Deutsche Originalfassung. Bei Abweichungen oder Auslegungsunterschieden zwischen den Sprachfassungen ist die deutsche Fassung maßgeblich, soweit gesetzlich zulässig.
Dieser Auftragsverarbeitungsvertrag („AVV“) ist Bestandteil des Vertrags über die Nutzung von Maildroppa („Hauptvertrag“). Er regelt die Verarbeitung personenbezogener Daten durch Maildroppa im Auftrag des Kunden nach Art. 28 der Datenschutz-Grundverordnung („DSGVO“).
PARTEIEN
Kunde:
Die natürliche oder juristische Person, die im Hauptvertrag, in der Bestellung oder im Maildroppa-Konto als Vertragspartner bezeichnet ist, einschließlich einer dort wirksam einbezogenen verbundenen Gesellschaft, soweit diese für die betreffenden Kundendaten verantwortlich ist.
Auftragsverarbeiter („Maildroppa“):
Marcus Biel, handelnd unter „Maildroppa“ Dr.-Peter-Hecker-Str. 4b 82031 Grünwald Deutschland
Kontakt: Kontaktformular
Kunde und Maildroppa werden gemeinsam als „Parteien“ bezeichnet.
1 Gegenstand, Laufzeit und Rangfolge
1.1 Dieser AVV regelt die Verarbeitung personenbezogener Daten, die Maildroppa für den Kunden im Zusammenhang mit dem Dienst verarbeitet („Kunden-Personendaten“). Gegenstand, Art, Zweck, Datenarten und Kategorien betroffener Personen sind in Anlage 1 beschrieben.
1.2 Der AVV tritt durch Annahme der ihn einbeziehenden Nutzungsbedingungen, eine ihn einbeziehende Bestellung oder eine gesonderte elektronische Vereinbarung in Kraft. Er gilt für die Dauer des Hauptvertrags und darüber hinaus, solange Maildroppa Kunden-Personendaten verarbeitet.
1.3 Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag hat dieser AVV hinsichtlich der Auftragsverarbeitung Vorrang. Zwingendes Datenschutzrecht und gegebenenfalls vorrangige Bestimmungen verbindlich vereinbarter Standardvertragsklauseln bleiben unberührt.
1.4 Soweit Maildroppa personenbezogene Daten für eigene Zwecke als Verantwortlicher verarbeitet, insbesondere zur Vertragsverwaltung, Abrechnung oder Erfüllung eigener gesetzlicher Pflichten, richtet sich diese Verarbeitung nach der Datenschutzerklärung von Maildroppa und nicht nach diesem AVV. Die Abgrenzung richtet sich nach den tatsächlichen Zwecken und Umständen der jeweiligen Verarbeitung. Die Weisungsbindung hinsichtlich der Kunden-Personendaten wird dadurch nicht eingeschränkt.
2 Begriffe und anwendbares Datenschutzrecht
2.1 Die Begriffe „personenbezogene Daten“, „Verarbeitung“, „Verantwortlicher“, „Auftragsverarbeiter“, „betroffene Person“, „Verletzung des Schutzes personenbezogener Daten“ und „Aufsichtsbehörde“ haben die Bedeutung der DSGVO.
2.2 „Anwendbares Datenschutzrecht“ bezeichnet die DSGVO, das Bundesdatenschutzgesetz und sonstige auf die jeweilige Verarbeitung anwendbare Datenschutzvorschriften.
2.3 Ist der Kunde selbst Auftragsverarbeiter eines Dritten, handelt Maildroppa als weiterer Auftragsverarbeiter. Der Kunde stellt sicher, dass er zur Beauftragung von Maildroppa und zur Erteilung der jeweiligen Weisungen befugt ist. Er übermittelt Maildroppa die Informationen und Anforderungen des Verantwortlichen, die zur vertragsgemäßen Verarbeitung erforderlich sind.
3 Verantwortung und Weisungen des Kunden
3.1 Der Kunde ist für die Rechtmäßigkeit seiner Nutzung des Dienstes, die eingestellten Daten und Inhalte sowie seine Weisungen verantwortlich. Dies umfasst insbesondere die erforderlichen Rechtsgrundlagen, Datenschutzinformationen und Einwilligungen, die Auswahl zulässiger Empfänger sowie die Festlegung angemessener Aufbewahrungsfristen.
3.2 Weisungen dürfen nur durch den Kunden oder durch von ihm hierzu autorisierte Personen erteilt werden. Dokumentierte Weisungen ergeben sich aus dem Hauptvertrag, diesem AVV, der vom Kunden gewählten Konfiguration und Nutzung des Dienstes sowie ergänzenden Weisungen in Textform. Ergänzende Weisungen können insbesondere über das Kontaktformular übermittelt werden und werden dokumentiert.
3.3 Weisungen, die den vereinbarten Leistungsumfang wesentlich erweitern oder Art und Zweck der Verarbeitung ändern, können eine gesonderte Vereinbarung und angemessene Vergütung erfordern. Die gesetzlichen Pflichten von Maildroppa, insbesondere zur Unterstützung, Rückgabe, Löschung und Mitwirkung an Kontrollen, bleiben hiervon unberührt.
3.4 Der Kunde darf besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO, Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10 DSGVO, vollständige Zahlungsinstrumentdaten, amtliche Geheimnisse, Berufsgeheimnisse nach § 203 StGB oder sonstige gesetzlich besonders geschützte Daten nur in Maildroppa verarbeiten, wenn dies vorher ausdrücklich in Textform für den konkreten Zweck einschließlich der erforderlichen zusätzlichen Schutzmaßnahmen vereinbart wurde.
3.5 Der Kunde nutzt die verfügbaren Berechtigungs-, Export-, Lösch-, Einwilligungs-, Tracking-und Integrationsfunktionen risikogerecht. Er schützt seine Konten, Domains, API-Schlüssel und Zugangsdaten und hält die für Vertrags- und Datenschutzmitteilungen hinterlegten Kontaktdaten aktuell.
4 Verarbeitung ausschließlich auf dokumentierte Weisung
4.1 Maildroppa verarbeitet Kunden-Personendaten ausschließlich auf dokumentierte Weisung des Kunden, einschließlich hinsichtlich der Übermittlung an ein Drittland oder eine internationale Organisation. Eine Ausnahme besteht, soweit Maildroppa durch das Recht der Europäischen Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet ist. In diesem Fall informiert Maildroppa den Kunden vor der Verarbeitung über die gesetzliche Anforderung, sofern dies nicht aus wichtigen Gründen des öffentlichen Interesses gesetzlich untersagt ist.
4.2 Maildroppa verwendet Kunden-Personendaten nur zur Bereitstellung, Absicherung, Unterstützung und Beendigung des vereinbarten Dienstes sowie zur Ausführung rechtmäßiger Weisungen. Kunden-Personendaten werden weder verkauft noch für eigene oder fremde Werbung außerhalb der Kundenweisung oder den Aufbau fremder Empfängerlisten verwendet.
4.3 Hält Maildroppa eine Weisung für einen Verstoß gegen die DSGVO oder andere Datenschutzbestimmungen der Europäischen Union oder ihrer Mitgliedstaaten, informiert Maildroppa den Kunden unverzüglich. Maildroppa darf die betroffene Verarbeitung bis zur Klärung aussetzen. Die Parteien wirken an einer rechtmäßigen Lösung mit. Eine rechtswidrige Verarbeitung wird nicht allein durch die Bestätigung der Weisung zulässig.
4.4 Auf Kunden-Personendaten dürfen nur Personen zugreifen, die den Zugriff für ihre Aufgaben benötigen. Diese Personen sind zur Vertraulichkeit verpflichtet oder unterliegen einer angemessenen gesetzlichen Verschwiegenheitspflicht. Sie erhalten die für ihre Aufgaben erforderlichen Datenschutz- und Sicherheitsanweisungen.
5 Technische und organisatorische Maßnahmen
5.1 Maildroppa trifft die nach Art. 28 Abs. 3 lit. c und Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Dabei werden der Stand der Technik, die Implementierungskosten, Art, Umfang, Umstände und Zwecke der Verarbeitung sowie Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten betroffener Personen berücksichtigt. Die vereinbarten Maßnahmen sind in Anlage 2 beschrieben.
5.2 Der Kunde genehmigt im Voraus die Weiterentwicklung einzelner Maßnahmen oder deren Ersetzung durch gleichwertige oder wirksamere Maßnahmen innerhalb des vereinbarten Verarbeitungsumfangs und der vereinbarten Sicherheitsanforderungen. Das vereinbarte Gesamtschutzniveau und die gesetzlichen Anforderungen müssen gewahrt bleiben. Änderungen des vereinbarten Verarbeitungsumfangs oder der vereinbarten Sicherheitsanforderungen bedürfen einer vorherigen Vereinbarung nach Ziffer 15.1. Wesentliche Änderungen der vereinbarten Sicherheitsmaßnahmen werden dem Kunden mitgeteilt. Sind Änderungen innerhalb dieses genehmigten Rahmens zur Abwehr einer akuten Gefahr sofort erforderlich, erfolgt die Information ohne unangemessene Verzögerung nach ihrer Umsetzung.
5.3 Der Kunde trägt Verantwortung für die Sicherheit seiner eigenen Systeme, Zugangsdaten, Inhalte und selbst beauftragten Integrationen. Risiken, die aus seiner Umgebung oder Konfiguration entstehen, entbinden Maildroppa nicht von eigenen gesetzlichen oder vertraglichen Pflichten.
6 Unterstützung bei Betroffenenrechten
6.1 Maildroppa unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung nach Möglichkeit durch geeignete technische und organisatorische Maßnahmen dabei, Anträge auf Ausübung der Rechte betroffener Personen nach Kapitel III DSGVO zu erfüllen.
6.2 Soweit der Kunde entsprechende Anfragen über die bereitgestellten Produktfunktionen selbst bearbeiten kann, nutzt er diese Funktionen. Für darüber hinaus erforderliche Unterstützung stellt Maildroppa verfügbare Informationen bereit und führt notwendige Berichtigungen, Exporte, Einschränkungen oder Löschungen nach dokumentierter Weisung durch.
6.3 Erhält Maildroppa eine Anfrage einer betroffenen Person, die erkennbar Kunden-Personendaten betrifft, informiert Maildroppa den Kunden unverzüglich. Eine inhaltliche Beantwortung erfolgt nur auf Weisung des Kunden oder aufgrund einer gesetzlichen Verpflichtung. Maildroppa darf den Eingang der Anfrage und ihre Weiterleitung bestätigen.
6.4 Der Kunde übermittelt nur die Angaben, die zur Zuordnung und Bearbeitung der Anfrage erforderlich sind. Für besondere Unterstützungsleistungen außerhalb des vereinbarten Leistungsumfangs kann eine angemessene zusätzliche Vergütung vorab vereinbart werden, soweit dies rechtlich zulässig ist. Gesetzlich erforderliche Unterstützung wird weder wegen einer ausstehenden Vergütungsvereinbarung verweigert noch unangemessen verzögert.
7 Unterstützung bei Compliance, Folgenabschätzung und Behörden
7.1 Maildroppa unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei der Einhaltung seiner Pflichten nach Art. 32 bis 36 DSGVO. Dies betrifft insbesondere die Sicherheit der Verarbeitung, Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und vorherige Konsultationen der Aufsichtsbehörde.
7.2 Hierfür stellt Maildroppa die erforderlichen verfügbaren Informationen über den Dienst, die betroffenen Datenflüsse, Schutzmaßnahmen, Unterauftragsverarbeiter und bekannten Risiken bereit. Bereits bereitgestellte und weiterhin aktuelle Unterlagen können hierfür genutzt werden.
7.3 Erhält Maildroppa eine verbindliche Behörden- oder Gerichtsanfrage zu Kunden-Personendaten, informiert Maildroppa den Kunden vor einer Offenlegung, sofern dies rechtlich zulässig ist. Maildroppa prüft die rechtliche Verpflichtung und den Umfang der Anfrage, beschränkt die Offenlegung auf das rechtlich Erforderliche und dokumentiert den Vorgang. Ziffer 10 bleibt unberührt.
8 Verletzungen des Schutzes personenbezogener Daten
8.1 Maildroppa informiert den Kunden unverzüglich, nachdem Maildroppa Kenntnis von einer Verletzung des Schutzes von Kunden-Personendaten erlangt hat. Die Information erfolgt an die im Kundenkonto hinterlegte Kontaktadresse oder über einen anderen geeigneten direkten Kommunikationsweg.
8.2 Soweit verfügbar, enthält die Information die Art der Verletzung, die Kategorien und ungefähre Anzahl betroffener Personen und Datensätze, die voraussichtlichen Folgen, ergriffene oder vorgeschlagene Eindämmungs- und Abhilfemaßnahmen, den bekannten Zeitpunkt oder Zeitraum sowie eine Kontaktmöglichkeit für Rückfragen.
8.3 Noch nicht verfügbare Informationen werden ohne unangemessene weitere Verzögerung ergänzt. Die Erstinformation wird nicht bis zum Abschluss der Untersuchung zurückgehalten.
8.4 Maildroppa ergreift angemessene Maßnahmen zur Eindämmung, Beweissicherung, Ursachenanalyse und Abhilfe. Maildroppa dokumentiert den Vorfall und stellt dem Kunden die verfügbaren Informationen bereit, die dieser zur Erfüllung seiner Pflichten nach Art. 33 und 34 DSGVO benötigt.
8.5 Soweit der Kunde Verantwortlicher ist, obliegen ihm die Bewertung und die erforderlichen Meldungen an die Aufsichtsbehörde sowie Benachrichtigungen betroffener Personen innerhalb der gesetzlichen Fristen. Ist der Kunde selbst Auftragsverarbeiter, erfüllt er seine Informationspflichten gegenüber seinem Verantwortlichen. Eine Mitteilung von Maildroppa stellt für sich genommen kein Anerkenntnis einer Pflichtverletzung oder Haftung dar.
8.6 Der Kunde informiert Maildroppa unverzüglich über Sicherheitsvorfälle in seiner Umgebung, soweit diese Kunden-Personendaten bei Maildroppa oder die Sicherheit des Dienstes betreffen können, und wirkt an erforderlichen Schutzmaßnahmen mit.
9 Unterauftragsverarbeiter
9.1 Der Kunde erteilt Maildroppa die allgemeine schriftliche Genehmigung, Unterauftragsverarbeiter nach Maßgabe dieses Abschnitts einzusetzen. Die bei Abschluss dieses AVV genehmigten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt.
9.2 Maildroppa setzt nur Unterauftragsverarbeiter ein, die hinreichende Garantien für eine datenschutzkonforme Verarbeitung bieten. Maildroppa verpflichtet sie durch einen verbindlichen Vertrag zu den für die übertragene Verarbeitung geltenden Datenschutzpflichten entsprechend Art. 28 Abs. 4 DSGVO. Dies umfasst auch die Pflichten, die nach Art. 28 Abs. 3 lit. h DSGVO erforderlichen Informationen bereitzustellen und Überprüfungen einschließlich Inspektionen durch den Kunden oder einen von ihm beauftragten Prüfer zu ermöglichen und zu unterstützen. Die Schutz- und Koordinationsregelungen nach Ziffer 12 gelten entsprechend. Maildroppa bleibt gegenüber dem Kunden für die Erfüllung der Pflichten seiner Unterauftragsverarbeiter verantwortlich.
9.3 Über die beabsichtigte Hinzufügung oder Ersetzung eines Unterauftragsverarbeiters informiert Maildroppa den Kunden vor dessen Einsatz in Textform an die im Kundenkonto hinterlegte Kontaktadresse. Die Mitteilung nennt den Anbieter, seine Leistung, die betroffenen Datenkategorien, die maßgeblichen Verarbeitungs- und Zugriffsländer, erforderliche Drittlandgarantien und den vorgesehenen Einsatzzeitpunkt. Die Mitteilung erfolgt so rechtzeitig, dass dem Kunden eine angemessene Frist zur Prüfung und zum Widerspruch vor dem vorgesehenen Einsatz verbleibt. Zusätzlich veröffentlicht Maildroppa eine datierte Aktualisierung der Unterauftragsverarbeiterliste.
9.4 Bei dringendem Sicherheits- oder Verfügbarkeitsbedarf kann eine kürzere Ankündigungsfrist vorgesehen werden. Maildroppa erläutert den Grund und informiert so früh wie möglich. Auch in diesem Fall müssen die vorherige Information und eine wirksame Widerspruchsmöglichkeit gewahrt bleiben. Ist dies nicht möglich, bedarf der vorzeitige Einsatz für die betroffenen Kunden-Personendaten einer gesonderten vorherigen Genehmigung des Kunden.
9.5 Der Kunde kann innerhalb der angekündigten Frist aus konkreten, nachvollziehbaren Datenschutzgründen widersprechen. Die Parteien bemühen sich um eine zumutbare Lösung, beispielsweise eine alternative Leistungserbringung oder Konfigurationsänderung. Bei einem solchen fristgerechten Widerspruch wird der beanstandete Unterauftragsverarbeiter für die betroffenen Kunden-Personendaten bis zur Klärung nicht eingesetzt. Kann die betroffene Leistung ohne ihn nicht fortgeführt werden und kommt keine Einigung zustande, kann jede Partei diese Leistung vor dem vorgesehenen Einsatz ohne gesondertes Kündigungsentgelt beenden. Ist eine sachgerechte Teilbeendigung nicht möglich, gilt dies für den Hauptvertrag. Rückgabe- und Löschpflichten bleiben bestehen.
9.6 Maildroppa hält aktuelle Informationen über sämtliche an der Verarbeitung der Kunden-Personendaten beteiligten Unterauftragsverarbeiter einschließlich weiterer Unterauftragsverarbeiter innerhalb der Verarbeitungskette bereit und stellt sie dem Kunden in leicht zugänglicher Form zur Verfügung. Dazu gehören insbesondere Name, Anschrift und Kontaktperson mit Name, Funktion und Kontaktdaten sowie Leistung, Verarbeitungsorte und erforderliche Transfergarantien. Die bloße Konzernzugehörigkeit eines Unternehmens ersetzt nicht die erforderliche Einbeziehung nach diesem AVV.
9.7 Nebenleistungen ohne Verarbeitung von Kunden-Personendaten sind keine Unterauftragsverarbeitung. Dienste, die der Kunde selbst beauftragt und über eigene Konten mit Maildroppa verbindet, sind nicht allein aufgrund dieser Verbindung Unterauftragsverarbeiter von Maildroppa. Die Einordnung richtet sich nach der tatsächlichen Verarbeitung und Beauftragung.
10 Drittlandübermittlungen
10.1 Maildroppa übermittelt Kunden-Personendaten an Empfänger außerhalb des Europäischen Wirtschaftsraums („EWR“) oder an internationale Organisationen und ermöglicht entsprechende Zugriffe aus Drittländern nur auf dokumentierter Weisungsgrundlage und unter Einhaltung von Kapitel V DSGVO.
10.2 Besteht kein auf die betreffende Übermittlung anwendbarer Angemessenheitsbeschluss nach Art. 45 DSGVO, müssen geeignete Garantien nach Art. 46 DSGVO vorliegen. Hierzu können insbesondere wirksam vereinbarte Standardvertragsklauseln der Europäischen Kommission gehören. Die Auswahl des anwendbaren Moduls richtet sich nach den tatsächlichen Rollen des Datenexporteurs und Datenimporteurs bei der jeweiligen Übermittlung. Die erforderlichen Angaben und Anhänge werden für diese Übermittlung vervollständigt. Dieser AVV ersetzt nicht den erforderlichen verbindlichen Abschluss der Standardvertragsklauseln.
10.3 Eine Übermittlung auf Grundlage des EU-US Data Privacy Framework erfolgt nur, soweit der maßgebliche Angemessenheitsbeschluss anwendbar ist, der konkrete US-Empfänger wirksam zertifiziert ist und die betreffende Verarbeitung von der Zertifizierung erfasst wird. Maildroppa überprüft die Voraussetzungen der jeweils verwendeten Übermittlungsgrundlage in angemessenen Abständen und bei relevanten Änderungen.
10.4 Soweit erforderlich, bewertet und dokumentiert Maildroppa das Schutzniveau der betreffenden Übermittlung und setzt ergänzende technische, vertragliche oder organisatorische Maßnahmen ein. Dabei werden insbesondere die Rechtslage im Empfängerland, mögliche Zugriffe und die Risiken der betroffenen Daten berücksichtigt.
10.5 Maildroppa stellt dem Kunden die zur Beurteilung der betreffenden Übermittlungen erforderlichen Informationen und Nachweise zur Verfügung. Vertrauliche Informationen können geschützt werden, soweit die erforderliche Beurteilung dadurch nicht verhindert wird.
10.6 Entfallen die Voraussetzungen einer Übermittlungsgrundlage, wird die betroffene Übermittlung ausgesetzt oder beendet, soweit nicht rechtzeitig eine andere zulässige Grundlage hergestellt wird.
11 Rückgabe und Löschung
11.1 Während der Vertragslaufzeit kann der Kunde die verfügbaren Export-, Berichtigungs- und Löschfunktionen nutzen. Er kann die Rückgabe seiner Kunden-Personendaten in einem gängigen, maschinenlesbaren Format verlangen. Die verfügbaren Produktfunktionen beschränken die gesetzlichen Rückgabe- und Unterstützungspflichten von Maildroppa nicht.
11.2 Nach Abschluss der Verarbeitungsleistungen löscht Maildroppa nach Wahl des Kunden die Kunden-Personendaten oder gibt sie zurück und löscht anschließend die vorhandenen Kopien, soweit keine gesetzliche Aufbewahrungspflicht nach Ziffer 11.4 besteht. Ohne abweichende Weisung ist die Löschung vereinbart. Der Kunde kann diese Wahl vor Abschluss der Verarbeitungsleistungen durch eine Weisung in Textform ändern. Die Rückgabe beziehungsweise Löschung erfolgt ohne unangemessene Verzögerung. Maildroppa bestätigt die Durchführung auf Anfrage in Textform.
11.3 Soweit eine sofortige selektive Löschung aus Sicherungskopien technisch nicht möglich ist, werden die betroffenen Daten gegen eine weitere operative Nutzung geschützt und spätestens mit Ablauf des dokumentierten, zeitlich begrenzten Sicherungszyklus gelöscht oder überschrieben. Bis dahin gelten sämtliche Schutzpflichten dieses AVV fort. Der maßgebliche Sicherungszyklus und der späteste Löschzeitpunkt werden dem Kunden auf Anfrage mitgeteilt. Werden Sicherungskopien zur Wiederherstellung verwendet, setzt Maildroppa die betreffenden Löschungen, Widersprüche und Verarbeitungseinschränkungen unverzüglich erneut um.
11.4 Verlangt das Recht der Europäischen Union oder eines Mitgliedstaats eine weitere Speicherung, beschränkt Maildroppa diese auf die gesetzlich erforderlichen Daten, Zwecke und Zeiträume. Die Daten werden gegen anderweitige Verwendung geschützt. Maildroppa informiert den Kunden über die betreffende Verpflichtung, soweit dies rechtlich zulässig ist.
11.5 Daten, die Maildroppa zulässigerweise in eigener Verantwortlichkeit nach Ziffer 1.4 verarbeitet, unterliegen den hierfür geltenden gesetzlichen Lösch- und Aufbewahrungsanforderungen. Daraus ergibt sich keine allgemeine Befugnis, Kunden-Personendaten über das Ende der Auftragsverarbeitung hinaus für Sicherheits-, Werbe-oder sonstige eigene Zwecke aufzubewahren.
11.6 Gesetzlich geschuldete Rückgabe und Löschung von Kunden-Personendaten werden nicht wegen offener oder streitiger Vergütungsforderungen verweigert oder unangemessen verzögert. Berechtigte Vergütungsansprüche bleiben unberührt.
12 Nachweise und Kontrollen
12.1 Maildroppa stellt dem Kunden alle Informationen zur Verfügung, die erforderlich sind, um die Einhaltung der Pflichten nach Art. 28 DSGVO nachzuweisen. Hierzu können insbesondere die geltenden technischen und organisatorischen Maßnahmen, Informationen über Unterauftragsverarbeiter und Transfers, verfügbare Prüfberichte, Auskünfte und Löschbestätigungen gehören.
12.2 Maildroppa ermöglicht Überprüfungen einschließlich Inspektionen durch den Kunden oder einen von ihm beauftragten fachkundigen und zur Vertraulichkeit verpflichteten Prüfer und trägt zu deren Durchführung bei. Die Parteien stimmen Umfang und Durchführung unter Berücksichtigung des Prüfungszwecks ab. Geeignete vorhandene Unterlagen können genutzt werden. Das Recht auf erforderliche weitergehende Prüfungen wird dadurch nicht eingeschränkt.
12.3 Prüfungen erfolgen in angemessenen Abständen und grundsätzlich nach angemessener Vorankündigung während üblicher Geschäftszeiten. Sie sind so durchzuführen, dass der Betrieb, andere Kunden und die Sicherheit nicht vermeidbar beeinträchtigt werden. Zusätzliche oder kurzfristige Prüfungen werden ermöglicht, wenn insbesondere eine Datenschutzverletzung, Anzeichen für eine Nichteinhaltung oder eine behördliche Anforderung dies rechtfertigen.
12.4 Maildroppa darf geeignete Maßnahmen zum Schutz von Daten anderer Kunden, Geschäftsgeheimnissen und sicherheitsrelevanten Informationen treffen. Hierzu können geschützte Einsichtnahmen oder geeignete unabhängige Nachweise gehören. Erforderliche Prüfungen dürfen dadurch weder verhindert noch unzumutbar erschwert werden.
12.5 Jede Partei trägt grundsätzlich ihre eigenen Kosten. Für besondere, vom Kunden veranlasste Prüfungsleistungen kann vorab eine angemessene zusätzliche Vergütung vereinbart werden. Kostenregelungen dürfen die Ausübung der Prüfungsrechte weder verhindern noch unverhältnismäßig erschweren. Gesetzlich erforderliche Mitwirkung wird nicht von einer streitigen Vergütung abhängig gemacht. Bei einem von Maildroppa zu vertretenden wesentlichen Verstoß trägt Maildroppa die durch diesen Verstoß veranlassten angemessenen und erforderlichen Prüfungskosten und behebt den Verstoß ohne unangemessene Verzögerung. Gesetzliche Ersatzansprüche bleiben unberührt.
12.6 Maildroppa führt ein Verzeichnis der Kategorien von Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO und arbeitet auf Anfrage mit der zuständigen Aufsichtsbehörde zusammen. Gesetzliche Befugnisse der Aufsichtsbehörden bleiben uneingeschränkt bestehen.
12.7 Der Kunde behandelt nicht öffentliche Geschäftsgeheimnisse und sicherheitsrelevante Informationen von Maildroppa, die ihm im Rahmen von Nachweisen oder Kontrollen bekannt werden, auch nach Beendigung dieses AVV vertraulich. Erforderliche Offenlegungen gegenüber zur Vertraulichkeit verpflichteten Beratern und Prüfern sowie gegenüber zuständigen Behörden und Gerichten bleiben zulässig. Gesetzliche Offenlegungs- und Mitteilungspflichten bleiben unberührt.
13 Haftung
13.1 Für die Haftung zwischen den Parteien gelten Art. 82 DSGVO, sonstiges zwingendes Datenschutzrecht und die wirksamen Haftungsregelungen des Hauptvertrags. Keine Bestimmung dieses AVV beschränkt Rechte betroffener Personen oder Befugnisse einer Aufsichtsbehörde.
13.2 Im Innenverhältnis richtet sich die Verantwortlichkeit für Schäden und Kosten nach dem jeweiligen Verursachungs- und Verantwortungsbeitrag der Parteien sowie den anwendbaren gesetzlichen und vertraglichen Regelungen. Gesetzliche Rückgriffsrechte und vorrangige Bestimmungen verbindlich vereinbarter Standardvertragsklauseln bleiben unberührt.
14 Beendigung bei Datenschutzverstoß
14.1 Verletzt Maildroppa wesentliche Pflichten dieses AVV, kann der Kunde die betroffene Verarbeitung bis zur Behebung aussetzen. Behebt Maildroppa einen erheblichen Verstoß nicht innerhalb einer angemessenen Frist oder ist eine Behebung unmöglich, kann der Kunde die betroffene Leistung außerordentlich kündigen. Gesetzliche Rechte zur sofortigen Beendigung aus wichtigem Grund bleiben unberührt.
14.2 Maildroppa darf eine rechtswidrige Weisung nach Ziffer 4.3 aussetzen. Kann keine rechtmäßige Alternative gefunden werden und würde die Fortsetzung gegen Datenschutzrecht verstoßen, darf Maildroppa die betroffene Leistung beenden.
14.3 Ist eine sachgerechte Beendigung nur der betroffenen Leistung nicht möglich, kann der Hauptvertrag beendet werden. Rückgabe-, Lösch-, Vertraulichkeits- und Nachweispflichten bleiben bestehen.
15 Schlussbestimmungen
15.1 Änderungen dieses AVV werden in Textform vereinbart oder durch ein rechtlich wirksames, nachweisbares elektronisches Verfahren einbezogen.
15.2 Die Anlagen können nach Maßgabe dieses AVV aktualisiert werden, um zulässige Änderungen der tatsächlichen Verarbeitung oder gleichwertige Weiterentwicklungen der Schutzmaßnahmen abzubilden. Die Informations- und Widerspruchsrechte bleiben gewahrt. Eine Aktualisierung der Anlagen begründet keine Befugnis zur einseitigen Erweiterung der Verarbeitungszwecke oder zur Einschränkung der vereinbarten Kundenrechte.
15.3 Die Anlagen 1 bis 3 sind Bestandteil dieses AVV.
15.4 Sollte eine Bestimmung unwirksam sein, bleiben die übrigen Bestimmungen wirksam. An die Stelle der unwirksamen Bestimmung treten die gesetzlichen Regelungen.
15.5 Es gelten deutsches Recht und die wirksame Gerichtsstandsregelung des Hauptvertrags, soweit zwingende gesetzliche Vorschriften oder vorrangige Bestimmungen verbindlich vereinbarter Standardvertragsklauseln nichts anderes vorsehen.
15.6 Dieser AVV wird in deutscher und englischer Sprache bereitgestellt. Die englische Fassung ist eine Übersetzung der deutschen Originalfassung und kann dem Vertragsschluss zugrunde gelegt werden. Bei Abweichungen oder Auslegungsunterschieden zwischen den Sprachfassungen ist die deutsche Fassung maßgeblich, soweit gesetzlich zulässig.
ANLAGE 1 Beschreibung der Auftragsverarbeitung
1 Gegenstand und Zweck
Bereitstellung und Betrieb des cloudbasierten Maildroppa-Dienstes für erlaubnisbasiertes E-Mail-Marketing.
Die Verarbeitung umfasst abhängig von der Nutzung insbesondere Kontakt- und Listenverwaltung, Anmeldeformulare und Anmeldeabläufe, Landingpages, Kampagnen, Vorlagen und E-Mail-Editor, Automationen, Versand, Zustell- und Interaktionsberichte, Dateien, Importe und Exporte sowie Schnittstellen, Webhooks und Integrationen.
Dazu gehören die für diese Leistungen erforderliche technische Unterstützung, Absicherung, Fehlerbehandlung, Datensicherung, Wiederherstellung und vertragsgemäße Löschung.
2 Dauer
Für die Laufzeit des Hauptvertrags einschließlich der nach Ziffer 11 erforderlichen Rückgabe-, Lösch- und zeitlich begrenzten Sicherungsphase.
3 Art der Verarbeitung
Erheben, Erfassen, Ordnen, Strukturieren, Speichern, Anpassen, Segmentieren, Abgleichen, Auslesen, Anzeigen, Importieren, Exportieren, Übermitteln, Versenden, Bereitstellen, Protokollieren, Auswerten, Einschränken, Sichern und Löschen nach Kundenweisung.
Hierzu gehört auch die technische Aufbereitung von E-Mail-Vorlagen und Nachrichteninhalten für Bearbeitung, Darstellung und Versand.
4 Kategorien betroffener Personen
Betroffen sein können Abonnenten, Interessenten, Kunden und sonstige geschäftliche Kontakte des Kunden; Besucher und Nutzer seiner Formulare und Landingpages; Empfänger seiner Nachrichten sowie sonstige Personen, deren Daten der Kunde zulässigerweise in den Dienst einstellt.
Hierzu können Beschäftigte und andere Kontaktpersonen des Kunden gehören, soweit ihre Daten im Auftrag des Kunden verarbeitet werden.
5 Kategorien personenbezogener Daten
Stamm- und Kontaktdaten: Namen, E-Mail-Adressen und weitere vom Kunden eingestellte Kontaktangaben.
Profil- und Zuordnungsdaten: Benutzerdefinierte Felder, Tags, Themen, Segmente, Listen und Zielgruppenzuordnungen.
Einwilligungs-, Herkunfts- und Nachweisdaten: Anmeldequelle, Formularangaben, Einwilligungs- und Bestätigungstexte, Zeitpunkte, Bestätigungs- und Abmeldestatus sowie zugehörige IP- und Browsermetadaten, soweit erhoben und rechtmäßig verarbeitet.
Technische Formular- und Missbrauchsdaten: Bildschirmmaße, Browser- und Betriebssysteminformationen, daraus abgeleitete Gerätekennungen, IP- und Requestdaten sowie ein im Browser gespeicherter letzter Popup-Anzeigezeitpunkt, soweit die entsprechende Formularfunktion eingesetzt wird.
Nachrichten- und Inhaltsdaten: Kampagnen, Formulare, Landingpages, Automationen, Vorlagen, vollständige zur Bearbeitung oder Aufbereitung übergebene HTML-/CSS-Inhalte sowie darin enthaltene personenbezogene Angaben, Links und Bild-URLs.
Versand- und Interaktionsdaten: Versand- und Zustellstatus, Öffnungs- und Klickereignisse, soweit aktiviert und zulässig, Unzustellbarkeiten, Beschwerden, Abmeldungen und Versand-Sperrvermerke.
Technische Betriebsdaten: IP-Adressen, Geräte-, Browser-, Sitzungs-, Request-, Sicherheits-, Protokoll- und Fehlerdaten sowie technische Konto-, Nachrichten- und Vorlagenkennungen.
Dateidaten: Hochgeladene Bilder, Anhänge und sonstige Dateien einschließlich zugehöriger Metadaten, soweit personenbezogen.
Integrations- und Geschäftsvorgangsdaten: Über angebundene Dienste, Schnittstellen oder Importe übermittelte Angaben und Kennungen; bei entsprechenden Shop-Integrationen insbesondere Bestell-, Warenkorb- und zugehörige Transaktionsdaten.
Supportdaten: Personenbezogene Angaben und Inhalte, die zur Bearbeitung einer Supportanfrage übermittelt oder im erforderlichen Umfang eingesehen werden.
6 Besondere Daten
Die Verarbeitung der in Ziffer 3.4 bezeichneten besonders geschützten Daten ist nicht Bestandteil der vereinbarten Standardleistung. Sie bedarf einer vorherigen ausdrücklichen Vereinbarung einschließlich der erforderlichen zusätzlichen Schutzmaßnahmen.
7 Häufigkeit und Umfang
Die Verarbeitung erfolgt fortlaufend oder anlassbezogen in dem Umfang, den die Nutzung, Konfiguration, eingestellten Daten, genutzten Funktionen und Weisungen des Kunden bestimmen.
8 Rechte und Pflichten des Kunden
Die Rechte und Pflichten des Kunden ergeben sich aus diesem AVV, dem Hauptvertrag und dem anwendbaren Datenschutzrecht. Der Kunde entscheidet insbesondere über Zwecke, Rechtsgrundlagen, Datenkategorien, Empfänger, Konfiguration und erforderliche Speicherdauer und ist für die Erfüllung seiner Pflichten gegenüber betroffenen Personen verantwortlich.
ANLAGE 2 Technische und organisatorische Maßnahmen
Maildroppa setzt die folgenden Maßnahmen zum Schutz der Kunden-Personendaten ein. Ihre konkrete Ausgestaltung richtet sich nach den Risiken der Verarbeitung und den Anforderungen des Art. 32 DSGVO. Für Weiterentwicklungen gilt Ziffer 5.2.
1 Organisation und Verantwortlichkeiten
Die Zuständigkeiten für Datenschutz, Sicherheit und Vorfallbearbeitung sind geregelt und dokumentiert.
Zugriffsberechtigte Personen unterliegen einer Vertraulichkeitsverpflichtung oder einer angemessenen gesetzlichen Verschwiegenheitspflicht und erhalten aufgabenbezogene Datenschutz- und Sicherheitsanweisungen.
Es bestehen Verfahren für die Bearbeitung von Weisungen, Betroffenenanfragen, Löschungen und Behördenanfragen sowie für die Prüfung und vertragliche Einbindung relevanter Dienstleister.
2 Zugangs- und Zugriffskontrolle
Der Zugriff auf geschützte Produkt- und Administrationsfunktionen setzt eine Authentifizierung und entsprechende Berechtigungen voraus. Die Kontenauthentifizierung erfolgt über den eingebundenen Authentifizierungsdienst.
Interne Zugänge werden individuell und nach dem Erforderlichkeitsprinzip vergeben. Privilegierte Zugänge und technische Geheimnisse werden vor unbefugter Nutzung geschützt. Maildroppa speichert keine Kontopasswörter im Klartext.
Berechtigungen werden anlass- und risikobezogen überprüft. Nicht mehr erforderliche Berechtigungen werden entzogen. Sicherheitsrelevante Konto- und Administrationsvorgänge werden protokolliert.
Betrieblich eingesetzte Arbeitsgeräte und administrative Arbeitsumgebungen sind gegen unbefugten Zugang und Zugriff geschützt. Für den physischen Zugang zur Hosting-Infrastruktur gelten die Zutrittskontrollen des jeweiligen Infrastrukturbetreibers.
3 Übertragungs- und Kommunikationssicherheit
Die öffentliche Weboberfläche und die APIs von Maildroppa werden über HTTPS/TLS bereitgestellt. Die Web- und API-Kommunikation mit eingebundenen technischen Diensten erfolgt über verschlüsselte Verbindungen.
Nicht öffentliche Schnittstellen werden durch Authentifizierungs- und Berechtigungsprüfungen geschützt. Für Webhooks werden die für die jeweilige Schnittstelle vorgesehenen Authentifizierungs-, Signatur- oder Geheimnisverfahren eingesetzt.
Domain- und Absenderprüfungen sowie unterstützte E-Mail-Authentifizierungsverfahren dienen dem Schutz vor missbräuchlichem Versand. Netzwerk-, Proxy- und Zugriffskontrollen begrenzen missbräuchliche Anfragen und Last.
4 Mandanten- und Zwecktrennung
Kundenbezogene Daten und Ressourcen werden dem jeweiligen Kundenkonto logisch zugeordnet. Serverseitige Berechtigungsprüfungen beschränken den Zugriff auf die für das jeweilige Konto freigegebenen Ressourcen.
Zugriffe für Betrieb und Support erfolgen aufgabenbezogen und im erforderlichen Umfang. Eigene Vertrags- und Abrechnungsverarbeitungen werden zweckbezogen von der Kundenverarbeitung abgegrenzt.
Kunden-Personendaten werden nicht für eigene oder fremde Werbung außerhalb der Kundenweisung oder Listenhandel genutzt. Vom Kunden veranlasste Veröffentlichungen und Übermittlungen bleiben hiervon unberührt.
5 Verfügbarkeit, Belastbarkeit und Wiederherstellung
Die Kernanwendung wird auf Infrastruktur in Deutschland betrieben. Die primäre Objektspeicherung erfolgt in der Europäischen Union. Abweichende Verarbeitungs- und Zugriffsmöglichkeiten eingebundener Dienstleister ergeben sich aus Anlage 3 und den ergänzenden Transferinformationen.
Schutzmechanismen gegen Netzwerkangriffe und missbräuchliche Last, die Überwachung des Betriebs sowie Fehlererfassung unterstützen die Verfügbarkeit des Dienstes.
Für relevante Daten werden zugriffsbeschränkte Sicherungskopien nach einem dokumentierten Zeitplan vorgehalten. Kontrollierte Wiederherstellungsverfahren unterstützen die Wiederverfügbarkeit nach technischen oder physischen Zwischenfällen. Bereits veranlasste Löschungen und Einschränkungen werden nach einer Wiederherstellung erneut umgesetzt.
6 Integrität und sichere Verarbeitung
Unterstützte Uploads unterliegen technischen Typ-, Größen- und Zugriffsprüfungen.
Softwareänderungen werden kontrolliert bereitgestellt. Sicherheitsrelevante Aktualisierungen, Abhängigkeiten und erkannte Schwachstellen werden risikogerecht behandelt.
Zugriffs- und Berechtigungskontrollen schützen vor unbefugter Veränderung. Betriebs- und Sicherheitsprotokolle werden zweckgebunden verarbeitet und vor unbefugtem Zugriff geschützt.
Unzustellbarkeiten, Beschwerden, Abmeldungen und Versand-Sperrvermerke werden nachvollziehbar verarbeitet.
7 Datenschutz durch Technikgestaltung
Pflichtangaben werden auf die für die jeweilige Funktion erforderlichen Daten begrenzt. Zusätzliche Kundenfelder und Zuordnungen sind konfigurierbar.
Export-, Berichtigungs-, Lösch- und Sperrfunktionen unterstützen die Erfüllung von Betroffenenrechten. Anmelde- und Einwilligungsabläufe ermöglichen die Dokumentation von Texten, Quellen und relevanten Zeitpunkten.
Öffnungs- und Klickmessung richtet sich nach der vom Kunden gewählten Konfiguration. Fehler-und Analysedaten werden entsprechend ihrem Zweck minimiert und, soweit geeignet, pseudonymisiert.
8 Löschung und Aufbewahrung
Es bestehen Löschabläufe für Kontaktdaten, Kampagnen, Automationen, Formulare, Dateien und zugehörige Kundendaten.
Gesetzlich aufzubewahrende Vertrags- und Rechnungsdaten werden von operativen Kunden-Personendaten abgegrenzt. Abmelde-, Sperr- und Sicherheitsinformationen unterliegen einer zweckgebundenen und zeitlich begrenzten Verarbeitung nach der jeweils maßgeblichen Weisung oder Rechtsgrundlage.
Nach Leistungsende erfolgen Rückgabe und Löschung nach Ziffer 11. Sicherungskopien unterliegen einem dokumentierten, zeitlich begrenzten Aufbewahrungszyklus. Die Durchführung der Rückgabe beziehungsweise Löschung wird auf Anfrage dokumentiert.
9 Vorfallmanagement und Wirksamkeitskontrolle
Für Sicherheitsvorfälle bestehen Verfahren zur Erkennung, Einstufung, Eindämmung, Untersuchung, Behebung und Nachbereitung.
Relevante Zeitpunkte, betroffene Systeme und Daten, Maßnahmen und verfügbare Informationen zu Auswirkungen werden dokumentiert. Erforderliche Beweise werden unter Zugriffsbeschränkung gesichert.
Bei einer Verletzung des Schutzes von Kunden-Personendaten erfolgt die Kundeninformation nach Ziffer 8.
Die Wirksamkeit der technischen und organisatorischen Maßnahmen wird regelmäßig überprüft, bewertet und erforderlichenfalls angepasst. Dabei werden Änderungen der Verarbeitung und Erkenntnisse aus Sicherheitsvorfällen berücksichtigt.
ANLAGE 3 Genehmigte Unterauftragsverarbeiter und Transfers
Die folgende Liste gilt für die Bereitstellung der jeweils beschriebenen Funktionen. Nicht jeder Anbieter verarbeitet bei jedem Kunden dieselben Daten. Maßgeblich sind die genutzten Funktionen und tatsächlichen Datenflüsse.
Unternehmenssitz und Hostingstandort sind getrennt angegeben. Ein Hostingstandort im EWR schließt eine Übermittlung an einen in einem Drittland ansässigen Empfänger oder einen Zugriff aus einem Drittland nicht aus. Für solche Übermittlungen und Zugriffe gelten die Voraussetzungen von Ziffer 10.
Hetzner Online GmbH, Deutschland
Leistung und mögliche Kunden-Personendaten
Kernhosting, Rechenleistung, Datenbank und Netzwerkinfrastruktur; die für die gehosteten Maildroppa-Systeme erforderlichen Kunden-Personendaten.
Hosting und Verarbeitung
Deutschland.
Drittlandregelung
Für den regulären Betrieb innerhalb des EWR keine Drittlandübermittlung.
Cloudflare, Inc., USA
Leistung und mögliche Kunden-Personendaten
DNS, Proxy, Inhaltsauslieferung, Schutz vor Netzwerkangriffen und missbräuchlicher Nutzung; IP-, Request-, Domain- und Verkehrsdaten sowie bei Proxy-Verarbeitung übertragene Inhalte.
Hosting und Verarbeitung
EU und globale Netzwerkstandorte; mögliche Zugriffe aus den USA.
Drittlandregelung
Drittlandverarbeitungen und -zugriffe nur unter den Voraussetzungen von Ziffer 10.
Amazon Web Services EMEA SARL, Luxemburg
Leistung und mögliche Kunden-Personendaten
Objektspeicherung und technische Cloud-Dienste; insbesondere Kundenbilder im AWS-Konto von Maildroppa, sonstige Dateien und zugehörige Metadaten.
Hosting und Verarbeitung
Primär Frankfurt, Deutschland; mögliche Supportzugriffe außerhalb des EWR.
Drittlandregelung
Drittlandübermittlungen und -zugriffe nur unter den Voraussetzungen von Ziffer 10.
Bird B.V., Niederlande - SparkPost
Leistung und mögliche Kunden-Personendaten
E-Mail-Übermittlung, Zustellereignisse, Unzustellbarkeiten und Beschwerden; Empfängeradressen, Absenderangaben, Nachrichteninhalte und Versandmetadaten.
Hosting und Verarbeitung
Konfigurierter SparkPost-EU-Endpunkt; mögliche Support- oder Konzernzugriffe außerhalb des EWR.
Drittlandregelung
Drittlandübermittlungen und -zugriffe nur unter den Voraussetzungen von Ziffer 10.
Okta, Inc., USA - Auth0
Leistung und mögliche Kunden-Personendaten
Authentifizierung und Kontozugriff, soweit Kunden-Personendaten im Auftrag verarbeitet werden; Nutzer- und Login-Kennungen, E-Mail-Adressen sowie Sicherheits- und Sitzungsmetadaten.
Hosting und Verarbeitung
Europa, entsprechend der konfigurierten Auth0-Tenant-Region; mögliche Zugriffe aus den USA.
Drittlandregelung
Übermittlungen an Drittlandempfänger und Zugriffe aus Drittländern nur unter den Voraussetzungen von Ziffer 10.
SmartBear Software, Inc., USA - Bugsnag
Leistung und mögliche Kunden-Personendaten
Fehlerdiagnose und Betriebsüberwachung; Konto- und Nutzerkennungen sowie Fehler-, Geräte-, Request- und Versionsmetadaten, soweit personenbezogen.
Hosting und Verarbeitung
USA; Hosting auf Google Cloud Platform.
Drittlandregelung
Übermittlungen in die USA und weitere Drittlandzugriffe nur unter den Voraussetzungen von Ziffer 10.
Stripo Inc., USA (Delaware)
Leistung und mögliche Kunden-Personendaten
Bereitstellung des E-Mail-Editors und technische Aufbereitung der vom Kunden erstellten E-Mail-Vorlagen; übermittelte HTML-/CSS-Inhalte einschließlich darin enthaltener personenbezogener Angaben, Links und Bild-URLs, soweit ein Personenbezug besteht. Die vorgesehene Vorlagenaufbereitung umfasst keine gesonderte Übermittlung von Empfängerlisten oder Kundenstammdaten wie Namen und E-Mail-Adressen.
Hosting und Verarbeitung
Irland; Hosting der von Stripo betriebenen Plugin-Serverdienste auf Amazon Web Services.
Drittlandregelung
Übermittlungen an den US-Anbieter und etwaige Drittlandzugriffe nur unter den Voraussetzungen von Ziffer 10.
Übermittlungsgrundlagen und weitere Verarbeitungsketten
Für eine Drittlandübermittlung muss ein auf den konkreten Empfänger und die betreffende Verarbeitung anwendbarer Angemessenheitsbeschluss nach Art. 45 DSGVO oder eine geeignete Garantie nach Art. 46 DSGVO vorliegen. Werden Standardvertragsklauseln eingesetzt, müssen sie verbindlich vereinbart, im passenden Modul abgeschlossen und erforderlichenfalls durch zusätzliche Schutzmaßnahmen ergänzt sein. Die Voraussetzungen nach Ziffer 10 gelten auch bei Hosting innerhalb des EWR.
Maildroppa stellt dem Kunden die für die jeweilige Verarbeitung verwendete Übermittlungsgrundlage und die erforderlichen Nachweise nach Ziffer 10.5 zur Verfügung. Die Aufnahme eines Anbieters in diese Liste ersetzt weder die nach Ziffer 9.2 erforderliche Vereinbarung zur Unterauftragsverarbeitung noch eine erforderliche Drittlandgarantie.
Soweit weitere Gesellschaften oder Unterauftragsverarbeiter an der jeweiligen Leistung beteiligt sind, stellt Maildroppa die für die betroffene Verarbeitung erforderlichen Angaben nach Ziffer 9.6 bereit.
Bildspeicherung und E-Mail-Editor
Die Speicherleistung für die vom Kunden hochgeladenen Bilder wird über den AWS-Account von Maildroppa erbracht.
Im Rahmen der technischen Aufbereitung von E-Mail-Vorlagen erhält Stripo die hierfür übermittelten HTML-/CSS-Inhalte. Personenbezogene Angaben, Links und Bild-URLs können Bestandteil dieser Inhalte sein. Empfängerlisten sowie Kundenstammdaten wie Namen und E-Mail-Adressen werden für diese Vorlagenaufbereitung nicht gesondert übermittelt. Stripo ist von dieser Anlage nur erfasst, soweit es dabei Kunden-Personendaten im Auftrag verarbeitet.
Abgrenzung eigener Verarbeitungen
Auth0/Okta und andere Anbieter sind von dieser Anlage nur insoweit erfasst, wie sie Kunden-Personendaten im Auftrag verarbeiten. Verarbeitungen für eigene Zwecke von Maildroppa richten sich nach Ziffer 1.4.
Vom Kunden gesteuerte Integrationen
Zapier, Make und andere Dienste, die der Kunde selbst beauftragt und mit Maildroppa verbindet, sind nicht automatisch Unterauftragsverarbeiter von Maildroppa.
Der Kunde ist für die Auswahl dieser Empfänger, seine erforderlichen Vereinbarungen und die Rechtmäßigkeit seiner Übermittlungsweisung verantwortlich. Eigene Pflichten von Maildroppa, insbesondere zur Weisungsbindung, Sicherheit und Einhaltung der Anforderungen an Drittlandübermittlungen, bleiben bestehen.
Änderungsmitteilungen
Die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern richtet sich nach Ziffer 9. Eine bloße Änderung der veröffentlichten Liste ersetzt nicht die dort vorgesehene vorherige Kundeninformation.