Datenschutzerklärung

Diese Datenschutzerklärung erläutert, wie SmartMailing ("SmartMailing", "wir", "uns") personenbezogene Daten erhebt, nutzt, speichert und schützt, wenn Sie smartmailing.io besuchen, ein Konto erstellen oder unsere E-Mail-Marketing-Plattform nutzen.

SmartMailing wird betrieben von Ionuț-Săndel Badiu, Einzelunternehmer (Gewerbeschein) mit Sitz in der Nordbahnstraße 13/11, 1020 Wien, Österreich. GISA-Zahl: 40104775. Kleinunternehmer gemäß §6 Abs 1 Z 27 UStG (keine UID-Nummer). Vollständige rechtliche Angaben finden Sie in unserem Impressum. Wir sind Verantwortlicher für die personenbezogenen Daten der Plattformnutzer und Auftragsverarbeiter für die Abonnentendaten, die unsere Kunden hochladen (siehe Abschnitt 9 unten).

1. Personenbezogene Daten, die wir erheben

Wir erheben und verarbeiten die folgenden Kategorien personenbezogener Daten:

Kontodaten

Wenn Sie ein Konto erstellen: E-Mail-Adresse, Name, gehashtes Passwort (verwaltet durch unseren Authentifizierungsanbieter; wir sehen Ihr Klartext-Passwort niemals) sowie Zeitstempel der Kontoerstellung und der letzten Anmeldung. Wenn Sie sich mit Google registrieren oder anmelden, übermittelt uns Google Ihren Namen und Ihre E-Mail-Adresse. Außerdem speichern wir einen Nachweis Ihrer Annahme unserer Nutzungsbedingungen (Zeitpunkt, Version der Bedingungen und wo Sie zugestimmt haben; bei Zustimmung in der App die IP-Adresse und den Browser; beim Bezahlvorgang Ihr Verlangen, einen bezahlten Tarif sofort zu beginnen) als Nachweis unseres Vertrags. Wenn Sie Ihr Konto löschen, bewahren wir davon nur Zeitpunkt, Version und Ort der Zustimmung (ohne IP-Adresse und Browser) 7 Jahre lang als Nachweis für eine Abrechnungsstreitigkeit auf.

Profil- und Markendaten

Markennamen, Logodateien, Markenfarben, Schriftarten, Website-URLs, die Sie uns zum Auslesen übermitteln, Fußzeilentexte, Social-Media-Links und alle weiteren Inhalte, die Sie zur Konfiguration Ihrer Marke eingeben.

E-Mail-Inhalte und Vorlagen

Die E-Mail-Vorlagen, Web-Landingpages, Transaktions-E-Mails und Kampagneninhalte, die Sie mit der Plattform erstellen, einschließlich KI-generierter Inhalte auf Basis Ihrer Eingaben.

Abonnentendaten (verarbeitet im Auftrag unserer Kunden)

Wenn Sie SmartMailing zur Verwaltung Ihrer eigenen Verteilerlisten nutzen, laden Sie personenbezogene Daten Ihrer Abonnenten hoch (E-Mail-Adresse, Name, Sprache, benutzerdefinierte Felder, Einwilligungsnachweise, Opt-in-Quelle, IP-Adresse bei der Anmeldung, ungefähres Land). Das ungefähre Land wird bei der Anmeldung aus der IP-Adresse abgeleitet (nur das Land, kein genauerer Ort) oder von Ihnen über einen Import, die API oder das Dashboard angegeben; es entscheidet, ob ein Empfänger zustimmen muss, bevor Öffnungen und Klicks gemessen werden, wenn Sie nur in der EU, im EWR und im Vereinigten Königreich um Einwilligung bitten, und Sie können es zum Gruppieren Ihrer Abonnenten und in Exporten verwenden. Wir verarbeiten diese Daten nach Ihren Weisungen als Auftragsverarbeiter (siehe Abschnitt 9).

E-Mail-Zustelldaten

Die Empfängeradressen, Betreffzeilen, das gerenderte E-Mail-HTML und Zustellereignisse (gesendet, zugestellt, geöffnet, geklickt, unzustellbar, als Spam markiert) für über die Plattform versendete E-Mails, einschließlich Zeitstempel und aus der IP-Adresse abgeleiteter Metadaten unseres Zustelldienstleisters.

Zahlungsdaten

Wenn Sie einen kostenpflichtigen Tarif erwerben, erhebt unser Zahlungsdienstleister (Stripe) Rechnungsname, Adresse, Kartendaten (wir sehen niemals Kartennummern) und Transaktionsverlauf. Auf unserer Seite speichern wir nur abrechnungsbezogene Kennungen und Beträge.

Technische Daten / Protokolldaten

IP-Adresse (bei langfristiger Speicherung auf /24 gekürzt), Browser-User-Agent, Referrer, aufgerufene Pfade, Fehlerprotokolle. Wir speichern diese zu Zwecken der Sicherheit, Fehlerbehebung und Missbrauchsprävention.

KI-Chatverlauf

Wenn Sie KI-Funktionen nutzen (z. B. das Generieren von E-Mail-Inhalten aus Ihrer Website), speichern wir die von Ihnen übermittelten Eingabeaufforderungen und die erhaltenen Antworten, verknüpft mit Ihrem Projekt, damit Sie sie erneut aufrufen und verfeinern können.

Hochgeladene Bilder und Dateien (über öffentliche Links gehostet)

Bilder, Logos und andere Dateien, die Sie im Editor, in Ihrer Markenbibliothek oder im E-Mail-Signatur-Builder hochladen, sowie Bilder, die wir aus einer von Ihnen angegebenen Website-URL extrahieren, werden in unserem Cloud-Dateispeicher abgelegt und über eine öffentliche Webadresse ausgeliefert. Das ist notwendig, damit E-Mail-Programme und Browser die Bilder in den von Ihnen erstellten E-Mails, Signaturen und gehosteten Seiten ohne Anmeldung anzeigen können. Die Adressen sind lang und nirgends aufgelistet, aber nicht passwortgeschützt: Jeder, der den Link hat, kann die Datei öffnen, auch nachdem eine E-Mail weitergeleitet wurde. Laden Sie keine Dateien hoch, die personenbezogene Daten anderer Personen, vertrauliches Material oder Inhalte enthalten, die ein Empfänger nicht weitergeben soll. Sie können eine Datei jederzeit im Editor löschen, und wir löschen Ihre Dateien, wenn Ihr Konto gelöscht wird.

Eingehende Antworten auf Ihre E-Mails

Wenn Sie die Antwortverarbeitung für eine Marke aktivieren, werden Antworten, die Abonnenten an Ihre Antwortadresse senden, auf unserer Infrastruktur empfangen. Wir speichern Absenderadresse, Betreff und Nachrichtentext, zeigen sie Ihnen im Antworten-Postfach an und nutzen sie, um mit KI einen Antwortvorschlag zu erstellen, den Sie prüfen und freigeben, bevor etwas versendet wird. Wenn Sie einen Telegram-Chat verbinden, wird der Nachrichtentext auch dorthin weitergeleitet. Antworten werden 12 Monate aufbewahrt und früher gelöscht, wenn Sie den Abonnenten DSGVO-löschen.

Markenwissen (Brand Brain)

Dokumente und Texte, die Sie als Markenwissen hochladen, werden in Abschnitte zerlegt und von unserem KI-Anbieter in numerische Vektoren (Embeddings) umgewandelt, damit die Plattform beim Erstellen von Inhalten die passenden Abschnitte finden kann. Abschnitte und Vektoren werden bei Ihrer Marke gespeichert und mit ihr gelöscht.

Spracheingabe

Wenn Sie Text über die Mikrofonfunktion diktieren, wird die Audioaufnahme zur Transkription an unseren KI-Anbieter gesendet. Wir bewahren den entstandenen Text als Teil Ihres Projekts auf; die Audiodatei selbst speichern wir nicht.

Aus anderen E-Mail-Plattformen importierte Daten

Wenn Sie den Ein-Klick-Import (Mailchimp, MailerLite, Brevo) nutzen, lesen wir mit dem von Ihnen eingefügten API-Schlüssel Ihre Listen und Abonnenten bei diesem Anbieter aus, speichern die importierten Abonnenten in Ihrem Konto und verwerfen den Schlüssel nach Abschluss des Imports. Der andere Anbieter bleibt eigenständiger Verantwortlicher für die bei ihm gespeicherten Daten.

Kampagnen-Reviewer

Wenn Sie jemanden einladen, eine Kampagne zu prüfen, speichern wir Name und E-Mail-Adresse dieser Person, senden ihr einen einmaligen Anmeldecode und bewahren ihre Kommentare und ihre Freigabeentscheidung bei der Kampagne auf. Die Prüfsitzung dauert bis zu 7 Tage.

E-Mail-Authentifizierungsberichte (DMARC)

Wenn Sie DMARC-Berichte für Ihre Domain an uns leiten, senden uns Mailbox-Anbieter aggregierte Berichte mit den IP-Adressen der Server, die E-Mails mit Ihrer Domain versendet haben, Nachrichtenzahlen und Authentifizierungsergebnissen. Sie enthalten keine Empfängeradressen und werden 6 Monate aufbewahrt.

Verbundene Dienste

Wenn Sie Canva verbinden, speichern wir die von Canva ausgestellten Zugriffstoken, um Ihre Designs auflisten und importieren zu können; wenn Sie einen Telegram-Chat verknüpfen, speichern wir die Chat-Kennung. Beides können Sie jederzeit trennen.

Support und Korrespondenz

Wenn Sie uns per E-Mail kontaktieren, bewahren wir die Korrespondenz und die darin enthaltenen Angaben so lange auf, wie es zur Bearbeitung des Anliegens nötig ist, und, soweit es Ihren Vertrag betrifft, für die gesetzliche Verjährungsfrist.

Support-Chat

Auf unserer Website und im Dashboard bieten wir einen Live-Chat mit unserem Support an, betrieben von Crisp. Er wird erst geladen, wenn Sie ihn öffnen. Was Sie im Chat schreiben, und Ihre E-Mail-Adresse, wenn Sie angemeldet sind, gelangen an Crisp und an uns, damit wir antworten können; Chats bewahren wir wie E-Mail-Korrespondenz auf (siehe oben).

SmartMailing-Newsletter

Wenn Sie sich auf smartmailing.io für unseren eigenen Newsletter anmelden, speichern wir Ihre E-Mail-Adresse und den Zeitpunkt Ihrer Double-Opt-in-Bestätigung. Sie können sich in jeder Ausgabe mit einem Klick abmelden.

Warteliste zum Start

Solange SmartMailing noch nicht für alle geöffnet ist, können Sie auf unserer Vorschauseite Ihre E-Mail-Adresse hinterlassen, um eine Einladung zu erhalten. Wir speichern die Adresse und den Zeitpunkt, verwenden sie nur für diese Einladung und löschen sie spätestens nach 12 Monaten.

Woher die Daten stammen

Wir erhalten personenbezogene Daten direkt von Ihnen, von den Websites, deren URL Sie extrahieren lassen, von Ihren Abonnenten, wenn sie Ihre Formulare nutzen oder auf Ihre E-Mails antworten, von Mailbox-Anbietern (Zustell- und DMARC-Berichte), von den E-Mail-Plattformen, aus denen Sie importieren, von Google, wenn Sie sich mit Google anmelden, und von unserem Zahlungsdienstleister. Die Angabe von Konto- und Abrechnungsdaten ist vertraglich erforderlich: Ohne sie können wir Ihr Konto nicht anlegen und keinen bezahlten Tarif abrechnen. Alles andere ist freiwillig und wird nur verarbeitet, wenn Sie die jeweilige Funktion nutzen.

2. Rechtsgrundlage der Verarbeitung (Artikel 6 DSGVO)

Jede Verarbeitungstätigkeit stützt sich auf eine der folgenden Grundlagen:

• Vertragserfüllung (Art. 6 Abs. 1 lit. b): Betrieb Ihres Kontos, Speicherung Ihrer Projekte, Versand von E-Mails in Ihrem Auftrag, Bereitstellung von Kundensupport. Ohne dies können wir den von Ihnen abonnierten Dienst nicht erbringen.
• Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c): Aufbewahrung von Abrechnungsunterlagen nach Steuerrecht, Beantwortung rechtmäßiger Anfragen von Behörden, Führung von Aufzeichnungen, die nach Geldwäsche- oder Verbraucherschutzvorschriften erforderlich sind.
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f): Sicherheitsüberwachung, Betrugs- und Missbrauchsprävention, Verbesserung des Dienstes, interne Analysen. Wir wägen diese Interessen gegen Ihre Rechte ab und verwenden die minimal erforderlichen Daten.
• Einwilligung (Art. 6 Abs. 1 lit. a): Versand optionaler Marketing-E-Mails über neue SmartMailing-Funktionen. Sie können Ihre Einwilligung jederzeit widerrufen, indem Sie in der betreffenden E-Mail auf Abmelden klicken.

Service- und Produkt-E-Mails. E-Mails, die zum Betrieb Ihres Kontos gehören (Anmeldecodes, Belege, fehlgeschlagene Zahlungen, Kampagnenstatus, Zustellbarkeitswarnungen, Sicherheitshinweise), werden auf Grundlage des Vertrags versendet und können nicht abbestellt werden, solange das Konto besteht. Gelegentliche Neuigkeiten zu den SmartMailing-Funktionen, die Sie bereits nutzen, können wir Bestandskunden auf Grundlage unseres berechtigten Interesses senden, mit einem Abmeldelink in jeder Nachricht (Artikel 13 Absatz 2 der ePrivacy-Richtlinie). Unser Newsletter für Personen, die keine Kunden sind, wird nur mit Ihrer Double-Opt-in-Einwilligung versendet.

Wo wir uns auf ein berechtigtes Interesse stützen, haben wir unser Interesse gegen Ihre Rechte abgewogen und verwenden nur die nötigen Daten; Sie können jederzeit widersprechen (siehe Abschnitt 6).

3. Von uns eingesetzte Unterauftragsverarbeiter

Wir greifen auf die folgenden Drittdienstleister zurück, um den Dienst zu erbringen. Jeder von ihnen ist durch einen Auftragsverarbeitungsvertrag gebunden, und soweit Daten außerhalb des Europäischen Wirtschaftsraums (EWR) übermittelt werden, unterliegt die Übermittlung den Standardvertragsklauseln (SCC) der Europäischen Kommission sowie ergänzenden Maßnahmen.

Wir aktualisieren diese Liste, wenn wir Auftragsverarbeiter hinzufügen oder ändern. Wesentliche Änderungen werden den Plattformnutzern, soweit zumutbar, im Voraus mitgeteilt.

Weitere Empfänger. Über die oben genannten Auftragsverarbeiter hinaus geben wir personenbezogene Daten nur weiter an: Gerichte, Aufsichts- und Strafverfolgungsbehörden, wenn wir gesetzlich dazu verpflichtet sind; unsere Steuerberater, Anwälte und Versicherer unter Vertraulichkeit; und einen Rechtsnachfolger, falls SmartMailing verkauft oder fusioniert wird, worüber Sie informiert werden und wobei diese Erklärung weiterhin gilt. Wir verkaufen niemals personenbezogene Daten und geben Abonnentendaten niemals an Werbetreibende weiter.

4. Internationale Datenübermittlungen

Die meisten personenbezogenen Daten werden innerhalb der EU/des EWR verarbeitet: Unsere Anwendungsserver laufen in Frankfurt (Vercel), der produktive E-Mail-Versand erfolgt über Amazon SES in der EU, der Website-Extraktions-Worker läuft bei Hostinger in der EU und der Support-Chat bei Crisp in der EU. Die Datenbank wird von Supabase in der Schweiz gehostet, der die EU mit einem Angemessenheitsbeschluss ein angemessenes Datenschutzniveau zuerkennt (sodass hierfür keine SCC erforderlich sind). Soweit personenbezogene Daten außerhalb des EWR übermittelt werden (an bestimmte US-amerikanische Unterauftragsverarbeiter, namentlich OpenAI, Stripe, Cloudflare, Vercel (Support-Zugriff und Edge-Auslieferung) sowie Resend für die eigenen E-Mails von SmartMailing), stützen wir uns auf die Standardvertragsklauseln der Europäischen Kommission (Beschluss 2021/914), ergänzt durch technische und organisatorische Maßnahmen (TLS bei der Übertragung, Verschlüsselung im Ruhezustand, Zugriffskontrollen). Für weitere Informationen zu einer bestimmten Übermittlung wenden Sie sich an [email protected].

Zwei optionale Integrationen führen nur dann zu zusätzlichen Übermittlungen, wenn Sie sie einschalten: Telegram (Server in den Vereinigten Arabischen Emiraten und anderswo) erhält den Text eingehender Antworten, und Canva (Australien und USA) erhält Anfragen zu den Designs, die Sie importieren. Für keines dieser Länder besteht hierfür ein EU-Angemessenheitsbeschluss, daher stützen sich beide Übermittlungen auf die Standardvertragsklauseln in den Auftragsverarbeitungsbedingungen der Anbieter, und Sie können sie jederzeit beenden, indem Sie die Integration trennen.

5. Wie lange wir Ihre Daten aufbewahren

Wir bewahren personenbezogene Daten nur so lange auf, wie es für den Zweck, für den sie erhoben wurden, erforderlich ist. Automatische Bereinigungsläufe setzen die folgenden Fristen stündlich durch.

• Kontodaten: solange Ihr Konto aktiv ist. Löschung innerhalb von 30 Tagen nach einem Löschantrag.
• Markenprofile, Vorlagen, Projekte, Markenwissen: wie Kontodaten; werden mit dem Konto gelöscht.
• Hochgeladene Bilder und Dateien: bis Sie sie löschen oder Ihr Konto löschen.
• KI-Chatverlauf: bis Sie das Projekt oder Ihr Konto löschen.
• Von unseren Kunden hochgeladene Abonnentendaten: bis der Kunde den Abonnenten oder sein Konto löscht. Anmeldungen, die nie per Double Opt-in bestätigt werden, werden nach 30 Tagen gelöscht.
• Zustell- und Interaktionsereignisse pro Nachricht (gesendet, zugestellt, geöffnet, geklickt, Bounce, Beschwerde): 90 Tage ab Versanddatum bei Kampagnen- und Automations-E-Mails, 30 Tage bei Transaktions-E-Mails. Aggregierte Kampagnenstatistiken ohne Empfängeradressen bleiben bei der Kampagne.
• Eingehende Antworten: 12 Monate, oder früher, wenn der Abonnent gelöscht wird.
• Aggregierte DMARC-Berichte: 6 Monate.
• Einträge der Sperrliste: werden aufbewahrt, solange die Marke besteht, damit die Marke die Adresse nie wieder anschreibt; sie werden gelöscht, wenn der Kunde die Marke oder das Konto löscht. Dass die Person sich abgemeldet hat, bleibt im nachfolgend beschriebenen Einwilligungsnachweis erhalten.
• Einwilligungsnachweise: werden für die Lebensdauer des Abonnenten aufbewahrt. Wird ein Abonnent, eine Marke oder ein Konto gelöscht, bleibt 3 weitere Jahre ein minimaler Nachweis erhalten und wird dann gelöscht, damit die Einwilligung bei einem Rechtsstreit oder einer behördlichen Anfrage belegt werden kann: eine einweg-gehashte Form der Adresse (eine bekannte Adresse lässt sich ihr zuordnen, aus ihr lesen lässt sie sich nicht), die Daten der Anmeldung und Bestätigung, Einwilligungstext und Quelle, Antworten zur Tracking-Einwilligung und die Abmeldedaten. IP-Adresse, Name oder andere Daten werden nicht aufbewahrt.
• Protokoll der an Sie gesendeten Service-E-Mails: 6 Monate.
• Warteliste zum Start: bis wir die Einladung versenden, höchstens 12 Monate.
• KI-Abfrageprotokolle (Brand Brain): 30 Tage.
• Nachweis einer Kontolöschung: 7 Jahre (eine pseudonymisierte Nutzer-ID, die Stripe-Kundenreferenz und die in Abschnitt 1 beschriebenen Zustimmungen zu den Bedingungen, als Nachweis bei einer Abrechnungsstreitigkeit).
• Abrechnungs- und Steuerunterlagen: 7 Jahre gemäß §132 Bundesabgabenordnung (BAO).
• Technische / Sicherheitsprotokolle: bis zu 90 Tage, danach gelöscht oder aggregiert.
• Backups: Unser Datenbank-Hoster Supabase erstellt täglich ein Backup der Datenbank, das 7 Tage aufbewahrt und verschlüsselt gespeichert wird, sodass gelöschte Daten bis zu 7 Tage in einem Backup fortbestehen können. Hochgeladene Bilder und Dateien sind nicht Teil dieser Backups.

6. Ihre Rechte

Nach der DSGVO haben Sie die folgenden Rechte bezüglich Ihrer personenbezogenen Daten. Um eines davon auszuüben, wenden Sie sich an [email protected]. Wir antworten innerhalb eines Monats (bei komplexen Anfragen um zwei Monate verlängerbar).

• Auskunft (Art. 15): eine Kopie der personenbezogenen Daten anfordern, die wir über Sie speichern.
• Berichtigung (Art. 16): unrichtige oder unvollständige Daten korrigieren.
• Löschung (Art. 17): die Löschung Ihres Kontos und Ihrer personenbezogenen Daten verlangen. Bestimmte Daten können aufgrund rechtlicher Verpflichtungen aufbewahrt werden (z. B. Abrechnungsunterlagen).
• Einschränkung (Art. 18): verlangen, dass wir die Verarbeitung Ihrer Daten während einer Streitigkeit aussetzen.
• Übertragbarkeit (Art. 20): Ihre Daten in einem strukturierten, maschinenlesbaren Format (JSON) anfordern.
• Widerspruch (Art. 21): der auf einem berechtigten Interesse beruhenden Verarbeitung widersprechen, einschließlich Profiling.
• Widerruf der Einwilligung (Art. 7): soweit die Verarbeitung auf einer Einwilligung beruht, diese jederzeit widerrufen. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.
• Beschwerde (Art. 77): eine Beschwerde bei einer Aufsichtsbehörde einreichen. Zuständige Behörde für SmartMailing ist die österreichische Datenschutzbehörde (DSB): dsb.gv.at, Barichgasse 40-42, 1030 Wien, Österreich. Sie können sich auch an die Aufsichtsbehörde Ihres gewöhnlichen Aufenthaltsorts wenden.

Die meisten Rechte können Sie selbst ausüben: Laden Sie eine Kopie Ihrer Daten herunter (Konto, dann "Meine Daten exportieren"; die Datei nennt, was sie enthält), ändern Sie Ihre Angaben in den Kontoeinstellungen und löschen Sie Ihr Konto über "Mein Konto löschen". Bei Anfragen per E-Mail bitten wir Sie gegebenenfalls, die Anfrage von der im Konto hinterlegten E-Mail-Adresse zu bestätigen, damit wir keine Daten an die falsche Person herausgeben. Anfragen sind kostenlos, es sei denn, sie sind offenkundig unbegründet oder exzessiv.

7. Automatisierte Entscheidungsfindung, Profiling und KI

SmartMailing nutzt KI-Modelle (derzeit von OpenAI, angebunden über das Cloudflare AI Gateway; nur der Worker für die Markeneinrichtung ruft OpenAI direkt auf) für: das Erstellen und Übersetzen von E-Mail-Texten aus Ihren Eingaben, das Umwandeln von Markenwissen in Embeddings und das Ranking der passenden Abschnitte, das Entwerfen von Antwortvorschlägen auf eingehende Antworten, das Zusammenfassen von Kampagnenergebnissen und das Transkribieren von Spracheingaben. In jedem Fall wird Ihnen das Ergebnis angezeigt, und nichts wird ohne Ihr Zutun an einen Empfänger gesendet. OpenAI verarbeitet API-Anfragen unter seinen Enterprise-Bedingungen, nutzt sie nicht zum Training seiner Modelle und bewahrt sie zur Missbrauchskontrolle bis zu 30 Tage auf, bevor sie gelöscht werden.

Das ist Unterstützung bei Inhalten, keine automatisierte Entscheidung über Sie im Sinne von Artikel 22 DSGVO. Zwei automatisierte Mechanismen wirken sich dennoch darauf aus, wie Sie den Dienst nutzen können, und wir möchten sie transparent machen:

• Zustellbarkeitsschutz: Wir überwachen automatisch Bounce- und Beschwerderaten sowie die DNS-Authentifizierung jeder Versanddomain. Werden die in unseren Nutzungsbedingungen genannten Schwellenwerte überschritten oder bleibt DKIM länger als 24 Stunden defekt, wird der Versand für diese Domain automatisch pausiert und Sie werden benachrichtigt. Das schützt die Zustellbarkeit aller Kunden. Sie können jederzeit eine Prüfung der Pause durch einen Menschen anfordern, indem Sie uns kontaktieren, und der Versand wird automatisch fortgesetzt, sobald die Ursache behoben ist.
• Segmentierung von Abonnenten: Die Plattform kann die Abonnenten eines Kunden nach Interaktion gruppieren (zum Beispiel "in den letzten 90 Tagen geöffnet"). Das ist Profiling auf Weisung des Kunden; der Kunde ist Verantwortlicher und entscheidet, ob er es nutzt.

Wir nutzen personenbezogene Daten nicht zum Training eigener KI-Modelle.

8. Cookies und ähnliche Technologien

SmartMailing verwendet ausschließlich essenzielle Cookies und Browser-Speichereinträge, die für den Betrieb des Dienstes erforderlich sind:

• Authentifizierungssitzung: wird bei der Anmeldung gesetzt und hält Sie angemeldet. Für die Funktion des Dienstes erforderlich.
• CSRF-/Sicherheitstoken: werden zum Schutz vor Cross-Site-Request-Forgery gesetzt.
• Spracheinstellung (NEXT_LOCALE): speichert die im Sprachumschalter gewählte Sprache.
• Prüfzugang: ein 7-tägiges Sitzungs-Cookie, das nur für Reviewer gesetzt wird, die sich auf einer Kampagnen-Prüfseite anmelden.
• Bot-Schutz: Cloudflare Turnstile kann auf geschützten Formularen ein kurzlebiges Challenge-Cookie setzen.
• Support-Chat: Erst nachdem Sie den Chat öffnen, speichert Crisp Cookies und Browser-Speichereinträge, die Ihre Unterhaltung erhalten; vorher wird nichts von Crisp geladen.
• Zahlungsseiten: Stripe setzt auf Checkout- und Abrechnungsportal-Seiten eigene, unbedingt erforderliche Cookies; siehe die Datenschutzerklärung von Stripe.
• Editor-Zustand: Browser-Speichereinträge, die ungespeicherte Editor-Arbeit und Oberflächeneinstellungen auf Ihrem Gerät halten.

Wir verwenden Vercel Web Analytics, ein datenschutzfreundliches, cookieloses Analyse-Tool, um aggregierte Seitenaufrufe und Zugriffe auf unsere eigene Website zu messen. Es setzt keine Cookies, speichert keine Kennungen auf Ihrem Gerät und verfolgt Sie nicht über Websites hinweg; es leitet aus Anfragedaten einen kurzlebigen, nicht umkehrbaren Hash ab, um Besuche zu zählen. Da nichts auf Ihrem Gerät gespeichert oder ausgelesen wird, ist hierfür keine Einwilligung nach der ePrivacy-Richtlinie (§165 TKG 2021) erforderlich. Unsere Rechtsgrundlage ist unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) am Verständnis der aggregierten Nutzung unserer Website. Vercel verarbeitet diese Daten in den Vereinigten Staaten auf Grundlage der Standardvertragsklauseln. Wir verwenden keine Werbe-Cookies und keine websiteübergreifenden Tracker. Sollten wir jemals Technologien einführen, die über das unbedingt Erforderliche hinaus Informationen auf Ihrem Gerät speichern oder darauf zugreifen, werden wir vorab ein konformes Einwilligungsbanner einsetzen.

Tracking in E-Mails unserer Kunden. Über SmartMailing versendete Kampagnen-E-Mails können ein unsichtbares Tracking-Bild enthalten, das registriert, wenn die E-Mail geöffnet wird, sowie umgeschriebene Links, damit Klicks gezählt werden können. Ob sie das tun, hängt von zwei Dingen ab: von der Einstellung, die der Kunde für seine Marke gewählt hat (alle messen; nur Empfänger mit Einwilligung messen; nur Empfänger in der EU, im EWR und im Vereinigten Königreich um Einwilligung bitten und alle anderen messen; oder niemanden messen), und von der Antwort des Empfängers selbst. Ein Empfänger, der abgelehnt hat, wird in keiner Einstellung gemessen; wo eine Einwilligung nötig ist, werden nur Empfänger gemessen, die zugestimmt haben, sowie Empfänger, die vor dem 14. April 2026 erfasst wurden, einen einmaligen Informationshinweis erhalten und nicht innerhalb von 14 Tagen widersprochen haben. In der regionalen Einstellung gelten Empfänger mit unbekanntem Land als einwilligungspflichtig, sofern der Kunde nichts anderes gewählt hat. Gemessene E-Mails enthalten neben dem Abmeldelink einen Link „Tracking-Einstellungen“: Er öffnet die Einstellungsseite, auf der Empfänger diese Antwort jederzeit zurücknehmen oder geben können, ohne sich abzumelden. Eine ohne Messung versendete E-Mail enthält kein Tracking-Bild und unveränderte Links. Transaktions-E-Mails (Belege, Bestätigungen, Passwort-Zurücksetzungen) und Antworten auf Nachrichten eines Empfängers werden nie gemessen. Jeder Kunde ist als Verantwortlicher dafür zuständig, Empfänger zu informieren und eine Einwilligung einzuholen, wo das Recht des Empfängerlandes dies verlangt: Die französische CNIL (Empfehlung vom 14. April 2026) und die italienische Garante (Entscheidung vom 17. April 2026) behandeln Öffnungs-Tracking-Pixel als Zugriff auf das Endgerät des Empfängers, der zu Marketingzwecken eine vorherige Einwilligung erfordert. Jede Antwort wird mit Wortlaut, Zeitpunkt und Quelle gespeichert. Interaktionsereignisse werden nach 90 Tagen gelöscht (siehe Abschnitt 5).

9. Wenn SmartMailing als Auftragsverarbeiter handelt

Wenn Sie (der Kunde) Abonnentendaten in SmartMailing hochladen (über die API, gehostete Anmeldeformulare, manuelle Eingabe oder CSV-Import), sind Sie der Verantwortliche für diese Abonnenten, und SmartMailing handelt als Ihr Auftragsverarbeiter.

Wir verarbeiten Abonnentendaten ausschließlich nach Ihren dokumentierten Weisungen: Speicherung, Segmentierung, Versand der von Ihnen verfassten E-Mails, Erfassung von Einwilligungen und Zustellereignissen. Wir verwenden Abonnentendaten nicht für eigene Zwecke, verkaufen sie nicht und kontaktieren Abonnenten nicht selbst (mit Ausnahme von Transaktions-E-Mails, die Sie auslösen, etwa der Double-Opt-in-Bestätigung).

Die Bedingungen dieses Auftragsverarbeitungsverhältnisses sind in unserem Auftragsverarbeitungsvertrag festgelegt, abrufbar unter smartmailing.io/legal/dpa. Mit der Nutzung der Plattform akzeptieren Sie den AVV. Abonnenten, die ihre Rechte ausüben möchten, sollten sich an Sie (den Verantwortlichen) wenden; wir unterstützen Sie bei der Beantwortung.

Die Rolle als Auftragsverarbeiter umfasst auch die von uns für Sie betriebenen gehosteten Seiten (Anmelde-, Bestätigungs-, Präferenz- und Abmeldeseiten einschließlich des dialogbasierten Abmeldeablaufs), die Antwortverarbeitung und die in Abschnitt 7 beschriebenen KI-Antwortvorschläge, das Interaktions-Tracking und die Segmentierung. Wenn Sie die Antwortverarbeitung aktivieren, einen Telegram-Chat verknüpfen oder KI-Funktionen auf Abonnentendaten anwenden, weisen Sie uns an, die entsprechenden in Abschnitt 3 genannten Unterauftragsverarbeiter einzusetzen. Ihre Anmeldeformulare und gehosteten Seiten sollten auf Ihre eigene Datenschutzerklärung verlinken, damit Abonnenten die Informationen erhalten, die Artikel 13 DSGVO von Ihnen verlangt.

10. Sicherheit

Wir schützen personenbezogene Daten mit diesen technischen und organisatorischen Maßnahmen: TLS für alle Verbindungen zu unserer Plattform; Verschlüsselung im Ruhezustand durch unsere Hosting-Anbieter; Trennung der Kunden durch Sicherheit auf Zeilenebene (Row-Level Security) für alle Datenbankzugriffe aus dem Kunden-Dashboard und durch Eigentumsprüfungen in unserem Server-Code überall dort, wo unsere Server den privilegierten Datenbankschlüssel verwenden, der nie einen Browser erreicht; Webhooks, die per Signatur oder gemeinsamem Geheimnis geprüft werden; optionale Zwei-Faktor-Anmeldung für jedes Konto; Sicherheitsüberprüfungen unseres Codes; sowie Sicherheitsupdates unserer Abhängigkeiten, sobald Schwachstellen bekannt werden. Jedes Konto hat einen einzigen Inhaber; gemeinsame Team-Rollen gibt es noch nicht.

Im Falle einer Verletzung des Schutzes personenbezogener Daten, die Ihre Daten betrifft, benachrichtigen wir die zuständige Aufsichtsbehörde innerhalb von 72 Stunden und informieren die betroffenen Nutzer, soweit nach den Artikeln 33-34 DSGVO erforderlich.

Zwei Grenzen sollten Sie kennen. Erstens werden von Ihnen hochgeladene Bilder und Dateien konstruktionsbedingt über öffentliche Links ohne Authentifizierung ausgeliefert (siehe Abschnitt 1); ihr Schutz hängt davon ab, dass der Link nicht weitergegeben wird. Zweitens können unsere Mitarbeiter nur für Support, Missbrauchsuntersuchungen und gesetzliche Pflichten auf Kundendaten zugreifen; administrativer Zugriff erfordert eine Zwei-Faktor-Anmeldung, und administrative Änderungen an Kundenkonten (etwa das Freigeben, Pausieren oder Löschen einer Marke) werden protokolliert; das Einsehen von Daten wird nicht einzeln protokolliert.

11. Kinder

SmartMailing ist ein Dienst für Unternehmen und Erwachsene. Für die Erstellung eines Kontos müssen Sie mindestens 18 Jahre alt sein (siehe Abschnitt 3 unserer Nutzungsbedingungen), und der Dienst richtet sich nicht an Kinder. Wir erheben wissentlich keine personenbezogenen Daten von Personen unter 18 Jahren als Nutzer der Plattform. Erfahren wir, dass ein Konto einer Person unter 18 Jahren gehört, schließen wir es und löschen die zugehörigen personenbezogenen Daten, mit Ausnahme von Unterlagen, die wir gesetzlich aufbewahren müssen. Wenn Sie glauben, dass eine minderjährige Person ein Konto erstellt oder uns personenbezogene Daten übermittelt hat, kontaktieren Sie uns, und wir werden tätig.

12. Änderungen dieser Erklärung

Wir können diese Erklärung von Zeit zu Zeit aktualisieren, um Änderungen bei der Verarbeitung, den Auftragsverarbeitern oder dem geltenden Recht Rechnung zu tragen. Wesentliche Änderungen werden den Plattformnutzern mindestens 14 Tage vor ihrem Inkrafttreten per E-Mail mitgeteilt. Das Datum "Zuletzt aktualisiert" oben auf dieser Seite gibt die letzte Überarbeitung an.

13. Kontakt

Bei Fragen zum Datenschutz oder zur Ausübung eines der in Abschnitt 6 genannten Rechte erreichen Sie uns unter [email protected]. Wir bemühen uns, innerhalb von fünf Werktagen und bei förmlichen datenschutzrechtlichen Anfragen innerhalb eines Monats zu antworten.

Wenn Sie mit unserer Antwort nicht zufrieden sind, können Sie eine Beschwerde bei Ihrer lokalen Datenschutzbehörde einreichen. Zuständige Behörde für SmartMailing ist die österreichische Datenschutzbehörde (DSB): dsb.gv.at.

Wir haben keinen Datenschutzbeauftragten benannt, weil die Voraussetzungen des Artikels 37 DSGVO auf ein Unternehmen unserer Größe und Tätigkeit nicht zutreffen; die oben genannte Adresse ist die zentrale Anlaufstelle für alle Datenschutzanliegen.