Vertrag zur Auftragsverarbeitung (AVV)

nach Art. 28 Abs. 3 DSGVO zwischen dem Kunden (Verantwortlicher) und ridu (Auftragsverarbeiter). Der Vertrag kommt mit dem Häkchen bei der Registrierung zustande; Version und Zeitpunkt sind im Dashboard unter Einstellungen → Datenschutz dokumentiert.

§ 1 Gegenstand und Dauer

Versand von E-Mails, Verarbeitung von Zustellmeldungen (Bounces, Beschwerden), Verwaltung von Kontaktlisten und Einwilligungsnachweisen für die Dauer des Hauptvertrags.

§ 2 Art der Daten und Betroffene

Daten: E-Mail-Adressen, Namen und weitere Kontakt-Eigenschaften, Inhalte der E-Mails, Zustell-Metadaten, gekürzte IP-Adressen bei An- und Abmeldungen. Betroffene: Empfänger und Kontakte des Kunden.

§ 3 Weisungen

Wir verarbeiten die Daten nur auf dokumentierte Weisung des Kunden; die API-Aufrufe und Einstellungen im Dashboard sind Weisungen. Halten wir eine Weisung für rechtswidrig, informieren wir den Kunden.

§ 4 Vertraulichkeit

Alle Personen mit Zugriff sind zur Vertraulichkeit verpflichtet.

§ 5 Sicherheit

Wir treffen die in den technischen und organisatorischen Maßnahmen beschriebenen Vorkehrungen (Art. 32 DSGVO).

§ 6 Unterauftragsverarbeiter

Der Kunde genehmigt die in der Liste genannten Unterauftragsverarbeiter. Änderungen kündigen wir 30 Tage vorher per E-Mail an; der Kunde kann widersprechen und in diesem Fall außerordentlich kündigen.

§ 7 Unterstützung und Meldepflichten

Wir unterstützen den Kunden bei Betroffenenanfragen (Export, Löschung, Abmeldung über Dashboard und API) und melden Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis.

§ 8 Löschung

E-Mail-Inhalte löschen wir nach der vom Kunden eingestellten Frist (Standard 7 Tage), Metadaten nach höchstens 90 Tagen, alle übrigen Daten 14 Tage nach Vertragsende. Einwilligungsnachweise bewahren wir bis zu 3 Jahre nach Löschung eines Kontakts auf, um die Rechtsverteidigung des Kunden zu sichern.

§ 9 Kontrollen

Der Kunde kann sich nach Absprache von der Einhaltung überzeugen; dazu stellen wir Nachweise (z. B. Zertifikate des Rechenzentrums) bereit.

§ 10 Ort der Verarbeitung

Die Verarbeitung erfolgt ausschließlich in der Europäischen Union.