-Dienste auf. Ist SSO in Ihrer Richtlinie eine feste Voraussetzung, ist SignThisCard derzeit nicht das Richtige; unser Ratgeber zur besten Gruppenkarten-Plattform für Unternehmen vergleicht die Optionen fair.

Wer kann eine Karte sehen?

Jede Person mit dem Link zum Unterschreiben oder dem Link zur fertigen Karte kann sie öffnen. Der Link ist die Zugangskontrolle, ähnlich wie bei einem geteilten Dokument.

Gute Praxis für Ihren Leitfaden für Organisatoren:

1. Links zum Unterschreiben nur mit den vorgesehenen Unterschreibenden teilen, in privaten Kanälen oder Direktnachrichten.
2. Den Verwaltungslink der Karte privat halten; er ist nur für die organisierende Person bestimmt.
3. Den Link zur fertigen Karte nur an die beschenkte Person und an Personen schicken, die sie auswählt.
4. Ein PDF als Andenken herunterladen und den Support dann bitten, die Karte zu löschen, wenn sie nicht mehr online sein soll.

Unser allgemeiner Ratgeber dazu, ob Gruppenkarten-Websites sicher sind, betrachtet das Thema aus Sicht der Unterschreibenden.

Checkliste zur Sicherheitsprüfung für IT-Teams

Nutzen Sie diese Checkliste für jeden Gruppenkarten-Anbieter. Sie orientiert sich an den Themen des kompakten Ansatzes des NCSC zur Cloud-Sicherheit. Die rechte Spalte enthält die Antworten von SignThisCard, Stand November 2026.

Alles, was hier nicht beantwortet ist, etwa Verschlüsselung ruhender Daten oder Reaktion auf Sicherheitsvorfälle, fragen Sie uns bitte direkt. Wir beantworten das lieber richtig, als in einem Artikel zu raten.

Wann passt SignThisCard – und wann nicht?

Es passt zu Organisationen, die ein einfaches, günstiges Karten-Tool wollen, bei dem nur wenige Organisatoren ein Konto haben und Unterschreibende im System anonym bleiben. Weniger gut passt es, wenn Richtlinien SSO, einen unterzeichneten AVV vor jeder Nutzung, SCIM-Bereitstellung oder zentrale Audit-Logs verlangen.

Für sehr große Organisationen behandelt unser Ratgeber zu Gruppenkarten-Plattformen für große Unternehmen Platzzahlen, individuelle Vereinbarungen und die Kontaktaufnahme bei mehr als 500 Plätzen.

Das Wichtigste in Kürze

• SignThisCard wird von Williation Technologies Ltd betrieben, eingetragen in England und Wales (company number 17289183).
• Die Datenschutzerklärung beschreibt erhobene Daten, Rechtsgrundlagen, Aufbewahrung und Drittanbieter, die Daten außerhalb des Vereinigten Königreichs verarbeiten können.
• Es gibt keinen veröffentlichten AVV; Organisationen, die einen brauchen oder einen Sicherheitsfragebogen beantwortet haben möchten, sollten uns kontaktieren.
• Angaben zum Hosting-Anbieter gibt es auf Anfrage.
• SSO (SAML, Microsoft, Google) wird nicht unterstützt; die Anmeldung erfolgt per E-Mail und Passwort oder per E-Mail-Link samt Code.
• Unterschreibende brauchen kein Konto; jede Person mit dem Link zum Unterschreiben kann die Karte öffnen, teilen Sie Links also mit Bedacht.

Häufig gestellte Fragen

Ist SignThisCard DSGVO-zertifiziert?

Nein, und wir beanspruchen auch kein Zertifizierungssiegel. Wir beschreiben unsere Praxis in der Datenschutzerklärung, die erhobene Daten, Rechtsgrundlagen, Aufbewahrung und Drittanbieter abdeckt. Ihr Datenschutzbeauftragter kann sie prüfen und uns mit Rückfragen oder einem Sicherheitsfragebogen kontaktieren.

Unterzeichnen Sie unseren AVV?

Es gibt keinen veröffentlichten AVV. Wenn Ihre Organisation einen Auftragsverarbeitungsvertrag braucht, schildern Sie uns Ihre Anforderungen über die Kontaktseite, und wir besprechen, was möglich ist. Bestimmte Bedingungen können wir nicht im Voraus zusagen, sprechen Sie das Thema also früh in Ihrer Prüfung an.

Werden unsere Daten im Vereinigten Königreich gespeichert?

Angaben zum Hosting-Anbieter gibt es auf Anfrage. Die Datenschutzerklärung erklärt, dass Google Fonts, reCAPTCHA und Stripe Daten außerhalb des Vereinigten Königreichs verarbeiten können. Wenn Sie Hosting-Angaben für eine Risikobewertung von Datenübermittlungen brauchen, fragen Sie uns über die Kontaktseite, bevor Sie das Tool einführen.

Können sich Mitarbeitende mit Microsoft- oder Google-Konten anmelden?

Nein. SignThisCard unterstützt kein SSO über SAML, Microsoft oder Google. Organisatoren melden sich mit E-Mail-Adresse und Passwort oder mit einem per E-Mail geschickten Link samt Code an. Unterschreibende melden sich nie an. Wenn Ihre Sicherheitsrichtlinie SSO für jedes SaaS-Tool verlangt, ist SignThisCard derzeit nicht das Richtige.

Was passiert mit den Karten von Mitarbeitenden, wenn sie gehen?

Inhaber und Admins können sie aus dem Team entfernen; dadurch wechseln sie zurück in ihren eigenen Tarif. Ihre Karten bleiben in ihrem eigenen Konto, weil Karten der Person gehören, die sie erstellt hat. Soll eine Karte gelöscht werden, kann die Person, die sie erstellt hat, den Support darum bitten, oder Sie kontaktieren uns.

Müssen Unterschreibende uns personenbezogene Daten geben?

Unterschreibende brauchen kein Konto. Sie geben eine Nachricht und einen Namen ein und können optional ein Foto oder eine gezeichnete Unterschrift hinzufügen. Ermutigen Sie alle, Nachrichten allgemein zu halten und sensible Angaben wie Gesundheitsinformationen zu vermeiden – vor allem bei Genesungs- und Beileidskarten.

Fazit

Bei DSGVO und Sicherheit von Gruppenkarten im Unternehmen kommt es auf klare Antworten an: Wer betreibt den Dienst, welche Daten enthält er, wohin gehen sie und wie melden sich Personen an? SignThisCard veröffentlicht eine Datenschutzerklärung, nennt Hosting-Angaben auf Anfrage und sagt offen, was es nicht gibt: keinen veröffentlichten AVV und kein SSO.

Wenn Sie uns für Ihre Organisation prüfen, lesen Sie die Datenschutzerklärung, gehen Sie die Checkliste oben durch und schicken Sie unserem Team Ihre Sicherheitsfragen.