Unterauftragsverarbeiter von Mailistix

Version: 1.6 · Gültig ab: 1. November 2026

Diese Seite führt die Dritten auf, die in unserem Auftrag personenbezogene Daten verarbeiten („Unterauftragsverarbeiter“), um den Mailistix-Dienst zu erbringen. Sie ist Anlage 3 unseres Auftragsverarbeitungsvertrags und ergänzt unsere Datenschutzerklärung. Die letzte Spalte zeigt, welche Unterauftragsverarbeiter personenbezogene Kundendaten verarbeiten, die wir im Auftrag von Geschäftskunden nach dem Auftragsverarbeitungsvertrag verarbeiten; die übrigen verarbeiten nur Daten, für die wir Verantwortlicher sind. Abschnitt 4 enthält die nach Art. 28 Abs. 1 der EU-Datenverordnung erforderlichen Angaben.

Was nie einen Unterauftragsverarbeiter erreicht: Ihr Postfach wird unmittelbar zwischen der Mailistix-App auf Ihrem Gerät und Ihrem Postfachanbieter (zum Beispiel Google oder Microsoft) synchronisiert. Ihre E-Mails werden ausschließlich auf Ihrem Gerät in einer verschlüsselten Datenbank gespeichert. E-Mail-Inhalte gelangen nur dann auf unsere Server und zu den nachstehend genannten KI-Anbietern, wenn Sie eine KI-Funktion nutzen, und nur für die Dauer, die zur Beantwortung dieser Anfrage erforderlich ist. Darüber hinaus erhalten unsere Server nur technische Daten zu Ihren Postfächern (wie die Postfachadresse und Änderungsbenachrichtigungen ohne Inhalt), die Anmeldecodes und Tokens für ein Postfach, wenn Sie es verbinden (durchgeleitet, nicht gespeichert), den Abmeldelink eines Newsletters, den Sie abbestellen, und das, was Sie uns von sich aus für den Support übermitteln.

1. Unterauftragsverarbeiter

Unsere KI-Anbieter dürfen Anfragedaten nach ihren Bedingungen für begrenzte Zeit zu betrieblichen Zwecken und zur Missbrauchsüberwachung aufbewahren: Google Vertex AI bis zu 24 Stunden im Arbeitsspeicher (Caching) und bis zu 90 Tage für Prompts, die als möglicher Missbrauch markiert wurden, Microsoft Azure OpenAI bis zu 30 Tage; autorisierte Mitarbeiter des Anbieters können markierte Anfragen prüfen. Siehe die Hinweise zu KI-Funktionen und Anlage 1 des Auftragsverarbeitungsvertrags. Jeder Unterauftragsverarbeiter setzt seinerseits eigene Unterauftragsverarbeiter ein (zum Beispiel nutzt Supabase Amazon Web Services), die er in seiner eigenen Dokumentation aufführt.

2. Eigenständige Verantwortliche (keine Unterauftragsverarbeiter)

Diese Parteien erhalten personenbezogene Daten, entscheiden jedoch selbst über deren Verarbeitung. Es gelten ihre eigenen Datenschutzerklärungen.

Polar hat seinen Sitz in den Vereinigten Staaten und ist nicht unter dem EU-U.S. Data Privacy Framework zertifiziert. Unsere Vereinbarung mit Polar umfasst den Datenverarbeitungszusatz (Data Processing Addendum) von Polar mit den EU-Standardvertragsklauseln; soweit diese eine Übermittlung nicht abdecken, ist die Übermittlung für den von Ihnen gewünschten Kauf erforderlich (Art. 49 Abs. 1 Buchst. b DSGVO). Siehe Abschnitt 9.5 der Datenschutzerklärung.

3. Änderungen dieser Liste

Neue Unterauftragsverarbeiter kündigen wir mindestens 14 Tage, bevor sie mit der Verarbeitung personenbezogener Daten beginnen, auf dieser Seite an. Geschäftskunden informieren wir zusätzlich durch eine Mitteilung an die Konto-E-Mail-Adressen ihrer Nutzer oder in der Software sowie, sofern sie uns einen Datenschutzkontakt genannt haben, per E-Mail an diesen (Abschnitt 7.3 des Auftragsverarbeitungsvertrags). Geschäftskunden können wie in Abschnitt 7 des Auftragsverarbeitungsvertrags beschrieben widersprechen. In einem Notfall (zum Beispiel, um den Dienst sicher oder verfügbar zu halten) dürfen wir einen Ersatz früher beauftragen und werden Sie unverzüglich informieren; soweit die EU-Standardvertragsklauseln Anwendung finden, haben deren Regelungen zur Benachrichtigung Vorrang.

4. Informationen nach der EU-Datenverordnung

Art. 28 Abs. 1 der EU-Datenverordnung (Verordnung (EU) 2023/2854) verpflichtet Anbieter von Datenverarbeitungsdiensten, auf ihrer Website anzugeben, welcher Gerichtsbarkeit die für jeden ihrer Dienste genutzte IKT-Infrastruktur unterliegt und welche Maßnahmen sie gegen den internationalen staatlichen Zugang zu in der Union gespeicherten Daten ergreifen, der im Widerspruch zum Unionsrecht oder zum nationalen Recht eines Mitgliedstaats stünde. Ihre Rechte auf Anbieterwechsel und Datenabruf nach der Datenverordnung sind in Abschnitt 15.10 unserer Nutzungsbedingungen geregelt.

4.1 Infrastruktur und Gerichtsbarkeit

4.2 Maßnahmen gegen rechtswidrigen staatlichen Zugang

• Technisch: Ihre Postfachdaten verbleiben auf Ihren Geräten, in einer verschlüsselten Datenbank, deren Schlüssel Ihr Betriebssystem schützt; wir halten keine Kopie davon vor. Wir speichern weder den Inhalt von KI-Anfragen noch den der KI-Ausgaben. Unsere Datenbank und unser Dateispeicher befinden sich in Frankfurt, und unsere Serverfunktionen für KI-Anfragen laufen nur an Standorten in der EU; sie weisen KI-Anfragen in jeder anderen Region zurück. Alle Verbindungen sind verschlüsselt (TLS 1.2 oder 1.3), und unsere Datenbank und unser Dateispeicher sind im Ruhezustand verschlüsselt (wir führen derzeit keine Datenbanksicherungen). Wir halten nur die Daten vor, die der Dienst benötigt, und löschen sie nach festen Zeitplänen (Anlage 1, Teil H des Auftragsverarbeitungsvertrags).
• Organisatorisch: Wir legen Daten gegenüber einer Behörde nur offen, wenn eine verbindliche Anordnung dies rechtlich verlangt. Wir versuchen dann, die Behörde an den Kunden zu verweisen, benachrichtigen den Kunden, sofern das Gesetz dies nicht verbietet, prüfen die Anordnung und fechten sie an, wenn berechtigte Gründe für die Annahme bestehen, dass sie rechtswidrig ist, legen nur das nach der Anordnung mindestens Erforderliche offen und dokumentieren unsere Reaktion (Abschnitt 13 des Auftragsverarbeitungsvertrags). Wir haben keine Möglichkeiten für einen unmittelbaren Zugriff von Behörden auf Daten geschaffen.
• Vertraglich: Unsere Anbieter sind durch Datenverarbeitungsbedingungen gebunden. Soweit die EU-Standardvertragsklauseln Anwendung finden, verpflichtet deren Klausel 15 den Anbieter, uns über Anfragen von Behörden zu benachrichtigen, ihre Rechtmäßigkeit zu prüfen und sie anzufechten, wenn hierfür Gründe bestehen. Microsoft und Google veröffentlichen zudem ihre eigenen Zusagen, Anfragen staatlicher Stellen nach Kundendaten anzufechten.