Auftragsverarbeitungsvertrag

Version: 1.4 · Gültig ab: 3. November 2026

Dieser Auftragsverarbeitungsvertrag („AVV“) wird geschlossen zwischen dem Geschäftskunden, der die Mailistix-Nutzungsbedingungen (die „Nutzungsbedingungen“) angenommen hat („Kunde“, „Sie“, „Ihr“), und der Mailistix UG (haftungsbeschränkt), Kolonnenstr. 8, 10827 Berlin, Deutschland, eingetragen im Handelsregister des Amtsgerichts Charlottenburg (Berlin) unter HRB 291268 B („Mailistix“, „wir“, „uns“, „unser“). Er legt fest, wie wir personenbezogene Daten in Ihrem Auftrag verarbeiten, wenn Sie den Mailistix-Dienst nutzen, wie es Art. 28 DSGVO, die UK GDPR und das schweizerische revDSG verlangen. Die aktuelle Fassung wird unter https://mailistix.com/legal/dpa veröffentlicht.

Kurz gefasst (nur zur Orientierung; maßgeblich sind die nachstehenden Abschnitte):

• Ihre E-Mails bleiben bei Ihren Postfachanbietern (zum Beispiel Google oder Microsoft) und, als lokale Kopie, auf Ihren Geräten. Auf diese Kopie haben wir keinen Zugriff. Dieser AVV erfasst nur das, was durch unsere Cloud-Dienste läuft oder in ihnen aufbewahrt wird.
• E-Mail-Inhalte erreichen unsere Cloud-Dienste nur, wenn einer Ihrer Nutzer eine KI-Funktion nutzt, einschließlich des Lernens aus Änderungen nach dem Senden eines geänderten KI-Entwurfs. Wir geben sie an unsere KI-Anbieter weiter, liefern das Ergebnis zurück und speichern den Inhalt nicht.
• In Ihrem Auftrag speichern unsere Server nur einige technische Aufzeichnungen: Push-Benachrichtigungsaufzeichnungen (7 Tage), Watch-Registrierungen für Postfächer (solange ein Postfach verbunden ist) und Support-Uploads (30 Tage). Support-E-Mails und Nachrichten aus dem Kontaktformular bleiben 2 Jahre nach der letzten Nachricht in unserem Postfach.
• Sie sind der Verantwortliche, und wir sind Ihr Auftragsverarbeiter. Für die Konten Ihrer Nutzer, Abrechnung, Sicherheit und optionale Telemetrie sind wir nach unserer Datenschutzerklärung eigenständiger Verantwortlicher.
• Unsere Unterauftragsverarbeiter sind in Anlage 3 aufgeführt. Wir kündigen 14 Tage vor dem Hinzufügen eines weiteren an, und Sie können widersprechen.

1. Abschluss, Anwendungsbereich und Rangfolge

1.1 Abschluss. Dieser AVV ist Bestandteil der Nutzungsbedingungen. Er gilt automatisch und ohne Unterschrift für jeden Geschäftskunden, der die Nutzungsbedingungen annimmt, ab dem Zeitpunkt der Annahme oder ab dem oben genannten Gültigkeitsdatum, je nachdem, welcher Zeitpunkt später liegt. Er wird in elektronischer Form geschlossen, was dem Schriftformerfordernis des Art. 28 Abs. 9 DSGVO genügt. Nimmt ein Berechtigter Nutzer die Nutzungsbedingungen in der Software an, zeichnen wir die angenommene Version der Nutzungsbedingungen und dieses AVV, den Zeitpunkt der Annahme auf unserem Server, ob sie bei der Registrierung oder in einer späteren Aufforderung erteilt wurde, und die Version der Software auf (Abschnitt 1.8 der Nutzungsbedingungen); unter Einstellungen › Rechtliches wird angezeigt, seit wann die aktuelle Version dieses AVV gilt. Sie können diesen AVV jederzeit unter der oben genannten Adresse und unter Einstellungen › Rechtliches abrufen und speichern, und wir halten frühere Fassungen bereit. Benötigen Sie für Ihre Unterlagen eine von uns unterzeichnete Kopie, schreiben Sie an legal@mailistix.com, und wir senden Ihnen diesen AVV von uns unterzeichnet zu. Eine unterzeichnete Kopie ändert den Inhalt dieses AVV nicht.

1.2 Berechtigte Nutzer. Sie nutzen den Dienst über die natürlichen Personen, die Konten innehaben und sie für Ihre geschäftlichen Zwecke nutzen, wie Ihre Mitarbeiter und Auftragnehmer („Berechtigte Nutzer“). Jedes Konto ist für eine natürliche Person bestimmt (siehe die EULA). Die Person, die die Nutzungsbedingungen für Sie annimmt, bestätigt, dass sie befugt ist, Sie rechtsverbindlich zu vertreten. Sie sind dafür verantwortlich, dass Ihre Berechtigten Nutzer diesen AVV einhalten. Der Dienst kennt keine Organisationskonten: Bitte teilen Sie uns per E-Mail an legal@mailistix.com mit, welche Konten Ihnen gehören und wen wir nach diesem AVV benachrichtigen sollen (Abschnitt 17.6).

1.3 Anwendungsbereich. Dieser AVV gilt für die Verarbeitung personenbezogener Kundendaten durch uns in Ihrem Auftrag in den Cloud-Diensten. Er gilt nicht für:

(a) die Verarbeitung durch die Software auf Ihren Geräten (Abschnitt 3); oder

(b) Verarbeitungen, für die wir eigenständiger Verantwortlicher sind (Abschnitt 2.4).

1.4 Rangfolge. Widerspricht dieser AVV Teil I der Nutzungsbedingungen, der EULA oder der Richtlinie zur zulässigen Nutzung, geht dieser AVV vor, soweit es um die Verarbeitung personenbezogener Kundendaten geht. Die Regionalen Bedingungen behalten den Vorrang, den ihnen die Nutzungsbedingungen geben. Soweit die Standardvertragsklauseln Anwendung finden (Abschnitt 12), gehen sie diesem AVV und den Nutzungsbedingungen vor. Nichts in diesem AVV oder in den Nutzungsbedingungen beschränkt die Rechte, die betroffene Personen oder Aufsichtsbehörden nach den Standardvertragsklauseln oder den Datenschutzgesetzen haben.

1.5 Verwendete Begriffe. Großgeschriebene Begriffe, die in diesem AVV nicht definiert sind, haben die ihnen in den Nutzungsbedingungen zugewiesene Bedeutung.

2. Begriffsbestimmungen und Rollen

2.1 Begriffsbestimmungen. In diesem AVV bedeutet:

• „Datenschutzgesetze“ alle Gesetze zum Schutz personenbezogener Daten, die auf die Verarbeitung nach diesem AVV Anwendung finden, insbesondere die DSGVO, das Bundesdatenschutzgesetz (BDSG), die UK GDPR, das revDSG und, soweit anwendbar, die in Abschnitt 16 genannten Gesetze der US-Bundesstaaten.
• „DSGVO“ die Verordnung (EU) 2016/679.
• „UK GDPR“ die DSGVO, wie sie Teil des Rechts des Vereinigten Königreichs ist, in Verbindung mit dem Data Protection Act 2018 in seiner jeweils geltenden Fassung, auch in der Fassung des Data (Use and Access) Act 2025.
• „revDSG“ das schweizerische Bundesgesetz über den Datenschutz vom 25. September 2020 und seine Verordnungen.
• „Datenverordnung“ die Verordnung (EU) 2023/2854 (die EU-Datenverordnung).
• „personenbezogene Kundendaten“ personenbezogene Daten, die in Kundeninhalten enthalten sind und die wir in Ihrem Auftrag in den Cloud-Diensten verarbeiten, um den Dienst zu erbringen, wie in Anlage 1 beschrieben.
• „Unterauftragsverarbeiter“ einen von uns eingesetzten Auftragsverarbeiter, der personenbezogene Kundendaten verarbeitet.
• „Verletzung des Schutzes personenbezogener Daten“ eine Verletzung der Sicherheit, die, ob unbeabsichtigt oder unrechtmäßig, zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Kundendaten führt, die von uns oder unseren Unterauftragsverarbeitern übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden.
• „Standardvertragsklauseln“ die Standardvertragsklauseln im Anhang des Durchführungsbeschlusses (EU) 2021/914 der Kommission vom 4. Juni 2021.
• „UK-Addendum“ das vom Information Commissioner des Vereinigten Königreichs herausgegebene International Data Transfer Addendum to the EU Commission Standard Contractual Clauses, Version B1.0, in Kraft seit dem 21. März 2022, in der vom Information Commissioner nach Section 18 seiner Mandatory Clauses überarbeiteten Fassung.
• „Beschränkte Übermittlung“ eine Übermittlung personenbezogener Kundendaten in ein Land außerhalb des EWR, des Vereinigten Königreichs oder der Schweiz (je nach Fall), für die nach den Datenschutzgesetzen geeignete Garantien erforderlich sind, weil sie von keinem Angemessenheitsbeschluss und keiner Angemessenheitsverordnung abgedeckt ist.
• „Verantwortlicher“, „Auftragsverarbeiter“, „betroffene Person“, „personenbezogene Daten“, „Verarbeitung“ und „Aufsichtsbehörde“ haben die in der DSGVO angegebene Bedeutung. Nach anderen Datenschutzgesetzen umfassen sie die entsprechenden Begriffe (zum Beispiel „Business“ und „Service Provider“).

2.2 Sie als Verantwortlicher. Für personenbezogene Kundendaten sind Sie der Verantwortliche, und wir sind Ihr Auftragsverarbeiter.

2.3 Sie als Auftragsverarbeiter. Verarbeiten Sie personenbezogene Kundendaten im Auftrag eines anderen Verantwortlichen (zum Beispiel eines Ihrer Auftraggeber), sind Sie Auftragsverarbeiter, und wir sind Ihr Unterauftragsverarbeiter. In diesem Fall:

(a) bestätigen Sie, dass der andere Verantwortliche die Verarbeitung nach diesem AVV genehmigt hat, einschließlich des Einsatzes von uns und unserer Unterauftragsverarbeiter;

(b) sind Sie der einzige Ansprechpartner des anderen Verantwortlichen bei uns; Sie geben dessen Weisungen und Anfragen weiter, und wir nehmen Weisungen nur von Ihnen entgegen;

(c) geben Sie unsere Mitteilungen und Informationen nach diesem AVV bei Bedarf an den anderen Verantwortlichen weiter; und

(d) übt der andere Verantwortliche seine Informations- und Prüfrechte nach Abschnitt 11 über Sie aus; und

(e) stellen Sie sicher, dass dieser AVV uns die Datenschutzpflichten auferlegt, die Ihr Vertrag mit dem anderen Verantwortlichen für einen Unterauftragsverarbeiter verlangt (Art. 28 Abs. 4 DSGVO).

2.4 Unsere eigene Verarbeitung als Verantwortlicher. Wir verarbeiten einige personenbezogene Daten Ihrer Berechtigten Nutzer als eigenständiger Verantwortlicher, nach unserer Datenschutzerklärung und nicht nach diesem AVV, nämlich für:

(a) das Konto, die Anmeldung und die Authentifizierung;

(b) Tarife, Credits und die Abrechnung; Zahlungen werden von Polar Software, Inc. als Merchant of Record (Verkäufer im eigenen Namen) abgewickelt, die als eigenständiger Verantwortlicher handelt und die E-Mail-Adresse und Mailistix-Nutzerkennung des Berechtigten Nutzers (und beim Bezahlvorgang die IP-Adresse) erhält;

(c) Nutzungsmetadaten von KI-Anfragen (Funktion, Modell, Token-Anzahlen, Credits, Zeitpunkt, Erfolg oder Fehler, ohne jeden Inhalt) zur Abrechnung, Kostenkontrolle und Sicherheit;

(d) Sicherheit, Ratenbegrenzung sowie die Verhinderung und Untersuchung von Missbrauch;

(e) optionale Nutzungsanalysen und Absturzberichte, nur mit dem Opt-in des Berechtigten Nutzers;

(f) Einwilligungsnachweise, den Nachweis der Annahme der Nutzungsbedingungen und dieses AVV (Abschnitt 1.1), die Regionseinstellung, App-Updates und unsere Kommunikation mit Berechtigten Nutzern, einschließlich Support (außer personenbezogenen Kundendaten in Support-Uploads und Supportnachrichten, die wir nach diesem AVV verarbeiten); und

(g) die Einhaltung unserer rechtlichen Verpflichtungen.

Verlangen die Datenschutzgesetze von Ihnen, Ihre Berechtigten Nutzer über diese Verarbeitung zu informieren, können Sie sie auf die Datenschutzerklärung verweisen.

3. Daten auf Ihren Geräten

3.1 Lokale Verarbeitung unter Ihrer Kontrolle. Die Software speichert Postfachdaten und andere Kundeninhalte auf den Geräten, auf denen Ihre Berechtigten Nutzer sie installieren, in einer verschlüsselten Datenbank, deren Schlüssel vom Zugangsdatenspeicher des Betriebssystems geschützt wird. Die Software synchronisiert E-Mails direkt zwischen dem Gerät und dem Verbundenen Postfach. Diese Verarbeitung findet auf Ihren Geräten unter der alleinigen Kontrolle von Ihnen und Ihren Berechtigten Nutzern statt. Wir haben keinen Zugriff auf die lokale Datenbank, ihren Schlüssel, die auf dem Gerät gespeicherten Postfach-Tokens oder die darin enthaltenen E-Mails. Wir erhalten keine Kopien davon und verarbeiten sie nicht in Ihrem Auftrag. Die Bereitstellung der Software macht uns für diese Daten nicht zu Ihrem Auftragsverarbeiter.

3.2 Postfachanbieter. Ihre Postfachanbieter (Google, Microsoft oder der Anbieter eines über IMAP verbundenen Postfachs) stellen Ihre Verbundenen Postfächer nach Ihren eigenen Verträgen mit ihnen bereit. Sie sind nicht unsere Unterauftragsverarbeiter. Dies gilt auch, wenn Google oder Microsoft den Postfachzugriff über OAuth autorisieren und wenn Microsoft Änderungsbenachrichtigungen zu Ihrem Postfach an unsere Serverfunktion sendet.

3.3 Wenn Daten das Gerät verlassen. Personenbezogene Kundendaten erreichen die Cloud-Dienste nur in den in Anlage 1 aufgeführten Situationen, die jeweils von einem Berechtigten Nutzer oder von einem Postfach ausgelöst werden, das ein Berechtigter Nutzer verbunden hat: Nutzung einer KI-Funktion (einschließlich des Lernens aus Änderungen, nachdem ein Berechtigter Nutzer einen geänderten KI-Entwurf sendet), Verbinden eines Postfachs, Push-Benachrichtigungen über neue E-Mails, Ein-Klick-Abmeldung von Newslettern und Support-Uploads.

3.4 Ihre Verantwortung auf der Geräteseite. Sie sind dafür verantwortlich, die Geräte und Betriebssystemkonten zu sichern, auf denen die Software läuft, Datensicherungen anzulegen und lokale Daten zu löschen, wenn ein Berechtigter Nutzer ausscheidet oder ein Gerät ausgemustert wird. Anlage 2, Teil B und die EULA beschreiben die Funktionen der Software dafür.

4. Weisungen

4.1 Verarbeitung nur auf Weisung. Wir verarbeiten personenbezogene Kundendaten nur auf Ihre dokumentierte Weisung, auch in Bezug auf Übermittlungen in Drittländer, es sei denn, das Recht der Union oder der Mitgliedstaaten (oder, bei Daten aus dem Vereinigten Königreich oder der Schweiz, das Recht des Vereinigten Königreichs oder der Schweiz), dem wir unterliegen, verlangt etwas anderes. In diesem Fall teilen wir Ihnen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

4.2 Ihre Weisungen. Zum Zeitpunkt des Abschlusses dieses AVV sind Ihre vollständigen dokumentierten Weisungen:

(a) die Nutzungsbedingungen und dieser AVV, einschließlich seiner Anlagen;

(b) die Nutzung und Konfiguration des Dienstes durch Sie und Ihre Berechtigten Nutzer, insbesondere das Aktivieren der KI-Funktionen im KI-Einwilligungsdialog, das Starten einer KI-Funktion, das Senden eines geänderten KI-Entwurfs bei aktivierten KI-Funktionen (Lernen aus Änderungen), die Regionseinstellung, das Verbinden oder Entfernen eines Postfachs, das Starten einer Ein-Klick-Abmeldung und das Senden eines Support-Uploads; und

(c) jede weitere zwischen den Parteien vereinbarte schriftliche Weisung.

4.3 Regionseinstellung. Jeder Berechtigte Nutzer teilt der Software mit, wo er ansässig ist (die Regionseinstellung nach den Nutzungsbedingungen). Diese Einstellung ist Ihre Weisung dazu, wo KI-Anfragen verarbeitet werden:

(a) „In Europa“ (die EU, der EWR, das Vereinigte Königreich oder die Schweiz) oder keine Antwort: Die gesamte KI-Verarbeitung findet in der EU statt (Anlage 3);

(b) „Außerhalb Europas“: Einige Gemini-Modelle laufen über den globalen Endpunkt von Google, der Daten in jedem Land verarbeiten kann, in dem Google tätig ist; die gesamte übrige KI-Verarbeitung bleibt in der EU.

Sie sind dafür verantwortlich, sicherzustellen, dass Ihre Berechtigten Nutzer im Einklang mit Ihren Anforderungen antworten. Ein Berechtigter Nutzer kann die Regionseinstellung unter Einstellungen › Datenschutz & KI ändern. Eine Änderung gilt nur für spätere Anfragen.

4.4 Weitere Weisungen. Weitere Weisungen müssen schriftlich erteilt werden (E-Mail genügt) und mit den Nutzungsbedingungen und dem Dienst, wie er angeboten wird, vereinbar sein. Würde eine Weisung verlangen, dass wir den Dienst ändern oder personenbezogene Kundendaten in einer Weise verarbeiten, die der Dienst nicht unterstützt, können wir sie ablehnen. Sie können dann die Nutzungsbedingungen für die betroffenen Konten kündigen.

4.5 Rechtswidrige Weisungen. Wir informieren Sie unverzüglich, wenn eine Weisung nach unserer Auffassung gegen Datenschutzgesetze verstößt. Wir können die Ausführung dieser Weisung aussetzen, bis Sie sie bestätigen oder ändern.

4.6 Keine Verwendung für eigene Zwecke. Wir verarbeiten personenbezogene Kundendaten nicht für eigene Zwecke. Insbesondere verkaufen wir sie nicht, verwenden sie nicht für Werbung oder Profiling und verwenden sie nicht, um Modelle der künstlichen Intelligenz oder des maschinellen Lernens zu trainieren, zu entwickeln oder zu verbessern, weder unsere noch die anderer. Unseren KI-Unterauftragsverarbeitern ist vertraglich untersagt, sie zum Training ihrer Modelle zu verwenden. Die in Anlage 1 beschriebene Personalisierung von Entwürfen funktioniert, indem der Anfrage Beispiele hinzugefügt werden; kein Modell wird trainiert oder verändert.

5. Vertraulichkeit

5.1 Wir gewähren Zugriff auf personenbezogene Kundendaten nur Personen, die ihn benötigen, um den Dienst zu erbringen. Jede von ihnen hat sich zur Vertraulichkeit verpflichtet oder unterliegt einer angemessenen gesetzlichen Verschwiegenheitspflicht, die nach Ende ihres Einsatzes fortbesteht.

5.2 Wir speichern weder den Inhalt von KI-Anfragen noch von KI-Ausgaben (Anlage 1). Unsere Mitarbeiter lesen personenbezogene Kundendaten nicht, außer:

(a) wenn Sie oder ein Berechtigter Nutzer uns bitten, bestimmte Inhalte anzusehen, zum Beispiel in einem Supportfall;

(b) wenn es zur Untersuchung eines Sicherheitsvorfalls oder von Missbrauch erforderlich ist; oder

(c) wenn das Gesetz es verlangt.

Jeder solche Zugriff ist auf das beschränkt, was sein Zweck erfordert.

5.3 Berufsgeheimnis. Unterliegen Sie einer beruflichen Verschwiegenheitspflicht, insbesondere nach § 203 Abs. 1 bis 3 des Strafgesetzbuchs (StGB), § 43e der Bundesrechtsanwaltsordnung (BRAO), § 62a des Steuerberatungsgesetzes (StBerG) oder vergleichbaren Regeln, handeln wir als an Ihrer beruflichen Tätigkeit mitwirkende Person im Sinne von § 203 Abs. 3 Satz 2 StGB, soweit wir Ihnen anvertraute Geheimnisse nach diesem AVV verarbeiten. Für diesen Fall:

(a) verpflichten wir uns, solche Geheimnisse vertraulich zu behandeln, und wir sind uns bewusst, dass eine unbefugte Offenbarung nach § 203 Abs. 4 Satz 1 StGB strafbar ist;

(b) erlangen wir Kenntnis von solchen Geheimnissen nur in dem Umfang, den die Erbringung des Dienstes erfordert (Abschnitt 5.2);

(c) verpflichten wir die für uns tätigen Personen in Textform zur Verschwiegenheit und weisen sie auf die strafrechtlichen Folgen einer Verletzung hin; und

(d) setzen wir Unterauftragsverarbeiter nur nach Abschnitt 7 ein. Sie sind durch ihre Datenverarbeitungsbedingungen zur Vertraulichkeit verpflichtet (Abschnitt 7.2), haben uns aber keine auf § 203 StGB bezogene Verpflichtung erklärt, und einige von ihnen haben ihren Sitz oder ihre Muttergesellschaft außerhalb der EU (Anlage 3).

Dieser Abschnitt 5.3 ist die in Abschnitt 9.6 der Nutzungsbedingungen genannte Verschwiegenheitsverpflichtung; auf Anfrage senden wir Ihnen eine von uns unterzeichnete Kopie. Ob Ihr Berufsrecht Ihnen gestattet, die KI-Funktionen oder die Cloud-Dienste mit Ihnen anvertrauten Geheimnissen zu nutzen, insbesondere im Hinblick auf Buchstabe (d) (zum Beispiel § 43e Abs. 3 und 4 BRAO), haben Sie zu entscheiden (Abschnitt 14.3(d) und Abschnitt 9.6 der Nutzungsbedingungen).

6. Sicherheit

6.1 Wir setzen die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen um und halten sie aufrecht. Sie gewährleisten ein dem Risiko angemessenes Schutzniveau unter Berücksichtigung des Stands der Technik, der Implementierungskosten, der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der Risiken für die Rechte und Freiheiten natürlicher Personen (Art. 32 DSGVO).

6.2 Die Maßnahmen unterliegen dem technischen Fortschritt. Wir können sie ändern, sofern das Gesamtschutzniveau nicht gesenkt wird. Wesentliche Änderungen dokumentieren wir und aktualisieren Anlage 2 entsprechend.

6.3 Sie sind dafür verantwortlich zu beurteilen, ob die Maßnahmen Ihren Anforderungen genügen, und für die Maßnahmen in Ihrem eigenen Einflussbereich (Abschnitt 3.4 und Anlage 2, Teil B).

7. Unterauftragsverarbeiter

7.1 Allgemeine Genehmigung. Sie erteilen uns eine allgemeine schriftliche Genehmigung zum Einsatz von Unterauftragsverarbeitern. Die in Anlage 3 und unter https://mailistix.com/legal/subprocessors bei Abschluss dieses AVV aufgeführten Unterauftragsverarbeiter sind genehmigt.

7.2 Anforderungen. Bevor ein Unterauftragsverarbeiter personenbezogene Kundendaten verarbeitet, werden wir:

(a) prüfen, dass er hinreichende Garantien dafür bietet, geeignete technische und organisatorische Maßnahmen umzusetzen;

(b) mit ihm einen schriftlichen Vertrag schließen, der ihm Datenschutzpflichten auferlegt, die mindestens dasselbe Schutzniveau bieten wie dieser AVV, wie es Art. 28 Abs. 4 DSGVO verlangt; und

(c) einen rechtmäßigen Übermittlungsmechanismus sicherstellen, wann immer eine Beschränkte Übermittlung stattfindet (Abschnitt 12).

Wir haften Ihnen gegenüber weiterhin in vollem Umfang für die Erfüllung der Pflichten jedes Unterauftragsverarbeiters.

7.3 Mitteilung von Änderungen. Wir informieren Sie über jede beabsichtigte Hinzufügung oder Ersetzung eines Unterauftragsverarbeiters mindestens 14 Tage, bevor er mit der Verarbeitung personenbezogener Kundendaten beginnt. Wir tun dies durch Aktualisierung der Seite der Unterauftragsverarbeiter und durch eine Mitteilung an die Konto-E-Mail-Adressen Ihrer Berechtigten Nutzer oder in der Software sowie per E-Mail an Ihren Datenschutzkontakt, sofern Sie uns einen genannt haben (Abschnitt 17.6). Die Mitteilung nennt den Unterauftragsverarbeiter, seine Leistung, den Verarbeitungsort und den Übermittlungsmechanismus.

7.4 Widerspruch. Sie können einem neuen Unterauftragsverarbeiter widersprechen, indem Sie innerhalb von 14 Tagen nach der Mitteilung aus berechtigten datenschutzrechtlichen Gründen an legal@mailistix.com schreiben. Wir erörtern den Widerspruch nach Treu und Glauben mit Ihnen und können eine Lösung vorschlagen, zum Beispiel den neuen Unterauftragsverarbeiter für Ihre Konten nicht zu nutzen oder die betroffene Funktion für diese auszuschalten. Können wir den Widerspruch nicht ausräumen, können Sie die Nutzungsbedingungen für die betroffenen Konten durch schriftliche Mitteilung kündigen, wirksam spätestens zu dem Zeitpunkt, zu dem der neue Unterauftragsverarbeiter mit der Verarbeitung personenbezogener Kundendaten für Sie beginnen würde. Wir erstatten dann die im Voraus gezahlten Entgelte für den Zeitraum nach der Kündigung anteilig über Polar als unseren Merchant of Record. Ihre sonstigen Rechte nach den Datenschutzgesetzen bleiben unberührt.

7.5 Dringender Austausch. Müssen wir einen Unterauftragsverarbeiter aus Gründen außerhalb unserer angemessenen Kontrolle kurzfristig ersetzen (zum Beispiel wegen eines Sicherheitsvorfalls beim Unterauftragsverarbeiter oder weil der Unterauftragsverarbeiter seine Leistung einstellt) und ist der Ersatz erforderlich, um den Dienst sicher oder verfügbar zu halten, können wir den Ersatz vor Ablauf der 14-Tage-Frist einsetzen. Wir informieren Sie dann unverzüglich, und ab dieser Mitteilung gilt Abschnitt 7.4. Soweit die Standardvertragsklauseln Anwendung finden, geht deren Klausel 9 vor.

7.6 Kopien. Auf Anfrage geben wir Ihnen eine Kopie der Datenschutzbedingungen, die wir mit einem Unterauftragsverarbeiter vereinbart haben, oder einen Link zu dessen Standardbedingungen. Wir können kommerzielle Informationen und Klauseln ohne Datenschutzbezug entfernen.

7.7 Keine Unterauftragsverarbeiter. Folgende sind nicht unsere Unterauftragsverarbeiter: Ihre Postfachanbieter (Abschnitt 3.2); Polar als Merchant of Record (Abschnitt 2.4); die Absender von Newslettern, an die auf Veranlassung eines Berechtigten Nutzers eine Abmeldeanfrage gesendet wird; und die Anbieter Ihrer Betriebssysteme.

8. Unterstützung

8.1 Anfragen betroffener Personen. Die meisten personenbezogenen Daten über Ihre Berechtigten Nutzer und deren Korrespondenzpartner werden von Ihrem Postfachanbieter und auf Ihren Geräten vorgehalten, nicht von uns (Abschnitt 3). Unter Berücksichtigung dessen unterstützen wir Sie durch geeignete technische und organisatorische Maßnahmen bei der Beantwortung von Anfragen betroffener Personen, die ihre Rechte nach Kapitel III DSGVO und die entsprechenden Rechte nach anderen Datenschutzgesetzen ausüben:

(a) Die Software ermöglicht es jedem Berechtigten Nutzer, die Daten zu exportieren, die wir für sein Konto vorhalten, einschließlich der Push-Benachrichtigungsaufzeichnungen und Aufzeichnungen zu Support-Uploads (Einstellungen › Allgemein › Konto › „Daten exportieren“); ein Verbundenes Postfach zu entfernen; die KI-Einwilligung zu widerrufen und die Regionseinstellung zu ändern (Einstellungen › Datenschutz & KI); und das Konto zu löschen.

(b) Wendet sich eine betroffene Person direkt an uns wegen personenbezogener Kundendaten und können wir Sie als Verantwortlichen identifizieren, leiten wir die Anfrage unverzüglich an Sie weiter. Wir beantworten sie nicht selbst, außer um die betroffene Person an Sie zu verweisen oder wenn das Gesetz etwas anderes verlangt.

(c) Auf Anfrage leisten wir weitere angemessene Unterstützung.

8.2 Sicherheit, Verletzungen, Folgenabschätzungen und Konsultation. Unter Berücksichtigung der Art der Verarbeitung und der uns zur Verfügung stehenden Informationen unterstützen wir Sie bei der Einhaltung der Art. 32 bis 36 DSGVO. Insbesondere stellen wir diesen AVV und seine Anlagen, die Hinweise zu KI-Funktionen und auf Anfrage weitere Informationen über die Verarbeitung in den KI-Funktionen bereit, die Sie für eine Datenschutz-Folgenabschätzung oder eine vorherige Konsultation einer Aufsichtsbehörde benötigen.

8.3 Kosten. Die Self-Service-Funktionen und die in diesem AVV beschriebene Unterstützung sind im Dienst enthalten. Für darüber hinausgehende Unterstützung, die nicht durch eine Verletzung dieses AVV durch uns verursacht wurde, können wir angemessene Kosten berechnen, sofern wir Ihnen dies vorab mitteilen.

8.4 Behörden und Verzeichnisse. Wir arbeiten auf Anfrage mit Aufsichtsbehörden bei der Erfüllung ihrer Aufgaben zusammen. Wir führen ein Verzeichnis von Verarbeitungstätigkeiten, wie es Art. 30 Abs. 2 DSGVO verlangt.

8.5 Datenschutzkontakt. Unser Datenschutzkontakt ist legal@mailistix.com.

9. Verletzungen des Schutzes personenbezogener Daten

9.1 Mitteilung. Wir benachrichtigen Sie unverzüglich, nachdem uns eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist. Wir streben an, Sie innerhalb von 48 Stunden zu benachrichtigen.

9.2 Inhalt. Die Mitteilung enthält, soweit die Informationen verfügbar sind:

(a) eine Beschreibung der Art der Verletzung, soweit möglich mit den Kategorien und der ungefähren Zahl der betroffenen Personen und der betroffenen personenbezogenen Datensätze;

(b) den Namen und die Kontaktdaten unserer Anlaufstelle für weitere Informationen;

(c) die wahrscheinlichen Folgen der Verletzung; und

(d) die von uns ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung und zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.

Können wir nicht alle Informationen gleichzeitig bereitstellen, stellen wir sie ohne weitere unangemessene Verzögerung schrittweise bereit.

9.3 Unsere Maßnahmen. Wir ergreifen unverzüglich angemessene Schritte, um die Verletzung einzudämmen und zu untersuchen, ihre Auswirkungen abzumildern und eine Wiederholung zu verhindern. Wir dokumentieren die Verletzung und halten Sie auf dem Laufenden.

9.4 Wie wir benachrichtigen. Wir senden die Mitteilung per E-Mail an die Konto-E-Mail-Adressen der betroffenen Berechtigten Nutzer und an den Datenschutzkontakt, den Sie uns nach Abschnitt 17.6 genannt haben.

9.5 Ihre Pflichten. Sie entscheiden, ob die Verletzung einer Aufsichtsbehörde oder betroffenen Personen gemeldet werden muss, und nehmen diese Meldungen vor. Wir melden sie nicht in Ihrem Namen, es sei denn, Sie weisen uns dazu an oder das Gesetz verlangt es.

9.6 Kein Anerkenntnis. Unsere Mitteilung ist kein Eingeständnis von Verschulden oder Haftung.

9.7 Meldungen an uns. Bitte melden Sie vermutete Sicherheitsvorfälle im Zusammenhang mit dem Dienst an legal@mailistix.com mit einer Betreffzeile, die mit „Security:“ beginnt, wie in unserer Richtlinie zur Meldung von Sicherheitslücken beschrieben.

10. Löschung und Rückgabe

10.1 Während der Laufzeit. Wir bewahren personenbezogene Kundendaten in den Cloud-Diensten nur so lange auf, wie Anlage 1, Teil H es angibt. Automatisierte tägliche Jobs löschen Aufzeichnungen, deren Aufbewahrungsfrist abgelaufen ist.

10.2 Kontolöschung. Ein Berechtigter Nutzer kann sein Konto jederzeit in der Software löschen (Einstellungen › Allgemein › Konto › „Konto löschen“); Abschnitt 15.3 der Nutzungsbedingungen beschreibt, wann die Löschung verweigert wird (zum Beispiel, solange für ein Abonnement noch Entgelte erhoben werden können). Die Löschung entfernt die personenbezogenen Kundendaten dieses Kontos aus den Cloud-Diensten. Auf dem für die Löschung verwendeten Gerät beendet die Software außerdem Push-Benachrichtigungen, widerruft ihren Zugriff auf verbundene Google-Postfächer und löscht die lokalen Daten dieses Kontos. Sie können uns auch schriftlich bitten, die Konten Ihrer Berechtigten Nutzer zu löschen; wir tun dies, nachdem wir Ihre Befugnis überprüft haben.

10.3 Ende der Nutzungsbedingungen für ein Konto. Am Ende der Erbringung des Dienstes für ein Konto geben wir dessen personenbezogene Kundendaten nach Ihrer Wahl zurück oder löschen sie (Art. 28 Abs. 3 Buchst. g DSGVO), wie folgt (Abschnitt 15.10 der Nutzungsbedingungen):

(a) Rückgabe. Sie erhalten eine Kopie über den Export in der Software (Abschnitt 8.1(a)), den ein Berechtigter Nutzer jederzeit ausführen kann, solange das Konto besteht. Export und Löschung sind kostenlos.

(b) Datenabrufphase. Nachdem die Nutzungsbedingungen für ein Konto aus irgendeinem Grund enden, bleiben dessen personenbezogene Kundendaten 30 Tage lang zum Abruf verfügbar (die Datenabrufphase nach Abschnitt 15.10(d) der Nutzungsbedingungen und Art. 25 Abs. 2 Buchst. g der Datenverordnung). Während dieser Zeit bleibt das Konto bestehen, und der Berechtigte Nutzer kann sich zum Export anmelden; ist dies nicht möglich, senden wir Ihnen den Export auf Anfrage an legal@mailistix.com. Am Ende der Phase löschen wir die personenbezogenen Kundendaten dieses Kontos aus den Cloud-Diensten, es sei denn, das Recht der Union oder der Mitgliedstaaten verlangt, dass wir sie speichern. Die Aufbewahrungsfristen in Anlage 1, Teil H gelten während der Phase weiter.

(c) Sofortige Löschung. Löscht ein Berechtigter Nutzer das Konto in der Software (Abschnitt 10.2) oder bitten Sie uns, es zu löschen, entscheiden Sie sich anstelle einer Datenabrufphase für die sofortige Löschung: Wir löschen die personenbezogenen Kundendaten dieses Kontos sofort.

(d) Exportierbare Daten. Für personenbezogene Kundendaten enthält die Exportdatei die Gmail- und Outlook-Benachrichtigungsaufzeichnungen, die Gmail-Watch- und Outlook-Abonnementregistrierungen und die Aufzeichnungen zu Support-Uploads (zum Beispiel Zeitpunkt, App-Version und Größe); den Inhalt von Support-Uploads stellen wir auf Anfrage bereit (Abschnitt 15.10(b) der Nutzungsbedingungen). Ihre Postfachdaten bleiben für Sie bei Ihrem Postfachanbieter und in der lokalen Datenbank der Software auf Ihren Geräten verfügbar; wir halten keine Kopie davon vor, die wir zurückgeben könnten. Da wir den Inhalt von KI-Anfragen und KI-Ausgaben nicht speichern, gibt es nichts zurückzugeben oder zu löschen.

10.4 Backups. Die Datenbank der Cloud-Dienste wird einmal täglich automatisch gesichert. Jedes Backup wird 7 Tage aufbewahrt, und personenbezogene Kundendaten in einem Backup werden gelöscht, wenn das Backup abläuft. Backups bleiben nach diesem AVV geschützt und werden nur zur Wiederherstellung nach einem Vorfall in das Produktivsystem zurückgespielt; nach einer solchen Wiederherstellung wenden wir die seit dem Backup vorgenommenen Löschungen erneut an.

10.5 Unterauftragsverarbeiter. Unsere KI-Unterauftragsverarbeiter können Anfragedaten nach ihren Bedingungen für begrenzte Zeit zu betrieblichen Zwecken oder zur Missbrauchsüberwachung aufbewahren, wie in Anlage 1, Teil H beschrieben.

10.6 Bestätigung. Auf Anfrage bestätigen wir die Löschung schriftlich.

11. Information und Audits

11.1 Information. Wir stellen Ihnen die Informationen zur Verfügung, die erforderlich sind, um die Einhaltung von Art. 28 DSGVO und dieses AVV nachzuweisen, insbesondere:

(a) diesen AVV, seine Anlagen und die Seite der Unterauftragsverarbeiter;

(b) Antworten auf einen angemessenen Sicherheitsfragebogen einmal pro Kalenderjahr; und

(c) die Zertifizierungen und Auditberichte unserer Unterauftragsverarbeiter, soweit sie sie uns für diesen Zweck zur Verfügung stellen.

11.2 Audits und Inspektionen. Reichen die Informationen nach Abschnitt 11.1 nicht aus, um unsere Einhaltung nachzuweisen, verlangt es eine Aufsichtsbehörde oder erfolgt es nach einer Verletzung des Schutzes personenbezogener Daten, können Sie unsere Einhaltung dieses AVV prüfen, auch durch Inspektionen. Sie können das Audit selbst oder durch einen unabhängigen Prüfer durchführen, der zur Vertraulichkeit verpflichtet und nicht unser Wettbewerber ist. Sofern nicht eine Aufsichtsbehörde etwas anderes verlangt oder das Audit auf eine Verletzung des Schutzes personenbezogener Daten folgt:

(a) finden Audits nicht öfter als einmal in einem Zeitraum von 12 Monaten statt;

(b) kündigen Sie uns ein Audit mindestens 30 Tage vorher schriftlich an und vereinbaren Umfang und Plan des Audits vorab mit uns; und

(c) finden Audits während der üblichen Geschäftszeiten statt, ohne unseren Betrieb unangemessen zu stören.

Audits erstrecken sich nicht auf die Daten anderer Kunden oder auf unsere Geschäftsgeheimnisse, es sei denn, das Audit erfordert dies. Wir betreiben keine eigenen Rechenzentren oder Server. Für die Einrichtungen unserer Unterauftragsverarbeiter stützt sich das Audit auf deren Zertifizierungen und Auditberichte nach Abschnitt 11.1(c).

11.3 Kosten. Sie tragen Ihre eigenen Kosten eines Audits. Sie erstatten uns unsere angemessenen, dokumentierten Kosten der Unterstützung eines Vor-Ort-Audits, es sei denn, das Audit zeigt eine wesentliche Verletzung dieses AVV durch uns.

11.4 Ergebnisse. Auditergebnisse sind vertraulich. Sie übergeben uns eine Kopie des Auditberichts. Festgestellte Verstöße beheben wir unverzüglich.

11.5 Standardvertragsklauseln. Soweit die Standardvertragsklauseln Anwendung finden, werden Audits nach deren Klausel 8.9 in Übereinstimmung mit diesem Abschnitt 11 durchgeführt, soweit dies mit den Standardvertragsklauseln vereinbar ist.

12. Internationale Übermittlungen

12.1 Wo wir verarbeiten. Wir sind in Deutschland niedergelassen, einem Mitgliedstaat der Europäischen Union. Wir und unsere Unterauftragsverarbeiter verarbeiten personenbezogene Kundendaten in der EU, außer wie folgt (Einzelheiten in Anlage 3):

(a) für Berechtigte Nutzer, die „Außerhalb Europas“ geantwortet haben, laufen einige Gemini-Modelle über den globalen Endpunkt von Google (Abschnitt 4.3);

(b) Unterauftragsverarbeiter, die außerhalb der EU niedergelassen sind oder deren Muttergesellschaft außerhalb der EU sitzt, können zu Support- und Betriebszwecken nach ihren Datenverarbeitungsbedingungen von außerhalb der EU auf personenbezogene Kundendaten zugreifen; dies gilt für unseren Vertragspartner für das Hosting, die Supabase Pte. Ltd. in Singapur, und ihre Gruppe sowie für die US-amerikanischen Muttergesellschaften unserer übrigen Unterauftragsverarbeiter;

(c) nur die Serverfunktionen für KI-Anfragen sind auf EU-Regionen festgelegt. Die übrigen Serverfunktionen (zum Beispiel Postfachverbindung, Einrichtung und Weiterleitung von Push-Benachrichtigungen, Ein-Klick-Abmeldung, Support-Upload und Datenexport) laufen in der Supabase-Edge-Region, die dem Aufrufer am nächsten liegt. Für Berechtigte Nutzer außerhalb Europas und für von Google oder Microsoft gesendete Benachrichtigungen können sie daher außerhalb der EU laufen. Die Datenbank und der Dateispeicher bleiben in Frankfurt; und

(d) Gmail-Änderungsbenachrichtigungen laufen über Google Cloud Pub/Sub, das keine feste Verarbeitungsregion hat.

12.2 Weiterübermittlungen durch uns. Wir nehmen eine Beschränkte Übermittlung nur auf Ihre dokumentierte Weisung (dieser AVV, Anlage 3 und die Regionseinstellung) und nur dann vor, wenn die Voraussetzungen von Kapitel V DSGVO und der entsprechenden Regeln der UK GDPR und des revDSG erfüllt sind. Bei unseren Unterauftragsverarbeitern stützen wir uns auf:

(a) einen Angemessenheitsbeschluss, einschließlich des EU–U.S. Data Privacy Framework, seiner UK Extension und des Swiss–U.S. Data Privacy Framework für zertifizierte Empfänger; oder

(b) die Standardvertragsklauseln (Modul 3) oder gleichwertige Klauseln in den Datenverarbeitungsbedingungen des Unterauftragsverarbeiters, zusammen mit allen ergänzenden Maßnahmen, die sich nach unserem Transfer Impact Assessment als erforderlich erweisen. Bei Supabase sind dies die Standardvertragsklauseln im Datenverarbeitungszusatz (Data Processing Addendum) von Supabase, mit der Supabase Pte. Ltd. (Singapur) als Datenimporteur; Weiterübermittlungen an die eigenen Unterauftragsverarbeiter von Supabase unterliegen diesem Zusatz.

12.3 Übermittlungen zwischen Ihnen und uns. Ob die Standardvertragsklauseln zwischen Ihnen und uns Anwendung finden, hängt davon ab, wo Sie sich befinden:

(a) Sie sind im EWR niedergelassen: Das Senden von Daten an uns in der EU und unsere Rücksendung an Sie ist keine Beschränkte Übermittlung. Die Standardvertragsklauseln gelten zwischen uns nicht.

(b) Sie sind im Vereinigten Königreich, in der Schweiz oder in einem anderen Land mit einem Angemessenheitsbeschluss der Europäischen Kommission niedergelassen: Das Recht des Vereinigten Königreichs und der Schweiz erkennt den EWR als Raum mit angemessenem Schutz an, und die EU erkennt das Vereinigte Königreich, die Schweiz und die übrigen betroffenen Länder an. Die Standardvertragsklauseln gelten zwischen uns nicht, es sei denn, Abschnitt 12.3(d) findet Anwendung.

(c) Sie sind in einem anderen Land niedergelassen: Ihr Senden von Daten an uns ist keine Beschränkte Übermittlung nach der DSGVO, unser Zurücksenden personenbezogener Kundendaten an Sie (zum Beispiel KI-Ausgaben oder ein Export) jedoch schon. Für diesen Fall gilt Modul 4 (Auftragsverarbeiter an Verantwortlichen) der Standardvertragsklauseln, mit uns als Datenexporteur und Ihnen als Datenimporteur, auch wenn Sie als Auftragsverarbeiter für einen anderen Verantwortlichen handeln (Abschnitt 2.3). Unterliegt Ihre Verarbeitung der Daten selbst der DSGVO (Art. 3 Abs. 2 DSGVO), gelten die Standardvertragsklauseln, soweit sie für eine solche Übermittlung verwendet werden können, und Sie bleiben unmittelbar an die DSGVO gebunden.

(d) Wir verarbeiten außerhalb des EWR: Sind oder werden wir in einem Drittland ohne Angemessenheitsbeschluss niedergelassen oder verarbeiten wir dort selbst personenbezogene Kundendaten, gilt Modul 2 (wenn Sie Verantwortlicher sind) oder Modul 3 (wenn Sie Auftragsverarbeiter sind) der Standardvertragsklauseln, mit Ihnen als Datenexporteur und uns als Datenimporteur.

12.4 Standardvertragsklauseln: Einbeziehung und Optionen. Soweit die Standardvertragsklauseln nach Abschnitt 12.3 Anwendung finden, werden sie durch Verweis in diesen AVV einbezogen, in dem für den Fall passenden Modul, und Sie und wir schließen sie durch Abschluss dieses AVV. Die Annahme der Nutzungsbedingungen gilt als Unterzeichnung der Standardvertragsklauseln und ihrer Anhänge. Folgende Optionen und Einzelheiten gelten:

(a) Klausel 7 (Kopplungsklausel): gilt.

(b) Klausel 9 Buchst. a (Module 2 und 3): Option 2, allgemeine schriftliche Genehmigung; die Frist beträgt 14 Tage, und die Mitteilung erfolgt nach Abschnitt 7.3.

(c) Klausel 11 Buchst. a: Die optionale Formulierung findet keine Anwendung.

(d) Klausel 13 Buchst. a (Module 2 und 3): Die zuständige Aufsichtsbehörde wird wie in Anlage 1, Teil J festgelegt bestimmt.

(e) Klausel 17: Für die Module 2 und 3 gilt Option 1, und die Standardvertragsklauseln unterliegen deutschem Recht. Für Modul 4 unterliegen die Standardvertragsklauseln deutschem Recht.

(f) Klausel 18: Streitigkeiten werden von den Gerichten Deutschlands beigelegt, mit Gerichtsstand an unserem Sitz (Berlin, Deutschland). Klausel 18 Buchst. c der Module 2 und 3 bleibt unberührt.

(g) Anhang I.A (Liste der Parteien) ist Anlage 1, Teil A; Anhang I.B (Beschreibung der Datenübermittlung) ist Anlage 1; Anhang I.C (zuständige Aufsichtsbehörde) ist Anlage 1, Teil J; Anhang II (technische und organisatorische Maßnahmen) ist Anlage 2; Anhang III (Liste der Unterauftragsverarbeiter) ist Anlage 3.

(h) Die Bescheinigung der Löschung nach Klausel 8.5 wird auf Anfrage nach Abschnitt 10.6 erteilt; Audits nach Klausel 8.9 folgen Abschnitt 11.

12.5 Übermittlungen aus dem Vereinigten Königreich. Ist eine Übermittlung personenbezogener Kundendaten zwischen Ihnen und uns eine Beschränkte Übermittlung nach der UK GDPR, wird das UK-Addendum in diesen AVV einbezogen und gilt für die nach Abschnitt 12.4 einbezogenen Standardvertragsklauseln. Seine Tabellen werden wie folgt ausgefüllt:

(a) Tabelle 1 (Parteien): die Parteien, ihre Angaben und ihre Kontakte, wie in Anlage 1, Teil A festgelegt; das Anfangsdatum ist das Datum, an dem dieser AVV zwischen uns verbindlich wurde.

(b) Tabelle 2 (Ausgewählte Standardvertragsklauseln, Module und ausgewählte Klauseln): die nach Abschnitt 12.4 einbezogene Fassung der Approved EU SCCs, einschließlich der Informationen im Anhang (Appendix Information), mit den dort ausgewählten Modulen und Optionen.

(c) Tabelle 3 (Informationen im Anhang): Die Liste der Parteien ist Anlage 1, Teil A; die Beschreibung der Datenübermittlung ist Anlage 1; die technischen und organisatorischen Maßnahmen sind Anlage 2; die Liste der Unterauftragsverarbeiter ist Anlage 3.

(d) Tabelle 4 (Beendigung dieses Addendums, wenn sich das Approved Addendum ändert): Der Importeur kann das UK-Addendum beenden.

Teil 2 des UK-Addendums, die Mandatory Clauses des Approved Addendum (Vorlage Addendum B1.0, herausgegeben vom Information Commissioner und dem Parlament nach Section 119A des Data Protection Act 2018 vorgelegt, in der nach Section 18 dieser Mandatory Clauses überarbeiteten Fassung), findet Anwendung.

12.6 Übermittlungen aus der Schweiz. Unterliegt eine Übermittlung dem revDSG:

(a) sind Verweise auf die DSGVO in den Standardvertragsklauseln als Verweise auf das revDSG zu lesen, soweit die Übermittlung dem revDSG unterliegt;

(b) ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) die zuständige Aufsichtsbehörde nach Klausel 13 für Übermittlungen, die dem revDSG unterliegen; unterliegt eine Übermittlung sowohl dem revDSG als auch der DSGVO, bleibt die Behörde nach Anlage 1, Teil J für den von der DSGVO erfassten Teil zuständig;

(c) bleibt das anwendbare Recht nach Klausel 17 das in Abschnitt 12.4(e) gewählte Recht; und

(d) ist der Begriff „Mitgliedstaat“ in Klausel 18 Buchst. c nicht so auszulegen, dass betroffene Personen in der Schweiz davon ausgeschlossen werden, ihre Rechte an ihrem gewöhnlichen Aufenthaltsort, der Schweiz, einzuklagen.

12.7 Änderungen der Übermittlungsmechanismen. Wird ein Übermittlungsmechanismus, auf den wir uns nach diesem Abschnitt 12 stützen, für ungültig erklärt, geändert oder ersetzt, arbeiten wir mit Ihnen zusammen, um einen alternativen rechtmäßigen Mechanismus einzurichten. Wir können diesen Abschnitt 12 durch Mitteilung an Sie auf eine neue Fassung der Standardvertragsklauseln oder des UK-Addendums aktualisieren; die Aktualisierung wird wirksam, wenn das Recht es verlangt.

13. Anfragen öffentlicher Stellen

13.1 Wir legen personenbezogene Kundendaten gegenüber einer Behörde nur offen, wenn eine verbindliche Anordnung uns rechtlich dazu verpflichtet. Wir legen sie nicht freiwillig offen, und wir haben keine Möglichkeiten für einen unmittelbaren Zugriff von Behörden darauf geschaffen.

13.2 Erhalten wir eine solche Anordnung:

(a) versuchen wir, die Behörde dazu zu bewegen, die Daten unmittelbar bei Ihnen anzufordern;

(b) benachrichtigen wir Sie umgehend, es sei denn, das Gesetz untersagt dies; in diesem Fall unternehmen wir angemessene Anstrengungen, um eine Aufhebung des Verbots zu erwirken, damit wir Sie so bald wie möglich informieren können;

(c) prüfen wir die Rechtmäßigkeit der Anordnung und fechten sie an, wenn wir nach sorgfältiger Beurteilung zu dem Schluss kommen, dass berechtigte Gründe für die Annahme bestehen, dass sie nach dem Recht des betroffenen Landes, anwendbaren völkerrechtlichen Verpflichtungen oder den Grundsätzen der internationalen Courtoisie (comity) rechtswidrig ist, gegebenenfalls auch durch Beantragung einstweiliger Maßnahmen, und wir legen die Daten nicht offen, bis die anwendbaren Verfahrensregeln uns dazu verpflichten;

(d) legen wir nur das Minimum an Daten offen, das die Anordnung nach vernünftiger Auslegung verlangt; und

(e) dokumentieren wir die Anordnung, unsere Beurteilung und unsere Reaktion und stellen Ihnen diese Dokumentation auf Anfrage zur Verfügung, soweit das Gesetz es zulässt.

13.3 Wir können nur offenlegen, was wir vorhalten (Anlage 1, Teil H). Wir halten weder Ihre Postfachdaten noch die lokale Kopie in der Software vor, und wir speichern den Inhalt von KI-Anfragen und KI-Ausgaben nicht.

13.4 Bei Veröffentlichung dieses AVV haben wir keine Anordnung und keine Anfrage einer Behörde zu personenbezogenen Kundendaten erhalten, und wir haben keinen Grund zu der Annahme, dass die für uns geltenden Gesetze uns daran hindern, unsere Pflichten aus diesem AVV zu erfüllen.

13.5 Nicht personenbezogene Daten (Art. 32 der Datenverordnung). Die Abschnitte 13.1 bis 13.3 gelten gleichermaßen für nicht personenbezogene Daten in Kundeninhalten, die wir in den Cloud-Diensten in der EU vorhalten. Wir gewähren einem Gericht oder einer Behörde eines Landes außerhalb der EU Zugang zu solchen Daten oder übermitteln sie an eines nur unter den Voraussetzungen des Art. 32 Abs. 2 und 3 der Datenverordnung und stellen dann nur die nach vernünftiger Auslegung der Anfrage zulässige Mindestmenge an Daten bereit. Wir informieren Sie über eine solche Anfrage, bevor wir ihr nachkommen, es sei denn, die Anfrage dient Strafverfolgungszwecken, und zwar solange, wie dies erforderlich ist, um die Wirksamkeit der Strafverfolgungstätigkeit zu wahren.

13.6 Informationen nach Art. 28 Abs. 1 der Datenverordnung. Abschnitt 4 unserer Seite der Unterauftragsverarbeiter (Teil von Anlage 3) legt die Gerichtsbarkeit dar, der die IKT-Infrastruktur der Cloud-Dienste unterliegt, und die Maßnahmen, die wir gegen rechtswidrigen internationalen staatlichen Zugang treffen; dieser Abschnitt 13 und Anlage 2 beschreiben diese Maßnahmen im Einzelnen.

14. Ihre Pflichten

14.1 Rechtmäßigkeit. Sie sind für die Rechtmäßigkeit der Verarbeitung personenbezogener Kundendaten verantwortlich. Dazu gehört, eine Rechtsgrundlage dafür zu haben, die KI-Funktionen mit den E-Mails Ihrer Korrespondenzpartner und anderer Dritter zu nutzen, und betroffene Personen zu informieren, wo die Datenschutzgesetze es verlangen.

14.2 Besondere Kategorien und Daten über Straftaten. Der Dienst ist nicht dafür ausgelegt, besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) oder personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten (Art. 10 DSGVO) zu verarbeiten, und wir verarbeiten solche Daten nicht absichtlich. Sie können jedoch in E-Mails vorkommen, die die KI-Funktionen verarbeiten. Sie entscheiden, ob Ihre Berechtigten Nutzer die KI-Funktionen mit solchen Inhalten nutzen dürfen, und stellen sicher, dass dafür eine Rechtsgrundlage besteht (siehe die Richtlinie zur zulässigen Nutzung).

14.3 Ihre Nutzer und Ihre Einrichtung. Sie stellen sicher, dass:

(a) Ihre Berechtigten Nutzer den Dienst im Einklang mit Ihren Weisungen und diesem AVV nutzen, einschließlich der Regionseinstellung (Abschnitt 4.3) und der Entscheidung, die KI-Funktionen zu aktivieren;

(b) jede Einwilligung oder Beteiligung von Arbeitnehmervertretern, die Ihre Nutzung des Dienstes erfordert, eingeholt wurde;

(c) jede Administratoreinwilligung, die Ihr Postfachanbieter verlangt, erteilt wurde; und

(d) Sie alle für Sie geltenden beruflichen Verschwiegenheitspflichten einhalten.

14.4 Unregelmäßigkeiten. Sie informieren uns unverzüglich, wenn Sie Fehler oder Unregelmäßigkeiten bei der Verarbeitung personenbezogener Kundendaten bemerken.

15. Haftung

15.1 Unsere Haftung aus oder im Zusammenhang mit diesem AVV, einschließlich der Standardvertragsklauseln, soweit sie dies zulassen, unterliegt den Haftungsausschlüssen und -beschränkungen in den Nutzungsbedingungen (Teil II, Abschnitt A.1 oder, wo anwendbar, die Abschnitte 16 und 17 von Teil I), soweit es Art. 82 DSGVO und sonstiges anwendbares Recht zulassen. Ihre Haftung richtet sich nach dem Gesetz.

15.2 Abschnitt 15.1 beschränkt nicht:

(a) die Haftung einer der Parteien gegenüber betroffenen Personen, einschließlich nach Art. 82 DSGVO, den entsprechenden Bestimmungen anderer Datenschutzgesetze und den Drittbegünstigtenrechten nach den Standardvertragsklauseln; oder

(b) jede Haftung, die nach dem anwendbaren Recht nicht beschränkt oder ausgeschlossen werden kann.

15.3 Im Verhältnis der Parteien zueinander und innerhalb der Grenzen des Abschnitts 15.1 trägt jede Partei den Teil einer an eine betroffene Person gezahlten Entschädigung, der ihrem Anteil an der Verantwortung für den Schaden entspricht (Art. 82 Abs. 5 DSGVO).

16. Datenschutzgesetze der US-Bundesstaaten

16.1 Findet der California Consumer Privacy Act (in der durch den California Privacy Rights Act geänderten Fassung) oder ein vergleichbares Datenschutzgesetz eines US-Bundesstaats auf personenbezogene Kundendaten Anwendung, handeln wir als Ihr „Service Provider“ oder „Processor“. Wir:

(a) verkaufen oder teilen („share“) personenbezogene Kundendaten nicht, wie diese Begriffe in diesen Gesetzen definiert sind;

(b) bewahren personenbezogene Kundendaten nicht auf, verwenden oder offenbaren sie nicht für andere Zwecke, einschließlich kommerzieller Zwecke, als die in den Nutzungsbedingungen und diesem AVV festgelegten Geschäftszwecke oder außerhalb der unmittelbaren Geschäftsbeziehung zwischen Ihnen und uns;

(c) kombinieren personenbezogene Kundendaten nicht mit personenbezogenen Informationen, die wir von oder im Namen anderer erhalten oder aus unseren eigenen Interaktionen mit Verbrauchern erheben, außer soweit diese Gesetze es zulassen;

(d) halten die für uns geltenden Pflichten dieser Gesetze ein und bieten dasselbe Datenschutzniveau, das sie verlangen; und

(e) benachrichtigen Sie, wenn wir feststellen, dass wir unsere Pflichten nach diesen Gesetzen nicht mehr erfüllen können.

16.2 Sie können nach den Abschnitten 9 und 11 angemessene und geeignete Schritte unternehmen, um sicherzustellen, dass wir personenbezogene Kundendaten im Einklang mit diesen Gesetzen verwenden, und um unbefugte Verwendung zu beenden und zu beheben. Wir bescheinigen, dass wir die Beschränkungen in diesem Abschnitt 16 verstehen und sie einhalten werden.

17. Laufzeit und allgemeine Bestimmungen

17.1 Laufzeit. Dieser AVV gilt, solange die Nutzungsbedingungen für eines Ihrer Konten in Kraft sind, und danach, solange wir personenbezogene Kundendaten in Ihrem Auftrag verarbeiten. Er kann nicht gesondert von den Nutzungsbedingungen gekündigt werden. Die Abschnitte 5, 10, 13 und 15 gelten über sein Ende hinaus fort.

17.2 Änderungen. Wir können diesen AVV nach den Regeln für Änderungen in den Nutzungsbedingungen ändern (Abschnitte 19.3 und 19.6 der Nutzungsbedingungen), insbesondere um Änderungen der Datenschutzgesetze, Entscheidungen von Behörden oder Gerichten, neue Fassungen der Standardvertragsklauseln oder des UK-Addendums oder Änderungen des Dienstes widerzuspiegeln. Eine neue Fassung dieses AVV erhält eine neue Versionsnummer, und die Software bittet Ihre Berechtigten Nutzer, sie anzunehmen (Abschnitt 1.1 und Abschnitt 1.8(b) der Nutzungsbedingungen). Eine Änderung, die den Schutz personenbezogener Kundendaten verringert, wird für Sie nur wirksam, wenn Sie ihr zustimmen. Gesetzlich erforderliche Änderungen werden wirksam, wenn das Gesetz es verlangt. Änderungen von Unterauftragsverarbeitern folgen stattdessen Abschnitt 7.

17.3 Teilunwirksamkeit. Ist eine Bestimmung dieses AVV unwirksam oder nicht durchsetzbar oder wird sie es, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt; es gilt Abschnitt 23.3 der Nutzungsbedingungen.

17.4 Anwendbares Recht und Gerichtsstand. Dieser AVV unterliegt dem Recht der Bundesrepublik Deutschland, auch wenn die Nutzungsbedingungen einem anderen Recht unterliegen, weil Art. 28 Abs. 3 DSGVO einen Vertrag nach dem Recht der Union oder eines Mitgliedstaats verlangt. Die Bestimmungen der Nutzungsbedingungen zu Gerichtsstand und Streitbeilegung gelten, außer wo die Standardvertragsklauseln oder Datenschutzgesetze etwas anderes verlangen.

17.5 Sprache. Die englische Fassung dieses AVV ist das Original. Übersetzungen werden zur Orientierung bereitgestellt. Schreibt zwingendes Recht in Ihrem Land vor, dass die Fassung in Ihrer Sprache Vorrang hat, so hat diese Vorrang.

17.6 Mitteilungen. Wir senden Mitteilungen nach diesem AVV per E-Mail an die Konto-E-Mail-Adressen Ihrer Berechtigten Nutzer und, sofern Sie uns einen genannt haben, an Ihren Datenschutzkontakt. Bitte senden Sie Mitteilungen an uns an legal@mailistix.com. Sie können uns unter dieser Adresse jederzeit einen Datenschutzkontakt nennen oder ändern.

Unterschrift (nur für auf Anfrage nach Abschnitt 1.1 unterzeichnete Kopien)

Anlage 1 – Beschreibung der Verarbeitung

Diese Anlage beschreibt die Verarbeitung nach Art. 28 Abs. 3 DSGVO und dient, soweit diese Anwendung finden, als Anhang I der Standardvertragsklauseln.

Teil A – Parteien

Teil B – Kategorien betroffener Personen

• Berechtigte Nutzer: Ihre Mitarbeiter, Auftragnehmer und sonstigen Personen, die den Dienst mit Konten für Ihre geschäftlichen Zwecke nutzen, einschließlich der Inhaber Verbundener Postfächer.
• Korrespondenzpartner: Absender und Empfänger (An, Cc) der verarbeiteten E-Mails und andere Teilnehmer der betreffenden E-Mail-Konversationen.
• Personen, die in E-Mail-Texten, Betreffzeilen, Signaturen, Anhangnamen, Anhangtextpassagen und Links genannt oder anderweitig identifizierbar sind.
• Organisatoren und Teilnehmer von Meetings, für die ein Briefing angefordert wird, und in der Einladung genannte Personen.
• Kontakte, deren Namen und E-Mail-Adressen als häufigste Korrespondenzpartner des Berechtigten Nutzers mit einer Ask-AI-Frage gesendet werden oder deren Sprach- und Förmlichkeitspräferenzen mit einer Entwurfsanfrage gesendet werden.

Teil C – Kategorien personenbezogener Daten

Entwurfs- und Umformulierungsanfragen enthalten außerdem den Namen, die E-Mail-Adresse und die Zeitzone des Berechtigten Nutzers, der sie startet; Ask-AI- und Meeting-Briefing-Anfragen enthalten das aktuelle Datum und die Zeitzone des Berechtigten Nutzers.

Die innerhalb der in Anlage 3 aufgeführten Anbieter verwendeten Modelle können sich ändern, auch für Qualitätsvergleiche. Solche Änderungen bleiben stets innerhalb der in Anlage 3 festgelegten Unterauftragsverarbeiter und Verarbeitungsregionen und der Regionseinstellung des Berechtigten Nutzers.

Teil D – Besondere Kategorien personenbezogener Daten und Daten über Straftaten

Der Dienst verarbeitet nicht absichtlich besondere Kategorien personenbezogener Daten oder Daten über strafrechtliche Verurteilungen und Straftaten. Solche Daten können beiläufig in den Inhalten von E-Mails, Anhängen oder Meetings vorkommen, die ein Berechtigter Nutzer an eine KI-Funktion sendet (Abschnitt 14.2). Für alle personenbezogenen Kundendaten, einschließlich solcher Daten, gelten die folgenden Schutzmaßnahmen: Verarbeitung nur, wenn ein Berechtigter Nutzer eine Funktion startet; keine Speicherung von Inhalten von KI-Anfragen oder KI-Ausgaben; keine Verwendung für Training; keine menschliche Durchsicht außer nach Abschnitt 5.2; Verschlüsselung bei der Übertragung; Verarbeitung in der EU für Berechtigte Nutzer mit der Regionseinstellung „In Europa“ oder ohne Antwort; und die Maßnahmen in Anlage 2.

Teil E – Art der Verarbeitung

Empfang der Anfrage von der Software; Zusammenstellung des Prompts auf dem Server aus den Daten, die die Funktion benötigt; Übermittlung an ein KI-Modell eines Unterauftragsverarbeiters und Rückgabe der Ausgabe an die Software (gestreamt, wo die Funktion dies unterstützt); Weiterleitung von OAuth-Austauschvorgängen und Ein-Klick-Abmeldeanfragen; Empfang, kurzzeitige Speicherung und Weitergabe von Push-Benachrichtigungen; Speicherung von Support-Uploads; planmäßige Löschung all dessen.

Teil F – Zwecke

Um den Dienst für Sie zu erbringen, nämlich: die von einem Berechtigten Nutzer angeforderte KI-Ausgabe zu erzeugen; Verbundene Postfächer zu verbinden; der Software neue oder geänderte E-Mails in Echtzeit mitzuteilen; Newsletter abzubestellen, ohne dem Absender die IP-Adresse des Berechtigten Nutzers zu offenbaren; und Supportanfragen zu bearbeiten.

Teil G – Dauer und Häufigkeit

Die Verarbeitung dauert für die Laufzeit dieses AVV (Abschnitt 17.1) zuzüglich der Löschfristen in Teil H. Sie findet fortlaufend statt, jedes Mal, wenn ein Berechtigter Nutzer eine Funktion startet oder sich ein Verbundenes Postfach ändert.

Teil H – Aufbewahrung

Zu Ihrer Information: Nutzungsmetadaten von KI-Anfragen (ohne Inhalt) werden 180 Tage aufbewahrt und Sicherheitsereignisaufzeichnungen 180 Tage. Wir verarbeiten sie als eigenständiger Verantwortlicher (Abschnitt 2.4).

Teil I – Verarbeitungsorte

• Datenbank und Dateispeicher der Cloud-Dienste: Frankfurt, Deutschland (Amazon Web Services, betrieben von Supabase). Die Supabase Pte. Ltd. (Singapur) und ihre Gruppe können zu Support- und Betriebszwecken darauf zugreifen (Abschnitt 12.1(b)).
• Serverfunktionen für KI-Anfragen: nur EU-Edge-Regionen von Supabase; standardmäßig Frankfurt, und die Konfiguration lässt nur Frankfurt, Irland und Paris zu.
• KI-Modelle: Microsoft Azure OpenAI in der EU Data Zone; Google Vertex AI in der EU-Multiregion; für Berechtigte Nutzer, die „Außerhalb Europas“ geantwortet haben, einige Gemini-Modelle am globalen Endpunkt von Google.
• Gmail-Benachrichtigungen: Google Cloud Pub/Sub (globale Infrastruktur von Google, keine feste Region).
• Support-E-Mails und Nachrichten aus dem Kontaktformular: Microsoft 365, EU Data Boundary; Nachrichten aus dem Kontaktformular laufen über das Netzwerk von Cloudflare.
• Übrige Serverfunktionen: die dem Aufrufer nächstgelegene Supabase-Edge-Region, die außerhalb der EU liegen kann (Abschnitt 12.1(c)).

Teil J – Zuständige Aufsichtsbehörde

• Für die Module 2 und 3 (Klausel 13): (i) wenn Sie in einem EU-Mitgliedstaat niedergelassen sind, die dort für Sie zuständige Aufsichtsbehörde; (ii) wenn Sie nicht in der EU niedergelassen sind, aber nach Art. 3 Abs. 2 DSGVO deren Anwendungsbereich unterfallen und einen Vertreter nach Art. 27 Abs. 1 DSGVO benannt haben, die Aufsichtsbehörde des Mitgliedstaats, in dem Ihr Vertreter niedergelassen ist; (iii) wenn Sie nicht in der EU niedergelassen sind, nach Art. 3 Abs. 2 DSGVO deren Anwendungsbereich unterfallen und keinen Vertreter benennen müssen (Art. 27 Abs. 2 DSGVO), die Berliner Beauftragte für Datenschutz und Informationsfreiheit, Alt-Moabit 59–61, 10555 Berlin, Deutschland, als Behörde eines Mitgliedstaats, in dem sich die betroffenen Personen befinden.
• Für Übermittlungen, die der UK GDPR unterliegen: das Information Commissioner's Office. Für Übermittlungen, die dem revDSG unterliegen: der EDÖB (Abschnitt 12.6).
• Unsere eigene Aufsichtsbehörde: die Berliner Beauftragte für Datenschutz und Informationsfreiheit, Alt-Moabit 59–61, 10555 Berlin, Deutschland.

Anlage 2 – Technische und organisatorische Maßnahmen (TOM)

Diese Anlage beschreibt die Maßnahmen nach Art. 32 DSGVO, gegliedert in Anlehnung an die Überschriften von Art. 32 DSGVO und ISO/IEC 27001. Teil A betrifft die Cloud-Dienste, die in unserer Verantwortung liegen. Teil B beschreibt die Sicherheitsfunktionen der Software, die unter Ihrer Kontrolle läuft (Abschnitt 3). Diese Anlage beschreibt nur Maßnahmen, die umgesetzt sind.

Teil A – Cloud-Dienste

A.1 Governance und Personal

• Verantwortung für Informationssicherheit und Datenschutz: Marvin Muvunyi (Geschäftsführer). Datenschutzkontakt: legal@mailistix.com.
• Interne Richtlinien zur Aufbewahrung und Löschung sowie zur Reaktion auf Vorfälle und zur Meldung von Verletzungen, mindestens einmal jährlich überprüft.
• Personen mit Zugriff auf personenbezogene Kundendaten sind zur Vertraulichkeit verpflichtet (Abschnitt 5) und in Datenschutz und Sicherheit unterwiesen. Der Zugriff endet, wenn er nicht mehr benötigt wird.
• Es gibt keine Administrationsoberfläche der Anwendung. Die Administration erfolgt ausschließlich in den Konsolen unserer Anbieter (Supabase, Google Cloud, Microsoft Azure und Entra, Polar, GitHub, Cloudflare). Der Zugriff darauf ist auf unseren Geschäftsführer beschränkt.

A.2 Zutrittskontrolle

• Wir betreiben keine eigenen Rechenzentren oder Server. Die Cloud-Dienste laufen in Rechenzentren von Supabase (auf Amazon Web Services), Google und Microsoft, deren physische Sicherheit nach anerkannten Standards wie ISO/IEC 27001 und SOC 2 zertifiziert ist.
• Für die Administration verwendete Geräte haben eine Festplattenvollverschlüsselung, eine automatische Bildschirmsperre und ein unterstütztes Betriebssystem.

A.3 Zugangskontrolle (Authentifizierung)

Für Berechtigte Nutzer (Supabase Auth):

• Keine Passwörter: Registrierung und Anmeldung nur mit einem 6-stelligen Einmalcode, der an die Konto-E-Mail-Adresse gesendet wird, 15 Minuten gültig, einmal verwendbar, erzeugt aus einer kryptografisch sicheren Zufallsquelle; er bestätigt zugleich die E-Mail-Adresse.
• Ratenbegrenzungen pro IP-Adresse für Anmeldung, Registrierung und Codeprüfung sowie eine Begrenzung für Konto-E-Mails.
• Sitzungen: Zugriffstokens 1 Stunde gültig; Refresh-Tokens rotieren; eine Sitzung endet nach 90 Tagen ohne Nutzung. Die Abmeldung widerruft alle Refresh-Tokens des Nutzers.
• Das Löschen eines Kontos erfordert einen an die Konto-E-Mail-Adresse gesendeten Einmalcode, der innerhalb der letzten 10 Minuten eingegeben wurde, und eine eingegebene Bestätigung. Eine Änderung der E-Mail-Adresse muss von beiden Adressen aus bestätigt werden.
• Keine Standardkonten und keine statischen Administratorschlüssel an einer erreichbaren Schnittstelle.
• Der Postfachzugriff verwendet den OAuth-2.0-Autorisierungscode-Flow mit PKCE (S256) im System-Browser. Der State-Wert ist zufällig, einmal verwendbar und 10 Minuten gültig. Client-Secrets existieren nur auf dem Server.

Für Administratoren:

• Die Administration erfolgt ausschließlich in den unter A.1 genannten Anbieterkonsolen, über persönliche Konten unseres Geschäftsführers; es gibt keine gemeinsam genutzten Administratorkonten.
• Privilegierte Datenbankfunktionen, wie das Löschen eines Kontos auf Anfrage oder die Verlängerung einer Testphase, können nur von der Datenbank-Eigentümerrolle in der Konsole des Anbieters ausgeführt werden, nicht über die API der Cloud-Dienste.

A.4 Zugriffskontrolle (Autorisierung)

• Row-Level Security ist für alle Tabellen des öffentlichen Datenbankschemas aktiviert; Richtlinien vergleichen den Nutzer jedes Datensatzes mit dem authentifizierten Nutzer. Die einzige gemeinsam genutzte Tabelle ist eine schreibgeschützte Tabelle mit Tarifgrenzen.
• Die anonyme Rolle hat keine Tabellenrechte. Die authentifizierte Rolle hat nur die Rechte, die eine Richtlinie stützt. Datenbankrechte werden nach jeder Datenbankmigration mit einem geprüften Snapshot verglichen.
• Alle privilegierten Datenbankfunktionen (SECURITY DEFINER) verwenden einen leeren Suchpfad; diejenigen, die Nutzer aufrufen können, leiten den Nutzer aus dem verifizierten Token ab.
• Serverfunktionen verifizieren das Zugriffstoken und ermitteln den Nutzer über Supabase Auth. Sie übernehmen nie eine Nutzerkennung aus der Anfrage, beschränken jede Abfrage auf diesen Nutzer und schlagen im Zweifel fehl (fail closed).
• Webhooks ermitteln den Postfachinhaber aus serverseitigen Verzeichnissen, die unter dem authentifizierten Nutzer geschrieben wurden, nie aus dem Benachrichtigungsinhalt.
• Support-Uploads werden in einem privaten Speicher-Bucket abgelegt und nie wieder ausgeliefert.
• Serverseitige Geheimnisse werden in den Supabase-Edge-Function-Secrets und im Vault aufbewahrt, nicht im Quellcode. Secret-Scanning deckt den Quellcode und seinen gesamten Verlauf ab. Das Software-Paket enthält nur eine auf einer Positivliste stehende öffentliche Konfiguration.

A.5 Trennungskontrolle

• Die Datensätze jedes Nutzers sind logisch durch Row-Level Security und nutzerbezogene Abfragen getrennt.
• Jede KI-Anfrage wird gesondert verarbeitet; nichts davon wird zwischen Anfragen auf dem Server aufbewahrt.

A.6 Pseudonymisierung und Datenminimierung

• Der Inhalt von KI-Anfragen und KI-Ausgaben wird nicht gespeichert; die Nutzung wird als Metadaten ohne Inhalt aufgezeichnet.
• Prompts werden auf dem Server nur aus den Daten zusammengestellt, die die Funktion benötigt, innerhalb fester Größengrenzen (Anlage 1, Teil C).
• Protokolle der Serverfunktionen enthalten nur Codes und Zählwerte, keine Tokens, Adressen oder Inhalte; unser Hosting-Anbieter bewahrt sie bis zu 90 Tage auf.
• Push-Benachrichtigungen enthalten keinen E-Mail-Inhalt. Abmeldelinks werden weder protokolliert noch gespeichert.
• Webhook-Geheimnisse pro Abonnement werden nur als SHA-256-Hashes gespeichert.
• Sicherheitsereignisaufzeichnungen verlieren die Nutzerkennung, wenn das Konto gelöscht wird.
• Optionale Telemetrie verwendet eine zufällige pseudonyme Kennung und enthält nie E-Mail-Inhalte oder KI-Texte.

A.7 Verschlüsselung

• Bei der Übertragung: TLS 1.2 oder 1.3 bei allen Verbindungen zwischen der Software, den Cloud-Diensten, unseren Unterauftragsverarbeitern und den Postfachanbietern. Nirgends wird eine Zertifikatsprüfung deaktiviert, und Release-Builds der Software verweigern Schalter, die TLS schwächen. Die API-Endpunkte verwenden HSTS.
• Im Ruhezustand: Die Datenbank und der Dateispeicher werden von Supabase verschlüsselt (AES-256); serverseitige Geheimnisse werden von der Plattform im Ruhezustand verschlüsselt.

A.8 Weitergabekontrolle

• KI-Anfragen laufen nur in EU-Edge-Regionen von Supabase; die Serverfunktionen verweigern die Verarbeitung von KI-Anfragen in jeder anderen Region.
• KI-Anbieter werden nur an festen Endpunkten aufgerufen. Microsoft Azure OpenAI wird mit ausgeschalteter Speicherung der Antworten aufgerufen.
• Webhooks werden authentifiziert: Polar durch HMAC-SHA256 über den rohen Body mit zeitkonstantem Vergleich und Zeitstempeln, die nicht älter als 5 Minuten sind; Google Pub/Sub durch ein von Google signiertes OIDC-Token, geprüft auf Aussteller, Zielgruppe, das festgelegte Dienstkonto und eine Lebensdauer von höchstens 1 Stunde; Microsoft Graph durch ein zufälliges 256-Bit-Geheimnis pro Abonnement. Request-Bodys sind größenbegrenzt.
• Cross-Origin-Anfragen sind durch eine Positivliste beschränkt, ohne Zugangsdaten.
• Ein-Klick-Abmeldeanfragen gehen nur an HTTPS-Adressen, die auf öffentliche IP-Adressen aufgelöst werden, ohne Cookies, Zugangsdaten oder Referrer, und Weiterleitungen werden nicht verfolgt.
• Personenbezogene Kundendaten werden nur an die in Anlage 3 aufgeführten Unterauftragsverarbeiter weitergegeben.

A.9 Eingabekontrolle (Protokollierung)

• Ein Sicherheitsereignisprotokoll zeichnet Ereignisse auf wie ein verbundenes Postfach oder eine fehlgeschlagene Verbindung, eine von einem Administrator verlängerte Testphase oder eine vom Leak Guard zurückgehaltene KI-Antwort, mit Zeitpunkt, Ergebnis und Code (180 Tage).
• KI-Nutzungsaufzeichnungen enthalten Funktion, Modell, Status, Tokens, Credits und Zeitpunkt, ohne Inhalt (180 Tage).
• Protokolle der Software und der Serverfunktionen durchlaufen eine zentrale Schwärzung von Zugangsdaten, Tokens und E-Mail-Inhalten.
• Administrative Aktionen in Google Cloud werden von Google protokolliert (Admin Activity audit logs).

A.10 Verfügbarkeit und Belastbarkeit

• Die Cloud-Dienste laufen auf verwalteter Infrastruktur (Supabase auf Amazon Web Services, Frankfurt).
• Backups: eine tägliche Sicherung der Datenbank der Cloud-Dienste, 7 Tage aufbewahrt (Abschnitt 10.4); nach einer Wiederherstellung werden die seit dem Backup vorgenommenen Löschungen erneut angewendet. Personenbezogene Kundendaten in den Cloud-Diensten sind kurzlebig (Anlage 1, Teil H), und Postfachdaten hängen nicht von den Cloud-Diensten ab.
• KI-Anfragen nutzen Fallback-Ketten über Microsoft Azure OpenAI und Google Vertex AI und einen Circuit Breaker für ausfallende Anbieter, damit der Ausfall eines Anbieters die KI-Funktionen nicht stoppt.
• Ratenbegrenzungen und eine tägliche Kostenobergrenze für die KI-Verarbeitung pro Nutzer schützen vor Überlastung und Missbrauch.
• Postfachdaten bleiben unabhängig von den Cloud-Diensten beim Postfachanbieter verfügbar.
• Fehler der Serverfunktionen werden als Fehlercodes ohne Inhalt an Sentry (EU-Region) gemeldet; ein Alarm über eine zurückgehaltene KI-Antwort enthält zudem einen Hash der Nutzerkennung.

A.11 Vorfallmanagement

• Ein dokumentiertes Verfahren zur Erkennung, Eindämmung, Bewertung, Meldung, Wiederherstellung und Nachbereitung von Vorfällen; Benachrichtigung von Geschäftskunden nach Abschnitt 9.
• Ein öffentlicher Meldekanal für Sicherheitslücken nach der Richtlinie zur Meldung von Sicherheitslücken.

A.12 Regelmäßige Überprüfung, Bewertung und Evaluierung

• Statische Codeanalyse der Software und der Serverfunktionen vor der Veröffentlichung.
• Automatisierte Testsuiten, einschließlich Tests der Sicherheitsgrenzen der Software und der Serverfunktionen; geplante CI-Läufe.
• Automatisierte Abhängigkeitswarnungen und Sicherheitsupdates; Schwachstellenprüfungen der Produktionsabhängigkeiten (npm audit, OSV); Secret-Scanning.
• Prüfungen der TLS-Konfiguration unserer Endpunkte.
• Überprüfung dieser Anlage mindestens einmal jährlich und nach wesentlichen Änderungen.

A.13 Auftragskontrolle (Unterauftragsverarbeiter)

• Unterauftragsverarbeiter werden nach ihren Sicherheits- und Datenschutzgarantien ausgewählt und durch Verträge nach Art. 28 Abs. 4 DSGVO gebunden.
• Konfiguration, die die Verarbeitung begrenzt: EU-Regionen für KI-Anfragen und KI-Modelle (bei der Regionseinstellung „In Europa“ oder ohne Antwort), Azure OpenAI in der EU Data Zone, Speicherung der Antworten aus, kein Training nach den Bedingungen der Anbieter.
• Mitarbeiter handeln nur auf Weisung; personenbezogene Kundendaten werden nicht für unsere eigenen Zwecke verwendet (Abschnitt 4.6).

A.14 Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen

• Die KI-Funktionen sind ausgeschaltet, bis ein Berechtigter Nutzer sie in einem Einwilligungsdialog aktiviert, und können jederzeit ausgeschaltet werden.
• Die Region ist standardmäßig die EU: Ohne Antwort bleibt die KI-Verarbeitung in der EU.
• Telemetrie und Absturzberichte nur mit Opt-in.
• Die Software sendet nie von sich aus eine E-Mail oder eine Meeting-Antwort; Entwürfe werden nur vom Berechtigten Nutzer gesendet.
• Externe Bilder in E-Mails sind standardmäßig blockiert.
• Automatisierte Löschjobs setzen die Aufbewahrungsfristen in Anlage 1, Teil H durch.

A.15 KI-spezifische Schutzmaßnahmen

• E-Mail-Inhalte werden dem Modell als gekennzeichnete, nicht vertrauenswürdige Daten übergeben; Anweisungen an das Modell werden nur auf dem Server aufbewahrt.
• Ein Leak Guard hält Antworten zurück, die interne Anweisungen wiedergeben, und zeichnet das Ereignis ohne den Antworttext auf.
• Die Modelle können keine Aktionen ausführen: Sie können in einem Postfach nichts senden, löschen oder ändern, und jede Ausgabe wird dem Berechtigten Nutzer angezeigt.

Teil B – Sicherheitsfunktionen der Software (unter Ihrer Kontrolle)

• Die lokale E-Mail-Datenbank ist mit ChaCha20-Poly1305 (SQLite3MultipleCiphers) unter einem zufälligen 256-Bit-Schlüssel verschlüsselt, den der Zugangsdatenspeicher des Betriebssystems schützt (macOS Keychain, Windows Data Protection API). Die Schlüsseldatei ist nur für den Eigentümer lesbar. Release-Builds weigern sich, eine unverschlüsselte Datenbank zu öffnen.
• Postfach-Tokens und die Mailistix-Sitzung werden mit dem Zugangsdatenspeicher des Betriebssystems verschlüsselt und nicht im Browser-Speicher abgelegt.
• Geöffnete Anhänge werden verschlüsselt (AES-256-GCM) höchstens 7 Tage und 512 MiB zwischengespeichert; vorübergehende Klartextkopien werden nach 10 Minuten gelöscht. Das lokale Supportprotokoll ist verschlüsselt und wird höchstens 7 Tage aufbewahrt.
• Protokollausgaben werden von Zugangsdaten, Tokens, Adressen und E-Mail-Inhalten bereinigt.
• E-Mail-HTML wird bereinigt und in einem Sandbox-Frame ohne Skripte unter einer Content Security Policy angezeigt. Externe Bilder sind standardmäßig blockiert. Anhangvorschauen laufen in einer Sandbox ohne Netzwerkzugriff. Der Dateizugriff ist auf die eigenen Ordner der Software beschränkt.
• Die Postfachanmeldung findet im System-Browser statt, nicht in einem eingebetteten Browser.
• Der macOS-Build verwendet die Hardened Runtime. Updates werden über HTTPS heruntergeladen und erst installiert, nachdem der Nutzer dies bestätigt; die Signatur des Windows-Installers wird geprüft.
• Das Entfernen eines Verbundenen Postfachs beendet dessen Push-Benachrichtigungen, löscht seine lokalen E-Mails und widerruft den Zugriff auf ein Google-Postfach. Das Löschen des Kontos löscht die lokalen Daten dieses Kontos auf dem Gerät.
• Ihre Verantwortung: Sicherheit der Geräte und Betriebssystemkonten, Geräteverschlüsselung, Bildschirmsperre, Datensicherungen und Löschung lokaler Daten, wenn ein Gerät ausgemustert wird.

Anlage 3 – Unterauftragsverarbeiter

Die genehmigten Unterauftragsverarbeiter, mit den Daten, die sie verarbeiten, ihren Verarbeitungsorten und den Garantien für die Übermittlung, sind auf unserer Seite der Unterauftragsverarbeiter aufgeführt. Diese Seite ist Teil dieser Anlage; Änderungen folgen Abschnitt 7. Die nachstehende Tabelle fasst die Unterauftragsverarbeiter zusammen, die personenbezogene Kundendaten verarbeiten. Anbieter, die nur Daten verarbeiten, für die wir eigenständiger Verantwortlicher sind (zum Beispiel optionale Produktanalysen, Fehlerberichte der App und Konto-E-Mails), sind ebenfalls auf dieser Seite aufgeführt, aber keine Unterauftragsverarbeiter nach diesem AVV.

Jeder Unterauftragsverarbeiter setzt eigene Unterauftragsverarbeiter ein (zum Beispiel nutzt Supabase Amazon Web Services), die er in seiner eigenen Dokumentation aufführt.