Auftragsverarbeitungsvertrag

Stand: 4. September 2026 · Version 1.0

Dieser Vertrag zur Auftragsverarbeitung („AVV“) ist Bestandteil des Vertrags über Maildroppa. Er gilt, sobald Maildroppa personenbezogene Daten im Auftrag eines Kunden verarbeitet.

Parteien

Verantwortlicher („Kunde“): die natürliche oder juristische Person, die in der Bestellung oder im Maildroppa-Konto als Kunde bezeichnet ist, einschließlich einer dort wirksam einbezogenen verbundenen Gesellschaft, soweit diese für Kundendaten verantwortlich ist.

Auftragsverarbeiter („Maildroppa“):

Marcus Biel, handelnd unter „Maildroppa“
Dr.-Peter-Hecker-Str. 4b
82031 Grünwald
Deutschland
E-Mail: support@maildroppa.com

Kunde und Maildroppa werden gemeinsam als „Parteien“ bezeichnet.

1. Gegenstand, Laufzeit und Rangfolge

1.1 Dieser AVV regelt die Verarbeitung personenbezogener Daten, die Maildroppa für den Kunden im Zusammenhang mit dem Dienst verarbeitet („Kunden-Personendaten“). Gegenstand, Art, Zweck, Kategorien betroffener Personen und Datenarten sind in Anlage 1 beschrieben.

1.2 Der AVV tritt mit Annahme der Nutzungsbedingungen, einer Bestellung, die ihn einbezieht, oder einer gesonderten elektronischen Bestätigung in Kraft. Er gilt für die Dauer des Hauptvertrags und darüber hinaus, solange Maildroppa Kunden-Personendaten verarbeitet.

1.3 Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag hat dieser AVV hinsichtlich der Auftragsverarbeitung Vorrang. Gesetzliche Datenschutzpflichten gehen in jedem Fall vor.

1.4 Maildroppa ist für eigene Zwecke — insbesondere Vertrag und Abrechnung, eigene Kontosicherheit, Schutz der Plattform und Versandinfrastruktur, Missbrauchsabwehr sowie gesetzliche Pflichten — gegebenenfalls selbst Verantwortlicher. Solche Verarbeitungen richten sich nach der Datenschutzerklärung und nicht nach diesem AVV. Maildroppa darf die Auftragsverarbeiterrolle nicht verwenden, um Kundendaten für eigene Werbung zu nutzen.

2. Begriffe und anwendbares Datenschutzrecht

2.1 Die Begriffe „personenbezogene Daten“, „Verarbeitung“, „Verantwortlicher“, „Auftragsverarbeiter“, „betroffene Person“, „Verletzung des Schutzes personenbezogener Daten“ und „Aufsichtsbehörde“ haben die Bedeutung der DSGVO.

2.2 „Anwendbares Datenschutzrecht“ bezeichnet die DSGVO, das Bundesdatenschutzgesetz und sonstige auf die jeweilige Verarbeitung anwendbare Datenschutzvorschriften.

2.3 Ist der Kunde selbst Auftragsverarbeiter eines Dritten, handelt Maildroppa als weiterer Auftragsverarbeiter. Der Kunde sichert zu, zu den Weisungen und zur Beauftragung von Maildroppa befugt zu sein und alle Informationen und Rechte des Verantwortlichen so an Maildroppa weiterzugeben, wie dies zur Erfüllung dieses AVV erforderlich ist.

3. Verantwortung und Weisungen des Kunden

3.1 Der Kunde ist für die Rechtmäßigkeit der Verarbeitung, die Rechte der betroffenen Personen, die Richtigkeit und Erforderlichkeit der Daten sowie seine Weisungen verantwortlich. Er stellt insbesondere Rechtsgrundlage, Informationen, Einwilligungen soweit erforderlich, Löschkonzept und zulässige Empfänger sicher.

3.2 Dokumentierte Weisungen ergeben sich aus dem Hauptvertrag, diesem AVV, der vom Kunden gewählten Konfiguration und Nutzung des Dienstes sowie ergänzenden Weisungen in Textform. Weisungen dürfen Art, Zweck und Umfang des vereinbarten Dienstes nicht grundlegend ändern. Eine darüber hinausgehende Weisung kann eine gesonderte Vereinbarung und angemessene Vergütung erfordern.

3.3 Der Kunde darf keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO, Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10 DSGVO, vollständige Zahlungsinstrumentdaten, amtliche Geheimnisse oder andere gesetzlich besonders geschützte Daten in Maildroppa verarbeiten, sofern Maildroppa dies nicht vorher ausdrücklich in Textform für den konkreten Zweck freigegeben hat.

3.4 Der Kunde nutzt verfügbare Rollen-, Export-, Lösch-, Einwilligungs-, Tracking- und Integrationsfunktionen risikogerecht und schützt seine Konten, Domains, API-Schlüssel und Zugangsdaten.

4. Verarbeitung ausschließlich auf dokumentierte Weisung

4.1 Maildroppa verarbeitet Kunden-Personendaten ausschließlich auf dokumentierte Weisung des Kunden, einschließlich hinsichtlich einer Übermittlung in ein Drittland, soweit Maildroppa nicht durch Unionsrecht oder Recht eines Mitgliedstaats zur Verarbeitung verpflichtet ist. In diesem Fall informiert Maildroppa den Kunden vor der Verarbeitung über die gesetzliche Anforderung, sofern das Recht dies nicht aus wichtigen Gründen des öffentlichen Interesses verbietet.

4.2 Maildroppa verwendet Kunden-Personendaten nur zur Bereitstellung, Absicherung, Unterstützung und Beendigung des vereinbarten Dienstes sowie zur Ausführung zulässiger Weisungen. Kein Verkauf, keine fremde Werbung und kein Aufbau fremder Empfängerlisten ist erlaubt.

4.3 Hält Maildroppa eine Weisung für einen Verstoß gegen Datenschutzrecht, informiert Maildroppa den Kunden unverzüglich. Maildroppa darf die betroffene Weisung aussetzen, bis sie bestätigt, geändert oder von der zuständigen Stelle geklärt wurde. Die Parteien arbeiten in gutem Glauben an einer rechtmäßigen Alternative.

4.4 Innerhalb von Maildroppa dürfen nur Personen auf Kunden-Personendaten zugreifen, die den Zugriff für ihre Aufgabe benötigen. Diese Personen sind vor dem Zugriff auf Vertraulichkeit verpflichtet oder unterliegen einer angemessenen gesetzlichen Verschwiegenheitspflicht und erhalten Datenschutz- und Sicherheitsanweisungen.

5. Technische und organisatorische Maßnahmen

5.1 Maildroppa trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen gemäß Art. 28 Abs. 3 lit. c und Art. 32 DSGVO. Die Maßnahmen berücksichtigen Stand der Technik, Implementierungskosten, Art, Umfang, Umstände und Zwecke sowie Eintrittswahrscheinlichkeit und Schwere der Risiken.

5.2 Maildroppa darf einzelne Maßnahmen weiterentwickeln oder durch gleichwertige oder wirksamere Maßnahmen ersetzen. Das vereinbarte Gesamtschutzniveau darf nicht wesentlich abgesenkt werden. Wesentliche nachteilige Änderungen werden dem Kunden vorab mitgeteilt, soweit sie nicht zur Abwehr einer akuten Gefahr sofort erforderlich sind.

5.3 Der Kunde erkennt an, dass Sicherheit eine gemeinsame Verantwortung ist. Maildroppa ist nicht für Risiken verantwortlich, die allein durch unzulässige Kundeninhalte, unsichere Kundenendgeräte, weitergegebene Zugangsdaten, fehlkonfigurierte Kundenintegrationen oder Weisungen des Kunden entstehen; eigene gesetzliche und vertragliche Pflichten von Maildroppa bleiben unberührt.

6. Unterstützung bei Betroffenenrechten

6.1 Maildroppa unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung durch geeignete technische und organisatorische Maßnahmen dabei, Anträge nach Kapitel III DSGVO zu erfüllen. Dazu gehören insbesondere Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch und Informationen zu automatisierten Entscheidungen.

6.2 Soweit die angefragten Daten über Produktfunktionen zugänglich sind, bearbeitet der Kunde die Anfrage selbst. Für darüber hinaus erforderliche und verhältnismäßige Unterstützung stellt Maildroppa verfügbare Informationen bereit, berichtigt, exportiert, sperrt oder löscht Daten nach dokumentierter Weisung.

6.3 Erhält Maildroppa eine Anfrage einer betroffenen Person, die erkennbar Kunden-Personendaten betrifft, informiert Maildroppa den Kunden ohne unangemessene Verzögerung und beantwortet die Anfrage nicht inhaltlich, es sei denn, der Kunde weist dies an oder eine gesetzliche Pflicht besteht. Maildroppa darf der betroffenen Person bestätigen, dass die Anfrage an den Verantwortlichen weitergeleitet wurde.

6.4 Der Kunde übermittelt nur die Informationen, die zur sicheren Zuordnung und Ausführung erforderlich sind. Maildroppa darf bei offenkundig übermäßigen, wiederholten oder nicht von Standardfunktionen abgedeckten Unterstützungsleistungen angemessene, vorab mitgeteilte Kosten berechnen, soweit Art. 28 DSGVO dem nicht entgegensteht.

7. Unterstützung bei Compliance, Folgenabschätzung und Behörden

7.1 Maildroppa unterstützt den Kunden unter Berücksichtigung von Art und verfügbaren Informationen bei der Einhaltung der Art. 32 bis 36 DSGVO, insbesondere Sicherheit, Meldung und Benachrichtigung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung und vorherige Konsultation.

7.2 Maildroppa stellt auf angemessene Anfrage Informationen über Dienst, Datenflüsse, Maßnahmen, Unterauftragsverarbeiter und bekannte Risiken bereit, soweit der Kunde diese für seine Datenschutz-Folgenabschätzung benötigt und sie nicht bereits in Dokumentation oder Konto verfügbar sind.

7.3 Erhält Maildroppa eine verbindliche Behörden- oder Gerichtsanfrage zu Kunden-Personendaten, informiert Maildroppa den Kunden vor Offenlegung, sofern dies rechtlich zulässig ist. Maildroppa prüft Zuständigkeit und Umfang, legt nur das rechtlich Erforderliche offen und dokumentiert den Vorgang.

8. Verletzungen des Schutzes personenbezogener Daten

8.1 Maildroppa informiert den Kunden ohne unangemessene Verzögerung, nachdem Maildroppa Kenntnis von einer Verletzung des Schutzes von Kunden-Personendaten erlangt hat. Eine Erstmeldung darf schrittweise ergänzt werden und wird nicht bis zum Abschluss der Untersuchung verzögert.

8.2 Soweit verfügbar, enthält die Meldung:

Art der Verletzung einschließlich Kategorien und ungefährer Zahl betroffener Personen und Datensätze;
voraussichtliche Folgen;
ergriffene oder vorgeschlagene Eindämmungs- und Abhilfemaßnahmen;
Zeitpunkt oder Zeitraum und aktuellen Untersuchungsstand;
Kontaktstelle für Rückfragen.

8.3 Maildroppa ergreift unverzüglich angemessene Maßnahmen zur Eindämmung, Beweissicherung, Ursachenanalyse und Abhilfe, dokumentiert den Vorfall und stellt dem Kunden verfügbare Informationen bereit, die dieser für Art. 33 und 34 DSGVO benötigt.

8.4 Der Kunde bleibt für die Bewertung und gegebenenfalls Meldung an die Aufsichtsbehörde innerhalb von 72 Stunden nach eigener Kenntnis sowie die Benachrichtigung betroffener Personen verantwortlich. Eine Meldung von Maildroppa ist kein Anerkenntnis einer Pflichtverletzung oder Haftung.

8.5 Der Kunde informiert Maildroppa unverzüglich über Sicherheitsvorfälle in seiner Umgebung, die Kunden-Personendaten oder den Dienst betreffen können, und wirkt an der Abwehr mit.

9. Unterauftragsverarbeiter

9.1 Der Kunde erteilt Maildroppa eine allgemeine schriftliche Genehmigung, die in Anlage 3 aufgeführten Unterauftragsverarbeiter einzusetzen. Maildroppa bleibt gegenüber dem Kunden für die Erfüllung der Pflichten eines Unterauftragsverarbeiters nach Art. 28 Abs. 4 DSGVO verantwortlich.

9.2 Maildroppa verpflichtet jeden Unterauftragsverarbeiter durch einen Vertrag zu Datenschutzpflichten, die hinsichtlich der betroffenen Leistung im Wesentlichen dasselbe Schutzniveau wie dieser AVV gewährleisten, insbesondere Weisungsbindung, Vertraulichkeit, Sicherheit, Unterstützung, Löschung und Kontrollrechte.

9.3 Über die beabsichtigte Hinzufügung oder Ersetzung eines Unterauftragsverarbeiters informiert Maildroppa den Kunden grundsätzlich mindestens 30 Tage vor dessen Einsatz an die im Konto hinterlegte geschäftliche E-Mail-Adresse und veröffentlicht die datierte Änderung in der Unterauftragsverarbeiterliste. Bei einem dringenden Sicherheits- oder Verfügbarkeitsbedarf darf die Frist kürzer sein; Maildroppa erläutert den Grund und informiert so früh wie möglich.

9.4 Der Kunde kann innerhalb der angekündigten Frist aus konkreten, nachvollziehbaren Datenschutzgründen widersprechen. Die Parteien suchen eine zumutbare Lösung, etwa eine Konfigurationsänderung. Ist keine Lösung möglich und der Einwand berechtigt, kann der Kunde den Hauptvertrag vor Einsatz des neuen Unterauftragsverarbeiters ohne Zusatzkosten außerordentlich kündigen. Ein Widerspruch aus rein wirtschaftlichen oder wettbewerblichen Gründen genügt nicht.

9.5 Nebenleistungen, die keine Kunden-Personendaten verarbeiten, sowie vom Kunden selbst verbundene Empfänger oder Integrationen auf dessen Weisung sind keine Unterauftragsverarbeiter von Maildroppa. Das gilt insbesondere, wenn der Kunde ein eigenes Konto beim Drittanbieter verbindet und diesen selbst beauftragt.

10. Drittlandübermittlungen

10.1 Maildroppa übermittelt Kunden-Personendaten außerhalb des Europäischen Wirtschaftsraums nur auf dokumentierte Weisung und unter Einhaltung von Kapitel V DSGVO.

10.2 Soweit kein Angemessenheitsbeschluss gilt, schließt Maildroppa mit dem Datenimporteur die einschlägigen Standardvertragsklauseln der Europäischen Kommission in der jeweils gültigen Fassung. Ist der Kunde Verantwortlicher, gilt grundsätzlich Modul 2; ist der Kunde Auftragsverarbeiter, grundsätzlich Modul 3. Die Angaben dieses AVV und seiner Anlagen vervollständigen die entsprechenden Anhänge der Standardvertragsklauseln.

10.3 Soweit ein Anbieter wirksam unter dem EU-US Data Privacy Framework zertifiziert ist und die betroffene Datenart umfasst, kann der Angemessenheitsbeschluss als Grundlage verwendet werden. Maildroppa überwacht die maßgebliche Zertifizierung in angemessenen Abständen und hält eine alternative Grundlage bereit, wenn dies für die Fortsetzung der Übermittlung erforderlich ist.

10.4 Maildroppa dokumentiert bei Bedarf eine Transfer-Folgenabschätzung und setzt unter Berücksichtigung der Rechtslage, Zugriffsmöglichkeiten und Datenrisiken ergänzende technische, vertragliche oder organisatorische Maßnahmen ein. Der Kunde stellt für die Bewertung seiner eigenen Weisungen erforderliche Informationen bereit.

11. Rückgabe und Löschung

11.1 Während der Vertragslaufzeit kann der Kunde verfügbare Export- und Löschfunktionen nutzen. Vor Vertragsende kann er die Rückgabe operativer Kunden-Personendaten in einem verfügbaren, gängigen und maschinenlesbaren Format verlangen.

11.2 Nach Abschluss der Leistungen löscht Maildroppa alle Kunden-Personendaten und vorhandenen Kopien ohne unangemessene Verzögerung, sofern der Kunde nicht vorher Rückgabe verlangt oder Unionsrecht bzw. Recht eines Mitgliedstaats eine weitere Speicherung verlangt. Die Löschung beginnt, sobald eine vereinbarte Rückgabe abgeschlossen ist. Maildroppa bestätigt die Löschung auf Anfrage in Textform.

11.3 In zugriffsbeschränkten Sicherungskopien verbliebene Daten werden nicht für neue Produktivzwecke verwendet und mit dem dokumentierten regulären Sicherungszyklus überschrieben. Bis dahin bleiben sie gegen regulären Zugriff gesperrt. Soweit eine Sicherung zur Wiederherstellung verwendet wird, wendet Maildroppa offene Löschungen, Widersprüche und Einschränkungen unverzüglich erneut an.

11.4 Gesetzlich aufzubewahrende Daten und minimale, für Sicherheit, Missbrauchsabwehr oder dauerhafte Beachtung von Abmeldungen zwingend erforderliche Informationen werden isoliert, zugriffsbeschränkt und ausschließlich für diesen Zweck gespeichert und nach Wegfall gelöscht. Maildroppa informiert den Kunden über die Kategorie und Rechtsgrundlage, soweit dies nicht bereits dokumentiert ist.

12. Nachweise und Kontrollen

12.1 Maildroppa stellt dem Kunden alle Informationen zur Verfügung, die erforderlich sind, um die Einhaltung von Art. 28 DSGVO und diesem AVV nachzuweisen. Dazu können aktuelle TOMs, Unterauftragsverarbeiter- und Transferinformationen, geeignete Zertifikate, Prüfberichte, Fragebögen und Löschbestätigungen gehören.

12.2 Reichen diese Unterlagen zur Klärung eines begründeten Risikos nicht aus, darf der Kunde selbst oder durch einen unabhängigen, fachkundigen und zur Vertraulichkeit verpflichteten Prüfer eine Kontrolle durchführen. Kontrollen erfolgen grundsätzlich höchstens einmal pro zwölf Monate, mit mindestens 30 Tagen Vorankündigung, während üblicher Geschäftszeiten und ohne vermeidbare Beeinträchtigung anderer Kunden oder der Sicherheit.

12.3 Eine zusätzliche oder kurzfristigere Kontrolle ist zulässig, wenn eine Datenschutzverletzung, konkrete erhebliche Zweifel oder eine Anordnung der Aufsichtsbehörde dies rechtfertigen. Maildroppa darf besonders sensible Sicherheitsinformationen durch eine geeignete Drittprüfung zugänglich machen und Zugang zu Daten anderer Kunden, Quellcode, Schwachstellen oder Geschäftsgeheimnissen begrenzen, soweit der Prüfzweck dennoch erreicht wird.

12.4 Jede Partei trägt ihre eigenen Kosten. Verursacht eine Kontrolle erheblichen Aufwand außerhalb gesetzlicher Pflichten oder weist sie keinen wesentlichen Verstoß von Maildroppa nach, darf Maildroppa vorher vereinbarte angemessene Kosten berechnen. Bei einem wesentlichen Verstoß von Maildroppa trägt Maildroppa die angemessenen Prüfungskosten und behebt den Verstoß ohne unangemessene Verzögerung.

12.5 Maildroppa führt ein Verzeichnis der Kategorien von Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO und arbeitet auf Anfrage mit der zuständigen Aufsichtsbehörde zusammen.

13. Haftung

13.1 Für die Haftung zwischen den Parteien gelten Art. 82 DSGVO, sonstiges zwingendes Datenschutzrecht und die wirksamen Haftungsregeln des Hauptvertrags. Keine Bestimmung dieses AVV beschränkt Rechte betroffener Personen oder Befugnisse einer Aufsichtsbehörde.

13.2 Jede Partei haftet im Innenverhältnis für Schäden und Kosten, soweit sie diese durch eine von ihr zu vertretende Verletzung dieses AVV, ihrer gesetzlichen Pflichten oder ihrer rechtmäßigen Verantwortungsbereiche verursacht hat. Gesetzliche Rückgriffsrechte bleiben unberührt.

14. Beendigung bei Datenschutzverstoß

14.1 Verletzt Maildroppa wesentliche Pflichten dieses AVV, kann der Kunde die betroffene Verarbeitung bis zur Behebung aussetzen. Behebt Maildroppa einen erheblichen Verstoß nicht innerhalb einer angemessenen Frist oder ist eine Behebung unmöglich, kann der Kunde die betroffene Leistung außerordentlich kündigen.

14.2 Maildroppa darf eine rechtswidrige Weisung nach Ziffer 4.3 aussetzen. Kann keine rechtmäßige Alternative gefunden werden und würde eine Fortsetzung gegen Datenschutzrecht verstoßen, darf Maildroppa die betroffene Verarbeitung kündigen. Rückgabe-, Lösch- und Nachweispflichten bleiben bestehen.

15. Schlussbestimmungen

15.1 Änderungen dieses AVV werden in Textform vereinbart oder im nachweisbaren elektronischen Verfahren wirksam einbezogen. Eine Aktualisierung der Anlagen ist zulässig, soweit sie tatsächliche Verarbeitungen abbildet, das Schutzniveau nicht wesentlich senkt und die Informations- und Widerspruchsrechte dieses AVV eingehalten werden.

15.2 Sollte eine Bestimmung unwirksam sein, bleiben die übrigen Bestimmungen wirksam; die gesetzlichen Regelungen treten an ihre Stelle.

15.3 Es gelten deutsches Recht und die Gerichtsstandsregel des Hauptvertrags, soweit zwingendes Datenschutzrecht nichts anderes verlangt.

Anlage 1 – Beschreibung der Auftragsverarbeitung

1. Gegenstand und Zweck

Bereitstellung des cloudbasierten Maildroppa-Dienstes für erlaubnisbasiertes E-Mail-Marketing, insbesondere Kontakt- und Listenverwaltung, Formulare und Signup Flows, Kampagnen, Vorlagen, Automationen, Versand, Zustell- und Interaktionsberichte, Dateien, Integrationen, Exporte, Support, Sicherheit, Sicherung und vertragsgemäße Löschung.

2. Dauer

Für die Laufzeit des Hauptvertrags einschließlich der in Ziffer 11 geregelten Rückgabe-, Lösch- und Backup-Auslaufphase.

3. Art der Verarbeitung

Erheben über Kundenformulare, Erfassen, Ordnen, Strukturieren, Speichern, Anpassen, Segmentieren, Abgleichen, Auslesen, Anzeigen, Importieren, Exportieren, Übermitteln, Versand, Protokollieren, Analysieren, Einschränken, Sichern und Löschen nach Kundenweisung.

4. Kategorien betroffener Personen

Abonnenten, Interessenten, Leads, Kunden und sonstige geschäftliche Kontakte des Kunden;
Besucher und Eintragende auf vom Kunden bereitgestellten Formularen und Landingpages;
Empfänger von Kampagnen, Automationen und transaktionalen Nachrichten des Kunden;
sonstige Personen, deren Daten der Kunde zulässigerweise in den Dienst einstellt.

5. Kategorien personenbezogener Daten

Stamm- und Kontaktdaten: Name, E-Mail-Adresse und vom Kunden angegebene geschäftliche Kontaktangaben;
vom Kunden definierte Profilfelder, Tags, Segmente, Listen- und Zielgruppenzuordnungen;
Einwilligungs-, Herkunfts- und Nachweisdaten: Signup-Quelle, Formular, Einwilligungstext, Zeitpunkte, Bestätigungs- und Abmeldestatus, IP-/Browser-Metadaten soweit aktiviert und zulässig;
technische Formular- und Missbrauchsdaten: Bildschirmmaße, Browser- und Betriebssystemversion, daraus abgeleitete Gerätekennung, IP-/Requestdaten sowie ein im Browser gespeicherter letzter Popup-Anzeigezeitpunkt, soweit der Kunde den Formular-Loader entsprechend einbindet;
Kampagnen-, Formular-, Automations-, Vorlagen- und Nachrichteninhalte;
Versand- und Interaktionsdaten: Zustellstatus, Öffnungs- und Klickereignisse soweit aktiviert und zulässig, Bounces, Beschwerden, Abmeldungen und Suppressionen;
technische Daten: IP-Adresse, Geräte-, Browser-, Request-, Sicherheits-, Protokoll- und Fehlerdaten;
Dateien, Anhänge und Inhalte, die der Kunde hochlädt;
Integrations-, Import-, Export- und Supportdaten einschließlich fremder Kennungen, soweit der Kunde sie übermittelt.

6. Besondere Daten

Die Verarbeitung besonderer Kategorien nach Art. 9 DSGVO und Daten nach Art. 10 DSGVO ist nicht geschuldet und nach diesem AVV untersagt, sofern sie nicht vorher ausdrücklich in Textform für einen bestimmten Zweck samt zusätzlicher Schutzmaßnahmen vereinbart wurde.

7. Häufigkeit und Umfang

Fortlaufend und in dem Umfang, den Nutzung, Konfiguration, Empfängerzahl, Tarif und Weisungen des Kunden bestimmen.

8. Pflichten und Rechte des Kunden

Die Rechte und Pflichten des Kunden ergeben sich aus diesem AVV, dem Hauptvertrag und dem anwendbaren Datenschutzrecht. Der Kunde entscheidet insbesondere über Zwecke, Rechtsgrundlagen, Datenkategorien, Empfänger, Konfiguration, Speicherdauer und Betroffenenrechte.

Anlage 2 – Technische und organisatorische Maßnahmen

Maildroppa hält für Kunden-Personendaten insbesondere die folgenden Maßnahmen aufrecht. Die konkrete Ausgestaltung kann sich mit dem Stand der Technik ändern, ohne das Gesamtschutzniveau wesentlich zu senken.

1. Organisation und Governance

dokumentierte Verantwortlichkeiten für Datenschutz, Sicherheit und Vorfallbearbeitung;
Verpflichtung zugriffsberechtigter Personen auf Vertraulichkeit;
rollen- und aufgabenbezogene Datenschutz- und Sicherheitsunterweisung;
geregelte Aufnahme, Änderung und Entziehung interner Zugriffsrechte;
dokumentierte Prüfung von Dienstleistern und Abschluss erforderlicher AV-Verträge;
Verfahren für Betroffenenanfragen, Weisungen, Löschungen und Behördenanfragen.

2. Zugangs- und Zugriffskontrolle

authentifizierte Konten über Auth0/Okta und rollenbeschränkte Produkt- und Administrationsschnittstellen;
individuelle interne Zugänge nach Erforderlichkeit und dem Prinzip geringster Berechtigung;
Schutz privilegierter Zugänge und technischer Geheimnisse; keine Speicherung von Passwörtern im Klartext durch Maildroppa;
Protokollierung sicherheitsrelevanter Konto- und Administrationsvorgänge;
anlass- und risikobezogene Überprüfung und unverzügliche Entziehung nicht mehr erforderlicher Berechtigungen.

3. Übertragungs- und Kommunikationssicherheit

verschlüsselte Übertragung über aktuelle HTTPS/TLS-Verbindungen;
geschützte APIs und Webhooks mit Authentifizierung bzw. signatur- oder geheimnisbasierten Verfahren, soweit technisch vorgesehen;
Domain- und Absenderprüfungen sowie Unterstützung üblicher E-Mail-Authentifizierungsverfahren;
Schutz vor missbräuchlichen Requests durch Proxy-, Netzwerk-, Rate-Limit- und Sicherheitskontrollen.

4. Mandanten- und Zwecktrennung

logische Zuordnung von Daten und Zugriffen zu Kundenkonten;
serverseitige Autorisierungsprüfung für kontobezogene Ressourcen;
getrennte Rollen und Zwecke für Betrieb, Support, Abrechnung und Kundenverarbeitung;
keine Nutzung von Kunden-Personendaten für fremde Werbung oder Listenhandel.

5. Verfügbarkeit, Belastbarkeit und Wiederherstellung

Betrieb der Kernanwendung auf kontrollierter Infrastruktur in Deutschland und Speicherung von Objektdaten primär in der EU;
Schutzmechanismen gegen Netzwerkangriffe und missbräuchliche Last;
überwachte Dienste, Fehlererfassung und geregelte Eskalation;
zugriffsbeschränkte Sicherungskopien nach dokumentiertem Zeitplan;
kontrolliertes Wiederherstellungsverfahren;
erneute Durchsetzung offener Löschungen und Einschränkungen nach einer Wiederherstellung.

6. Integrität und sichere Verarbeitung

technische Typ-, Größen- und Zugriffsprüfung für unterstützte Uploads;
kontrollierte Softwarebereitstellung, Abhängigkeits- und Schwachstellenbehandlung;
Fehler- und Sicherheitsprotokollierung unter Datenminimierung;
Schutz vor unbefugter Veränderung durch Zugriffs- und Berechtigungskontrollen;
nachvollziehbare Bounce-, Beschwerde-, Abmelde- und Suppressionsverarbeitung.

7. Datenschutz durch Technikgestaltung

Pflichtfelder und Verarbeitung werden auf den erforderlichen Zweck begrenzt; zusätzliche Kundenfelder sind konfigurierbar;
Export-, Berichtigungs-, Lösch- und Suppressionsfunktionen unterstützen Betroffenenprozesse;
Einwilligungs- und Signup-Abläufe können Text, Quelle und relevante Zeitpunkte dokumentieren;
Öffnungs- und Klickmessung wird transparent konfigurierbar dargestellt, soweit die Produktfunktion betroffen ist;
Fehler- und Analysedaten werden soweit möglich pseudonymisiert oder minimiert.

8. Löschung und Aufbewahrung

produktive Löschabläufe für Kontaktdaten, Kampagnen, Automationen, Formulare, Dateien und zugehörige Kundendaten;
Trennung gesetzlich aufzubewahrender Rechnungsdaten von operativen Kundendaten;
begrenzte Suppressions- und Sicherheitsinformationen werden nur für den jeweiligen Schutzweck verwendet;
operative Löschung ohne unangemessene Verzögerung nach Leistungsende und Abschluss einer vereinbarten Rückgabe; Backup-Auslauf nach dem dokumentierten Sicherungszyklus;
Löschung bzw. Rückgabe wird auf Anfrage dokumentiert.

9. Vorfallmanagement und Kontrolle

dokumentierter Prozess für Erkennung, Einstufung, Eindämmung, Untersuchung, Abhilfe und Nachbereitung;
unverzügliche Kundeninformation nach Kenntnis einer Verletzung von Kunden-Personendaten;
Erfassung von Zeitlinie, betroffenen Systemen und Daten, Maßnahmen und verfügbarer Auswirkung;
Aufbewahrung von Beweisen unter Zugriffsbeschränkung;
regelmäßige Bewertung der Wirksamkeit der Maßnahmen und risikobezogene Anpassung.

Anlage 3 – Genehmigte Unterauftragsverarbeiter und Transfers

Die folgende Liste gilt für die Bereitstellung der jeweiligen Funktionen. Nicht jeder Dienst verarbeitet bei jedem Kunden dieselben Daten. Maildroppa prüft Rechtsträger, Region und Transfergrundlage vor dem ersten Einsatz und danach bei jeder wesentlichen Änderung anhand des tatsächlich abgeschlossenen Vertrags.

Unterauftragsverarbeiter	Leistung und mögliche Daten	Primärer Ort	Drittlandgrundlage, soweit erforderlich
Hetzner Online GmbH, Deutschland	Kernhosting, Rechenleistung, Datenbank, Netzwerk; alle für den Dienst erforderlichen Kunden-Personendaten	Deutschland	keine Drittlandübermittlung für den regulären EWR-Betrieb
Cloudflare, Inc., USA, und vertraglich eingebundene Gesellschaften	DNS, Proxy, CDN, WAF, DDoS- und Sicherheitsfunktionen; IP-, Request-, Domain-, Verkehrs- und bei Proxy-Verarbeitung übertragene Inhaltsdaten	EU und globale Edge-Standorte, möglicher Zugriff USA	EU-US Data Privacy Framework für zertifizierte US-Empfänger und/oder Standardvertragsklauseln plus ergänzende Maßnahmen
Amazon Web Services EMEA SARL, Luxemburg, und vertraglich eingebundene AWS-Gesellschaften	Objektspeicherung und technische Cloud-Dienste; Dateien, Vorlagen und zugehörige Metadaten	primär Frankfurt, Deutschland (`eu-central-1`); möglicher globaler Supportzugriff	Angemessenheitsbeschluss, soweit anwendbar, andernfalls Standardvertragsklauseln plus ergänzende Maßnahmen
Bird B.V., Niederlande, einschließlich SparkPost-E-Mail-Plattform und verbundener Leistungsgesellschaften	E-Mail-Übermittlung, Zustellereignisse, Bounces und Beschwerden; Empfängeradresse, Absender, Nachrichteninhalt und Versandmetadaten	technisch konfigurierter SparkPost-EU-Endpunkt; möglicher Support- oder Konzernzugriff außerhalb des EWR	für Drittlandzugriffe EU-US Data Privacy Framework, soweit anwendbar, und/oder Standardvertragsklauseln plus ergänzende Maßnahmen
Okta, Inc., USA, und vertraglich eingebundene Auth0-/Okta-Gesellschaften	Authentifizierung und Kontozugriff; Kontonutzer, Login-Kennung, E-Mail, Sicherheits- und Sitzungsmetadaten	EU-Region soweit aktiviert; möglicher Zugriff USA	EU-US Data Privacy Framework für zertifizierte Empfänger und/oder Standardvertragsklauseln plus ergänzende Maßnahmen
SmartBear Software, Inc., USA, und verbundene Gesellschaften (Bugsnag)	Fehlerdiagnose und Betriebsüberwachung; pseudonyme Konto-/Nutzerkennung, Fehler-, Geräte-, Request- und Release-Metadaten	gemäß gebuchter Bugsnag-Region, möglicher Zugriff USA	EU-US Data Privacy Framework für zertifizierte Empfänger und/oder Standardvertragsklauseln plus ergänzende Maßnahmen

Auth0/Okta ist in dieser Anlage nur erfasst, soweit der Anbieter im konkreten Datenfluss Kunden-Personendaten im Auftrag verarbeitet. Die von Maildroppa für eigene Vertrags-, Konto- und Authentifizierungszwecke verantwortete Verarbeitung von Kontonutzer-Daten richtet sich nach der Datenschutzerklärung und fällt nicht unter diesen AVV.

Änderungsmitteilungen

Maildroppa informiert Kunden an die im Konto hinterlegte geschäftliche E-Mail-Adresse und veröffentlicht eine datierte Fassung dieser Liste. Die Mitteilung nennt Anbieter, Zweck, Ort, Transfergrundlage und vorgesehenes Einsatzdatum. Das Widerspruchsverfahren richtet sich nach Ziffer 9.

Vom Kunden gesteuerte Integrationen

Zapier, Make und andere vom Kunden selbst verbundene Dienste sind nicht automatisch Unterauftragsverarbeiter von Maildroppa. Soweit Maildroppa Daten auf Weisung an eine solche Integration übermittelt, ist der Kunde für die Empfängerauswahl, Berechtigung, Datenschutzinformationen, Verträge und Drittlandgrundlagen verantwortlich.