Auftragsverarbeitungsvertrag

Dieser Auftragsverarbeitungsvertrag ("AVV") ist Bestandteil der SmartMailing-Nutzungsbedingungen zwischen Ionuț-Săndel Badiu, Einzelunternehmer, Nordbahnstraße 13/11, 1020 Wien, Österreich, GISA-Zahl 40104775 ("SmartMailing", "Auftragsverarbeiter") und dem Kunden, der die SmartMailing-Plattform nutzt ("Kunde", "Verantwortlicher"). Er regelt die Verarbeitung personenbezogener Daten durch SmartMailing im Auftrag des Kunden im Zusammenhang mit dem Dienst.

Soweit dieser AVV den Nutzungsbedingungen widerspricht, hat dieser AVV in Datenschutzfragen Vorrang. Großgeschriebene Begriffe, die hier nicht definiert sind, haben die in den Nutzungsbedingungen oder in der DSGVO (Verordnung (EU) 2016/679) festgelegte Bedeutung.

1. Gegenstand, Art, Zweck und Dauer

Gegenstand: SmartMailing verarbeitet personenbezogene Daten der Abonnenten des Kunden (die "personenbezogenen Kundendaten") im Zusammenhang mit der Bereitstellung des Dienstes, nämlich einer E-Mail-Marketing-Plattform, mit der der Kunde Abonnenten erfassen, organisieren, segmentieren und anschreiben kann.

Art der Verarbeitung: Speicherung, Organisation, Strukturierung, Abruf, Einsichtnahme, Übermittlung (Versand von E-Mails auf Weisung des Kunden), Hosting von Kundeninhalten, Empfang und Speicherung eingehender Antworten, KI-gestütztes Entwerfen und Ranking (Ergebnisse werden dem Kunden zur Freigabe angezeigt), Interaktionsmessung und Segmentierung, Löschung und Vernichtung.

Zweck der Verarbeitung: Erbringung des vom Kunden abonnierten Dienstes. SmartMailing verarbeitet personenbezogene Kundendaten nicht für eigene Zwecke.

Dauer: solange das Konto des Kunden aktiv ist, und danach nur wie in Abschnitt 11 beschrieben.

2. Arten personenbezogener Daten und Kategorien betroffener Personen

Betroffene Personen: Personen, die sich für die Verteilerlisten des Kunden angemeldet haben (oder von denen der Kunde behauptet, dass sie sich angemeldet haben); Empfänger von E-Mails, die der Kunde über den Dienst versendet; Besucher des gehosteten Anmeldeformulars des Kunden; Personen, die auf vom Kunden gesendete E-Mails antworten; Besucher der gehosteten Bestätigungs-, Präferenz- und Abmeldeseiten des Kunden; Reviewer, die der Kunde zur Freigabe einer Kampagne einlädt.

Datenkategorien:

Kontaktdaten: E-Mail-Adresse, Name (falls angegeben), Sprachpräferenz
Abonnement-Metadaten: Listenmitgliedschaften, vom Kunden definierte benutzerdefinierte Felder, Opt-in-Quelle, IP-Adresse bei der Anmeldung (falls erfasst), ungefähres Land (aus der IP-Adresse bei der Anmeldung abgeleitet oder vom Kunden angegeben), User-Agent
Einwilligungsnachweise: der betroffenen Person angezeigter Text, Quelle, Datum, IP, Bestätigung durch den Kunden
E-Mail-Interaktionsdaten: Versand- / Zustell- / Öffnungs- / Klick- / Bounce- / Beschwerdeereignisse mit Zeitstempeln
Sperrlisteneinträge: Adressen, die der Kunde niemals anschreiben darf (abgemeldet, unzustellbar, beschwert, DSGVO-gelöscht)
Antwortinhalte: Absenderadresse, Betreff und Nachrichtentext von Antworten, die eingehen, wenn der Kunde die Antwortverarbeitung aktiviert, sowie daraus abgeleitete KI-Antwortentwürfe (Aufbewahrung 12 Monate)
Anmeldedaten aus Formularen und gehosteten Seiten: IP-Adresse und User Agent, die mit der Einwilligung erfasst werden, wenn sich eine betroffene Person über eine gehostete Seite oder ein eingebettetes Formular anmeldet (Anmeldungen durchlaufen eine Bot-Prüfung, Cloudflare Turnstile, deren Ergebnis geprüft, aber nicht gespeichert wird)
Reviewer-Daten: Name, E-Mail-Adresse, Kommentare und Entscheidung von Personen, die der Kunde zur Prüfung einer Kampagne einlädt
Registrierungsdaten aus Formularen: E-Mail-Adresse, Name und Antworten von Personen, die sich über die Event- oder Wartelisten-Formulare des Kunden registrieren (gelöscht 30 Tage nach dem Enddatum, sofern der Kunde eines festlegt)

SmartMailing verarbeitet im Auftrag des Kunden wissentlich keine besonderen Kategorien personenbezogener Daten (Artikel 9 DSGVO). Der Kunde verpflichtet sich, solche Daten nicht über den Dienst hochzuladen.

3. Pflichten des Kunden (Verantwortlicher)

Für jeden zum Dienst hinzugefügten Abonnenten eine Rechtsgrundlage (Artikel 6 DSGVO) aufrechterhalten. Bei von einer anderen Plattform migrierten Abonnentenlisten muss der Kunde die vorherige Einwilligung bestätigen und den ursprünglichen Einwilligungstext über den Importablauf von SmartMailing bereitstellen.
Den betroffenen Personen alle erforderlichen Hinweise bereitstellen (Datenschutzhinweis, Opt-in-Text, Abmeldemechanismus) und an den Kunden gerichtete Betroffenenanfragen beantworten.
Das Double-Opt-in (DOI) verwenden, wo dies nach geltendem Recht erforderlich ist (insbesondere nach dem ePrivacy-Rahmen der DSGVO, wie er in der DACH-Region und in den meisten EU-Ländern umgesetzt ist).
Nur personenbezogene Daten verarbeiten, zu deren Verarbeitung der Kunde berechtigt ist.
Weisungen an SmartMailing nur über die dokumentierten Funktionen des Dienstes erteilen (API, Dashboard usw.). Weisungen außerhalb dieser Kanäle sind unwirksam.
Betroffene Personen über Öffnungs- und Klick-Tracking informieren und deren vorherige Einwilligung einholen, wo das Recht ihres Landes dies verlangt (insbesondere Frankreich und Italien, deren Aufsichtsbehörden ab 2026 eine Einwilligung für Öffnungs-Tracking-Pixel in Marketing-E-Mails verlangen), und Widerrufe beachten. SmartMailing misst Öffnungen und Klicks nur so, wie der Kunde es pro Marke konfiguriert (alle Empfänger außer denen, die abgelehnt haben, nur Empfänger mit Einwilligung, in der EU, im EWR und im Vereinigten Königreich nur Empfänger mit Einwilligung und anderswo alle, oder niemand); eine betroffene Person, deren gespeicherte Antwort Nein lautet, wird nie gemessen, und wo eine Einwilligung nötig ist, werden nur betroffene Personen gemessen, deren gespeicherte Antwort Ja lautet. In der regionalen Einstellung stützt sich SmartMailing auf das für jede betroffene Person gespeicherte Land; für die Richtigkeit der vom Kunden angegebenen Länder ist der Kunde verantwortlich. Gemessene E-Mails enthalten einen Link „Tracking-Einstellungen“, über den betroffene Personen jederzeit widerrufen können, ohne sich abzumelden. Transaktions-E-Mails und Antworten auf Nachrichten betroffener Personen werden nie gemessen.
Die eigene Datenschutzerklärung des Kunden auf Anmeldeformularen und gehosteten Seiten verlinken, damit betroffene Personen die nach Artikel 13 DSGVO erforderlichen Informationen erhalten.
Keine personenbezogenen Daten in Bildern oder Dateien ablegen, die in den Dienst hochgeladen werden, da hochgeladene Dateien über öffentliche Links ausgeliefert werden (siehe Abschnitt 7).
Zur Kenntnis nehmen, dass das Aktivieren der Antwortverarbeitung, das Verknüpfen eines Telegram-Chats oder die Nutzung von KI-Funktionen auf personenbezogene Kundendaten eine Weisung darstellt, die entsprechenden in der Datenschutzerklärung genannten Unterauftragsverarbeiter einzusetzen.

4. Pflichten des Auftragsverarbeiters (SmartMailing)

SmartMailing wird:

personenbezogene Kundendaten ausschließlich nach den dokumentierten Weisungen des Kunden verarbeiten, auch in Bezug auf Übermittlungen außerhalb des EWR, es sei denn, dies ist nach dem Recht der EU oder eines Mitgliedstaats erforderlich (in diesem Fall informiert SmartMailing den Kunden vorab, sofern dies nicht untersagt ist).
den Kunden unverzüglich informieren, wenn eine Weisung nach Auffassung von SmartMailing gegen die DSGVO oder andere Datenschutzvorschriften der EU oder der Mitgliedstaaten verstößt.
sicherstellen, dass die zur Verarbeitung der Daten befugten Personen zur Vertraulichkeit verpflichtet sind.
geeignete technische und organisatorische Maßnahmen umsetzen (siehe Abschnitt 7).
den Kunden bei der Beantwortung von Betroffenenanfragen (Artikel 15-22 DSGVO) mithilfe integrierter Funktionen und, wo erforderlich, technischer Unterstützung unterstützen.
den Kunden bei der Einhaltung der Artikel 32-36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzungen, vorherige Konsultation) unterstützen, unter Berücksichtigung der Art der Verarbeitung und der SmartMailing zur Verfügung stehenden Informationen.
nach Wahl des Kunden alle personenbezogenen Kundendaten nach Ende des Dienstes löschen oder zurückgeben (siehe Abschnitt 11).
alle Informationen bereitstellen, die zum Nachweis der Einhaltung von Artikel 28 DSGVO erforderlich sind.

5. Unterauftragsverarbeiter

Der Kunde ermächtigt SmartMailing, Unterauftragsverarbeiter zur Erbringung des Dienstes einzusetzen. Die aktuelle Liste (mit Standort und Übermittlungsmechanismus) wird in der SmartMailing-Datenschutzerklärung, Abschnitt 3, geführt.

SmartMailing informiert den Kunden mindestens 14 Tage im Voraus (per E-Mail oder In-App-Benachrichtigung), bevor ein Unterauftragsverarbeiter, der personenbezogene Kundendaten verarbeitet, hinzugefügt oder ersetzt wird. Widerspricht der Kunde aus berechtigten Datenschutzgründen, kann der Kunde den betroffenen Teil des Dienstes kündigen.

Jeder Unterauftragsverarbeiter ist durch Datenschutzpflichten gebunden, die nicht weniger schützend sind als die in diesem AVV festgelegten, durch schriftlichen Vertrag oder durch Verweis auf einschlägige Rahmenvereinbarungen (z. B. Supabase DPA, Resend DPA, OpenAI Enterprise DPA, Stripe DPA).

Optionale Unterauftragsverarbeiter (derzeit Telegram für Antwortbenachrichtigungen und OpenAI für KI-Antwortentwürfe und Inhalte) verarbeiten personenbezogene Kundendaten nur für die Funktionen, die der Kunde einschaltet, und der Kunde kann diese Verarbeitung jederzeit beenden, indem er die Funktion deaktiviert. Canva ist kein Unterauftragsverarbeiter personenbezogener Kundendaten: Canva erhält nur die eigenen Designs des Kunden.

6. Internationale Datenübermittlungen

Personenbezogene Kundendaten werden hauptsächlich innerhalb der EU/des EWR und in der Schweiz gespeichert und verarbeitet: Die Anwendungsserver laufen in Frankfurt (Vercel), der produktive E-Mail-Versand über Amazon SES (EU) und der Website-Extraktions-Worker über Hostinger (EU) befinden sich im EWR, während die Datenbank von Supabase in der Schweiz gehostet wird, die von einem EU-Angemessenheitsbeschluss abgedeckt ist (sodass hierfür keine SCC erforderlich sind). Soweit Daten an Verarbeiter außerhalb des EWR ohne Angemessenheitsbeschluss übermittelt werden (insbesondere in die Vereinigten Staaten über OpenAI, Stripe, Cloudflare, Vercel (Support-Zugriff und Edge-Auslieferung) und Resend, das die eigenen E-Mails von SmartMailing, Anmeldecodes für Reviewer und Test-E-Mails versendet), stützt sich SmartMailing auf die Standardvertragsklauseln der Europäischen Kommission (Beschluss 2021/914), ergänzt durch technische und organisatorische Schutzmaßnahmen (TLS bei der Übertragung, Verschlüsselung im Ruhezustand, Zugriffskontrollen, per Signatur oder Geheimnis geprüfte Webhooks).

7. Sicherheitsmaßnahmen

SmartMailing implementiert und unterhält die folgenden technischen und organisatorischen Maßnahmen:

TLS 1.2 oder höher für alle Verbindungen zum Dienst und zwischen unseren Diensten; an Mailserver von Empfängern zugestellte E-Mails nutzen TLS, sofern der empfangende Server es unterstützt
Verschlüsselung im Ruhezustand durch unsere Hosting-Anbieter (Datenbank, Backups und Dateispeicher)
Trennung der Kunden in einer gemeinsamen Datenbank durch zwei Ebenen: Sicherheit auf Zeilenebene (RLS) für alle Zugriffe aus dem Kunden-Dashboard und Eigentumsprüfungen im Server-Code von SmartMailing überall dort, wo seine Server den privilegierten Datenbankschlüssel verwenden, der Browsern nie zugänglich gemacht wird
Passwörter nur als Hash gespeichert (bcrypt, verwaltet durch Supabase Auth); optionale Zwei-Faktor-Anmeldung für jedes Konto
Eingehende Webhooks, geprüft per Signatur oder gemeinsamem Geheimnis
API-Schlüssel werden nur als SHA-256-Hashes gespeichert; der Klartext wird dem Kunden einmalig bei der Erstellung angezeigt
Nachweise über Einwilligungen, Abmeldungen, Sperrungen und DSGVO-Löschungen, aufbewahrt wie in Abschnitt 11 beschrieben; vom E-Mail-Anbieter empfangene Zustellereignisse werden 90 Tage aufbewahrt
Jedes Konto hat einen einzigen Inhaber (noch keine gemeinsamen Team-Rollen); der privilegierte Datenbankschlüssel wird nur vom serverseitigen Code und den Hintergrund-Workern von SmartMailing verwendet und Browsern nie zugänglich gemacht
Ratenbegrenzung und Missbrauchsprävention an öffentlichen Endpunkten
Sicherheitsupdates der Abhängigkeiten, sobald Schwachstellen bekannt werden
Zwei-Faktor-Anmeldung für den administrativen Zugriff von SmartMailing; administrative Änderungen an Kundenkonten (Freigaben, Pausen, Löschungen, Limitänderungen, Zurücksetzen der Zwei-Faktor-Anmeldung) werden protokolliert; das Einsehen von Daten durch Mitarbeiter wird nicht einzeln protokolliert
Automatische Bereinigungsläufe (stündlich), die die Fristen aus Abschnitt 11 und aus der Datenschutzerklärung durchsetzen

Detaillierte Sicherheitsbeschreibungen werden mindestens jährlich überprüft und mit der Weiterentwicklung des Dienstes aktualisiert.

Öffentliches Datei-Hosting. Bilder und Dateien, die zur Verwendung in E-Mails, Signaturen und gehosteten Seiten hochgeladen werden, liegen in einem Datei-Bucket, der sie über öffentliche, nicht authentifizierte Links ausliefert, weil E-Mail-Programme sie laden können müssen. Dieser Speicher ist nicht für personenbezogene Kundendaten bestimmt, und der Kunde darf keine personenbezogenen Daten in hochgeladenen Dateien speichern. Die personenbezogenen Kundendaten selbst (Abonnenten, Einwilligungsnachweise, Interaktionsereignisse, Antworten) werden ausschließlich in der oben beschriebenen zugriffskontrollierten Datenbank gehalten.

8. Meldung von Verletzungen des Schutzes personenbezogener Daten

SmartMailing benachrichtigt den Kunden unverzüglich, und soweit möglich innerhalb von 48 Stunden, nachdem SmartMailing von einer Verletzung des Schutzes personenbezogener Kundendaten Kenntnis erlangt hat. Die Benachrichtigung umfasst: Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen, wahrscheinliche Folgen, ergriffene oder vorgeschlagene Maßnahmen sowie Kontaktdaten für weitere Informationen.

Der Kunde ist dafür verantwortlich, seine betroffenen Personen und die zuständige Aufsichtsbehörde zu benachrichtigen, soweit dies nach den Artikeln 33-34 DSGVO erforderlich ist; SmartMailing leistet angemessene Unterstützung.

9. Unterstützung bei Betroffenenanfragen

SmartMailing stellt integrierte Funktionen bereit, mit denen der Kunde die meisten Betroffenenanfragen selbst bearbeiten kann:

Auskunft: Das Dashboard zeigt die Daten, Einwilligungsnachweise, Listenmitgliedschaften und den Interaktionsverlauf jedes Abonnenten an
Berichtigung: bearbeitbare Felder in jeder Abonnentenzeile
Löschung: Schaltfläche "DSGVO-Löschung" bei jedem Abonnenten, die den Abonnenten samt Einwilligungsnachweisen, eingehenden Antworten und KI-Entwürfen, Formularregistrierungen und der Adresse im Versandverlauf entfernt und einen Nicht-kontaktieren-Eintrag schreibt; ein minimaler pseudonymisierter Einwilligungsnachweis bleibt 3 Jahre erhalten (Abschnitt 11)
Einschränkung der Verarbeitung: manuelle Sperrung mit Notiz
Übertragbarkeit: Export einzelner Abonnenten und des gesamten Kontos (die Datei nennt, was sie enthält)
Widerspruch: Jede E-Mail enthält einen Ein-Klick-Abmeldelink, und das Präferenzzentrum ermöglicht granulare Abmeldungen

Wo eine Anfrage nicht selbst bearbeitet werden kann, unterstützt SmartMailing den Kunden bei angemessenem Umfang ohne zusätzliche Kosten.

10. Prüfungsrechte

Einmal pro Kalenderjahr und auf Kosten des Kunden kann der Kunde die Einhaltung dieses AVV durch SmartMailing prüfen, indem er eine schriftliche Selbstauskunft mit einschlägiger Dokumentation (Datenschutzerklärung, Sicherheitsübersicht, Liste der Unterauftragsverarbeiter, Verletzungshistorie) anfordert. Reicht die Selbstauskunft nicht aus, kann der Kunde mit einer Frist von 30 Tagen und auf eigene Kosten die Einhaltung durch einen unabhängigen, zur Vertraulichkeit verpflichteten Prüfer überprüfen lassen, während der Geschäftszeiten und ohne Zugang zu Daten anderer Kunden; verlangt die eigene Aufsichtsbehörde des Kunden eine Prüfung, wirkt SmartMailing mit.

11. Beendigung: Rückgabe und Löschung

Bei Beendigung des Dienstes oder auf schriftliche Anfrage des Kunden wird SmartMailing:

dem Kunden jederzeit vor der Löschung seines Kontos den Export der personenbezogenen Kundendaten (JSON-Format) ermöglichen; löscht der Kunde sein Konto, die personenbezogenen Kundendaten sofort löschen (ein fehlgeschlagener Schritt wird innerhalb von 30 Tagen nachgeholt); beendet SmartMailing den Dienst, die Daten 30 Tage zum Export bereithalten und danach innerhalb von 14 Tagen löschen
nach der Löschung nur aufbewahren, was Gesetz oder dieser AVV verlangen: Abrechnungsunterlagen (7 Jahre nach §132 BAO) und für 3 Jahre einen minimalen pseudonymisierten Nachweis über Einwilligungen und Abmeldungen je Adresse (einweg-gehashte Adresse, Daten, Einwilligungstext und Quelle; keine IP-Adresse), damit der Kunde die Einwilligung in einem Streitfall belegen kann; die Sperrliste selbst wird mit der Marke oder dem Konto gelöscht
die Löschung auf Anfrage des Kunden schriftlich bestätigen
Unabhängig von der Beendigung: Interaktionsereignisse pro Nachricht werden 90 Tage nach dem Versand gelöscht (30 Tage bei Transaktions-E-Mails), eingehende Antworten nach 12 Monaten und nie per Double Opt-in bestätigte Anmeldungen nach 30 Tagen

Datenbank-Backups mit personenbezogenen Kundendaten werden von Supabase 7 Tage aufbewahrt und dann überschrieben, sodass gelöschte Daten bis zu 7 Tage in einem Backup fortbestehen können.

12. Haftung

Die Haftung jeder Partei aus diesem AVV ist wie in den Nutzungsbedingungen festgelegt beschränkt. Nichts in diesem AVV beschränkt die Haftung einer Partei für Schäden aus der Verletzung ihrer Datenschutzpflichten, soweit dies gesetzlich nicht zulässig ist.

13. Anwendbares Recht und Gerichtsstand

Dieser AVV unterliegt österreichischem Recht unter Ausschluss der Kollisionsnormen. Zuständiger Gerichtsstand sind, soweit gesetzlich zulässig, die Gerichte in Wien, Österreich.

14. Kontakt

Für datenschutzrechtliche Anfragen im Rahmen dieses AVV wenden Sie sich an [email protected]. Auf Anfrage stellt SmartMailing eine unterzeichnete Ausfertigung dieses AVV zur Verfügung.

1. Gegenstand, Art, Zweck und Dauer

Zweck der Verarbeitung: Erbringung des vom Kunden abonnierten Dienstes. SmartMailing verarbeitet personenbezogene Kundendaten nicht für eigene Zwecke.

Dauer: solange das Konto des Kunden aktiv ist, und danach nur wie in Abschnitt 11 beschrieben.

2. Arten personenbezogener Daten und Kategorien betroffener Personen

Datenkategorien:

Kontaktdaten: E-Mail-Adresse, Name (falls angegeben), Sprachpräferenz
Abonnement-Metadaten: Listenmitgliedschaften, vom Kunden definierte benutzerdefinierte Felder, Opt-in-Quelle, IP-Adresse bei der Anmeldung (falls erfasst), ungefähres Land (aus der IP-Adresse bei der Anmeldung abgeleitet oder vom Kunden angegeben), User-Agent
Einwilligungsnachweise: der betroffenen Person angezeigter Text, Quelle, Datum, IP, Bestätigung durch den Kunden
E-Mail-Interaktionsdaten: Versand- / Zustell- / Öffnungs- / Klick- / Bounce- / Beschwerdeereignisse mit Zeitstempeln
Sperrlisteneinträge: Adressen, die der Kunde niemals anschreiben darf (abgemeldet, unzustellbar, beschwert, DSGVO-gelöscht)
Antwortinhalte: Absenderadresse, Betreff und Nachrichtentext von Antworten, die eingehen, wenn der Kunde die Antwortverarbeitung aktiviert, sowie daraus abgeleitete KI-Antwortentwürfe (Aufbewahrung 12 Monate)
Anmeldedaten aus Formularen und gehosteten Seiten: IP-Adresse und User Agent, die mit der Einwilligung erfasst werden, wenn sich eine betroffene Person über eine gehostete Seite oder ein eingebettetes Formular anmeldet (Anmeldungen durchlaufen eine Bot-Prüfung, Cloudflare Turnstile, deren Ergebnis geprüft, aber nicht gespeichert wird)
Reviewer-Daten: Name, E-Mail-Adresse, Kommentare und Entscheidung von Personen, die der Kunde zur Prüfung einer Kampagne einlädt
Registrierungsdaten aus Formularen: E-Mail-Adresse, Name und Antworten von Personen, die sich über die Event- oder Wartelisten-Formulare des Kunden registrieren (gelöscht 30 Tage nach dem Enddatum, sofern der Kunde eines festlegt)

3. Pflichten des Kunden (Verantwortlicher)

Für jeden zum Dienst hinzugefügten Abonnenten eine Rechtsgrundlage (Artikel 6 DSGVO) aufrechterhalten. Bei von einer anderen Plattform migrierten Abonnentenlisten muss der Kunde die vorherige Einwilligung bestätigen und den ursprünglichen Einwilligungstext über den Importablauf von SmartMailing bereitstellen.
Den betroffenen Personen alle erforderlichen Hinweise bereitstellen (Datenschutzhinweis, Opt-in-Text, Abmeldemechanismus) und an den Kunden gerichtete Betroffenenanfragen beantworten.
Das Double-Opt-in (DOI) verwenden, wo dies nach geltendem Recht erforderlich ist (insbesondere nach dem ePrivacy-Rahmen der DSGVO, wie er in der DACH-Region und in den meisten EU-Ländern umgesetzt ist).
Nur personenbezogene Daten verarbeiten, zu deren Verarbeitung der Kunde berechtigt ist.
Weisungen an SmartMailing nur über die dokumentierten Funktionen des Dienstes erteilen (API, Dashboard usw.). Weisungen außerhalb dieser Kanäle sind unwirksam.
Betroffene Personen über Öffnungs- und Klick-Tracking informieren und deren vorherige Einwilligung einholen, wo das Recht ihres Landes dies verlangt (insbesondere Frankreich und Italien, deren Aufsichtsbehörden ab 2026 eine Einwilligung für Öffnungs-Tracking-Pixel in Marketing-E-Mails verlangen), und Widerrufe beachten. SmartMailing misst Öffnungen und Klicks nur so, wie der Kunde es pro Marke konfiguriert (alle Empfänger außer denen, die abgelehnt haben, nur Empfänger mit Einwilligung, in der EU, im EWR und im Vereinigten Königreich nur Empfänger mit Einwilligung und anderswo alle, oder niemand); eine betroffene Person, deren gespeicherte Antwort Nein lautet, wird nie gemessen, und wo eine Einwilligung nötig ist, werden nur betroffene Personen gemessen, deren gespeicherte Antwort Ja lautet. In der regionalen Einstellung stützt sich SmartMailing auf das für jede betroffene Person gespeicherte Land; für die Richtigkeit der vom Kunden angegebenen Länder ist der Kunde verantwortlich. Gemessene E-Mails enthalten einen Link „Tracking-Einstellungen“, über den betroffene Personen jederzeit widerrufen können, ohne sich abzumelden. Transaktions-E-Mails und Antworten auf Nachrichten betroffener Personen werden nie gemessen.
Die eigene Datenschutzerklärung des Kunden auf Anmeldeformularen und gehosteten Seiten verlinken, damit betroffene Personen die nach Artikel 13 DSGVO erforderlichen Informationen erhalten.
Keine personenbezogenen Daten in Bildern oder Dateien ablegen, die in den Dienst hochgeladen werden, da hochgeladene Dateien über öffentliche Links ausgeliefert werden (siehe Abschnitt 7).
Zur Kenntnis nehmen, dass das Aktivieren der Antwortverarbeitung, das Verknüpfen eines Telegram-Chats oder die Nutzung von KI-Funktionen auf personenbezogene Kundendaten eine Weisung darstellt, die entsprechenden in der Datenschutzerklärung genannten Unterauftragsverarbeiter einzusetzen.

4. Pflichten des Auftragsverarbeiters (SmartMailing)

SmartMailing wird:

personenbezogene Kundendaten ausschließlich nach den dokumentierten Weisungen des Kunden verarbeiten, auch in Bezug auf Übermittlungen außerhalb des EWR, es sei denn, dies ist nach dem Recht der EU oder eines Mitgliedstaats erforderlich (in diesem Fall informiert SmartMailing den Kunden vorab, sofern dies nicht untersagt ist).
den Kunden unverzüglich informieren, wenn eine Weisung nach Auffassung von SmartMailing gegen die DSGVO oder andere Datenschutzvorschriften der EU oder der Mitgliedstaaten verstößt.
sicherstellen, dass die zur Verarbeitung der Daten befugten Personen zur Vertraulichkeit verpflichtet sind.
geeignete technische und organisatorische Maßnahmen umsetzen (siehe Abschnitt 7).
den Kunden bei der Beantwortung von Betroffenenanfragen (Artikel 15-22 DSGVO) mithilfe integrierter Funktionen und, wo erforderlich, technischer Unterstützung unterstützen.
den Kunden bei der Einhaltung der Artikel 32-36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzungen, vorherige Konsultation) unterstützen, unter Berücksichtigung der Art der Verarbeitung und der SmartMailing zur Verfügung stehenden Informationen.
nach Wahl des Kunden alle personenbezogenen Kundendaten nach Ende des Dienstes löschen oder zurückgeben (siehe Abschnitt 11).
alle Informationen bereitstellen, die zum Nachweis der Einhaltung von Artikel 28 DSGVO erforderlich sind.

5. Unterauftragsverarbeiter

6. Internationale Datenübermittlungen

7. Sicherheitsmaßnahmen

SmartMailing implementiert und unterhält die folgenden technischen und organisatorischen Maßnahmen:

TLS 1.2 oder höher für alle Verbindungen zum Dienst und zwischen unseren Diensten; an Mailserver von Empfängern zugestellte E-Mails nutzen TLS, sofern der empfangende Server es unterstützt
Verschlüsselung im Ruhezustand durch unsere Hosting-Anbieter (Datenbank, Backups und Dateispeicher)
Trennung der Kunden in einer gemeinsamen Datenbank durch zwei Ebenen: Sicherheit auf Zeilenebene (RLS) für alle Zugriffe aus dem Kunden-Dashboard und Eigentumsprüfungen im Server-Code von SmartMailing überall dort, wo seine Server den privilegierten Datenbankschlüssel verwenden, der Browsern nie zugänglich gemacht wird
Passwörter nur als Hash gespeichert (bcrypt, verwaltet durch Supabase Auth); optionale Zwei-Faktor-Anmeldung für jedes Konto
Eingehende Webhooks, geprüft per Signatur oder gemeinsamem Geheimnis
API-Schlüssel werden nur als SHA-256-Hashes gespeichert; der Klartext wird dem Kunden einmalig bei der Erstellung angezeigt
Nachweise über Einwilligungen, Abmeldungen, Sperrungen und DSGVO-Löschungen, aufbewahrt wie in Abschnitt 11 beschrieben; vom E-Mail-Anbieter empfangene Zustellereignisse werden 90 Tage aufbewahrt
Jedes Konto hat einen einzigen Inhaber (noch keine gemeinsamen Team-Rollen); der privilegierte Datenbankschlüssel wird nur vom serverseitigen Code und den Hintergrund-Workern von SmartMailing verwendet und Browsern nie zugänglich gemacht
Ratenbegrenzung und Missbrauchsprävention an öffentlichen Endpunkten
Sicherheitsupdates der Abhängigkeiten, sobald Schwachstellen bekannt werden
Zwei-Faktor-Anmeldung für den administrativen Zugriff von SmartMailing; administrative Änderungen an Kundenkonten (Freigaben, Pausen, Löschungen, Limitänderungen, Zurücksetzen der Zwei-Faktor-Anmeldung) werden protokolliert; das Einsehen von Daten durch Mitarbeiter wird nicht einzeln protokolliert
Automatische Bereinigungsläufe (stündlich), die die Fristen aus Abschnitt 11 und aus der Datenschutzerklärung durchsetzen

Detaillierte Sicherheitsbeschreibungen werden mindestens jährlich überprüft und mit der Weiterentwicklung des Dienstes aktualisiert.

8. Meldung von Verletzungen des Schutzes personenbezogener Daten

9. Unterstützung bei Betroffenenanfragen

SmartMailing stellt integrierte Funktionen bereit, mit denen der Kunde die meisten Betroffenenanfragen selbst bearbeiten kann:

Auskunft: Das Dashboard zeigt die Daten, Einwilligungsnachweise, Listenmitgliedschaften und den Interaktionsverlauf jedes Abonnenten an
Berichtigung: bearbeitbare Felder in jeder Abonnentenzeile
Löschung: Schaltfläche "DSGVO-Löschung" bei jedem Abonnenten, die den Abonnenten samt Einwilligungsnachweisen, eingehenden Antworten und KI-Entwürfen, Formularregistrierungen und der Adresse im Versandverlauf entfernt und einen Nicht-kontaktieren-Eintrag schreibt; ein minimaler pseudonymisierter Einwilligungsnachweis bleibt 3 Jahre erhalten (Abschnitt 11)
Einschränkung der Verarbeitung: manuelle Sperrung mit Notiz
Übertragbarkeit: Export einzelner Abonnenten und des gesamten Kontos (die Datei nennt, was sie enthält)
Widerspruch: Jede E-Mail enthält einen Ein-Klick-Abmeldelink, und das Präferenzzentrum ermöglicht granulare Abmeldungen

Wo eine Anfrage nicht selbst bearbeitet werden kann, unterstützt SmartMailing den Kunden bei angemessenem Umfang ohne zusätzliche Kosten.

10. Prüfungsrechte

11. Beendigung: Rückgabe und Löschung

Bei Beendigung des Dienstes oder auf schriftliche Anfrage des Kunden wird SmartMailing:

dem Kunden jederzeit vor der Löschung seines Kontos den Export der personenbezogenen Kundendaten (JSON-Format) ermöglichen; löscht der Kunde sein Konto, die personenbezogenen Kundendaten sofort löschen (ein fehlgeschlagener Schritt wird innerhalb von 30 Tagen nachgeholt); beendet SmartMailing den Dienst, die Daten 30 Tage zum Export bereithalten und danach innerhalb von 14 Tagen löschen
nach der Löschung nur aufbewahren, was Gesetz oder dieser AVV verlangen: Abrechnungsunterlagen (7 Jahre nach §132 BAO) und für 3 Jahre einen minimalen pseudonymisierten Nachweis über Einwilligungen und Abmeldungen je Adresse (einweg-gehashte Adresse, Daten, Einwilligungstext und Quelle; keine IP-Adresse), damit der Kunde die Einwilligung in einem Streitfall belegen kann; die Sperrliste selbst wird mit der Marke oder dem Konto gelöscht
die Löschung auf Anfrage des Kunden schriftlich bestätigen
Unabhängig von der Beendigung: Interaktionsereignisse pro Nachricht werden 90 Tage nach dem Versand gelöscht (30 Tage bei Transaktions-E-Mails), eingehende Antworten nach 12 Monaten und nie per Double Opt-in bestätigte Anmeldungen nach 30 Tagen

Datenbank-Backups mit personenbezogenen Kundendaten werden von Supabase 7 Tage aufbewahrt und dann überschrieben, sodass gelöschte Daten bis zu 7 Tage in einem Backup fortbestehen können.

12. Haftung

13. Anwendbares Recht und Gerichtsstand

Dieser AVV unterliegt österreichischem Recht unter Ausschluss der Kollisionsnormen. Zuständiger Gerichtsstand sind, soweit gesetzlich zulässig, die Gerichte in Wien, Österreich.

14. Kontakt

Für datenschutzrechtliche Anfragen im Rahmen dieses AVV wenden Sie sich an [email protected]. Auf Anfrage stellt SmartMailing eine unterzeichnete Ausfertigung dieses AVV zur Verfügung.