Border Mail · Datenschutz

Auftragsverarbeitungsvertrag

gemäß Art. 28 DSGVO

Version 1.1 Stand August 2026 Auftragsverarbeiter Bettina Karner / Border Mail
Verantwortlicher
Das im Annahmeformular angegebene Kundenunternehmen
(Firmenname, Anschrift und ggf. UID gemäß Registrierung)
Auftragsverarbeiter
Bettina Karner
Einzelunternehmen, Marke „Border Mail"
Kronthaler Straße 10, 6330 Kufstein, Österreich
GISA-Zahl 39851161

– gemeinsam die „Parteien" –

Der Verantwortliche nutzt die vom Auftragsverarbeiter bereitgestellte Software „Border Mail" zur automatisierten Vorbereitung von Antwortentwürfen auf eingehende E-Mails (im Folgenden „Hauptvertrag"). Dabei verarbeitet der Auftragsverarbeiter im Auftrag des Verantwortlichen personenbezogene Daten. Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien gemäß Art. 28 DSGVO und gilt für alle Verarbeitungen im Rahmen des Hauptvertrags.

§ 1Gegenstand, Dauer und Art der Verarbeitung

  1. Gegenstand und Dauer der Verarbeitung entsprechen dem Hauptvertrag. Die Verarbeitung beginnt mit dessen Inkrafttreten und endet mit dessen Beendigung.
  2. Art, Umfang und Zweck der Verarbeitung, die Art der personenbezogenen Daten sowie die Kategorien betroffener Personen sind in Anlage 1 festgelegt.
  3. Die Verarbeitung findet innerhalb der EU/des EWR statt, soweit nicht in Anlage 2 ausdrücklich ein Drittlandtransfer mit geeigneten Garantien (Art. 44 ff. DSGVO) genannt ist.

§ 2Weisungsrecht des Verantwortlichen

  1. Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich Übermittlungen in Drittländer, sofern nicht eine Rechtsvorschrift der EU oder eines Mitgliedstaats ihn hierzu verpflichtet.
  2. Dieser Vertrag und der Hauptvertrag gelten als Grundweisung. Weitere Weisungen erfolgen in Textform (z. B. E-Mail).
  3. Hält der Auftragsverarbeiter eine Weisung für datenschutzrechtswidrig, informiert er den Verantwortlichen unverzüglich.

§ 3Pflichten des Auftragsverarbeiters

  1. Der Auftragsverarbeiter verpflichtet die zur Verarbeitung befugten Personen zur Vertraulichkeit, soweit sie nicht bereits gesetzlich einer entsprechenden Verschwiegenheit unterliegen.
  2. Er trifft die in Anlage 3 beschriebenen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO.
  3. Er unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei der Erfüllung von Anträgen betroffener Personen (Art. 12–23 DSGVO).
  4. Er unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO (Datensicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung), unter Berücksichtigung der Art der Verarbeitung und der ihm vorliegenden Informationen.
  5. Er meldet eine ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, in der Regel innerhalb von 48 Stunden nach Bekanntwerden, und stellt die zur Erfüllung der Meldepflicht (Art. 33, 34 DSGVO) erforderlichen Informationen bereit.
  6. Wird ein Datenschutzbeauftragter gesetzlich erforderlich, benennt der Auftragsverarbeiter diesen; andernfalls benennt er eine datenschutzrechtliche Kontaktperson und teilt die Kontaktdaten mit.

§ 4Unterauftragsverarbeiter

  1. Der Verantwortliche erteilt die allgemeine Genehmigung zur Beauftragung der in Anlage 2 genannten Unterauftragsverarbeiter.
  2. Der Auftragsverarbeiter informiert über beabsichtigte Änderungen (Hinzuziehung oder Austausch) mit angemessener Frist in Textform. Der Verantwortliche kann der Änderung innerhalb von 14 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen.
  3. Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf ein Datenschutzniveau, das den Anforderungen dieses Vertrags im Wesentlichen entspricht (Art. 28 Abs. 4 DSGVO).

§ 5Technische und organisatorische Maßnahmen

  1. Die zum Zeitpunkt des Vertragsschlusses getroffenen Maßnahmen ergeben sich aus Anlage 3. Der Auftragsverarbeiter darf diese fortentwickeln, solange das vereinbarte Schutzniveau nicht unterschritten wird.

§ 6Kontroll- und Nachweisrechte

  1. Der Auftragsverarbeiter stellt auf Anfrage die zum Nachweis der Einhaltung dieses Vertrags erforderlichen Informationen bereit (z. B. Anlage 3, Nachweise der Unterauftragsverarbeiter).
  2. Kontrollen vor Ort erfolgen nach rechtzeitiger Ankündigung, zu üblichen Geschäftszeiten und ohne vermeidbare Störung des Betriebsablaufs.

§ 7Löschung und Rückgabe nach Beendigung

  1. Nach Beendigung der Verarbeitung löscht der Auftragsverarbeiter alle personenbezogenen Daten oder gibt sie nach Wahl des Verantwortlichen zurück, sofern keine gesetzliche Aufbewahrungspflicht besteht.
  2. Die Löschung wird auf Anforderung in Textform bestätigt.

§ 8Haftung

  1. Für die Haftung gelten Art. 82 DSGVO sowie die Regelungen des Hauptvertrags.

§ 9Schlussbestimmungen

  1. Änderungen und Ergänzungen bedürfen der Textform; die elektronische Annahme über diese Seite erfüllt dieses Erfordernis (Art. 28 Abs. 9 DSGVO).
  2. Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrags in datenschutzrechtlicher Hinsicht vor.
  3. Es gilt österreichisches Recht; die Anwendung der DSGVO bleibt unberührt.
  4. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam.
  5. Die Anlagen 1–4 sind Bestandteil dieses Vertrags.

Anlage 1 — Beschreibung der Verarbeitung

Gegenstand
Verarbeitung eingehender E-Mails des Verantwortlichen zur Erstellung KI-gestützter Antwortentwürfe (Human-in-the-Loop: Freigabe durch den Verantwortlichen).
Art der Verarbeitung
Empfangen, Speichern, Auslesen, Analysieren und Verarbeiten von E-Mail-Inhalten; lesender Abruf von Bestell- und Versanddaten aus vom Verantwortlichen angebundenen Shop- und Versandsystemen (Anlage 4); Übermittlung an Unterauftragsverarbeiter zur Entwurfserstellung; Bereitstellung im Freigabe-Dashboard.
Zweck
Automatisierte Unterstützung der E-Mail-Kommunikation des Verantwortlichen, einschließlich der Beantwortung von Anfragen zum Bestell- und Lieferstatus.
Art der Daten
Stammdaten (Name, E-Mail-Adresse), Inhaltsdaten aus E-Mails (Nachrichtentext, Betreff, ggf. Anhänge), Metadaten (Zeitstempel, Absender/Empfänger); bei angebundenem Shop- oder Versandsystem zusätzlich Bestelldaten (Bestellnummer, Bestelldatum, Zahlungs- und Versandstatus, bestellte Artikel, Bestellwert) und Versanddaten (Versanddienstleister, Sendungsnummer, Sendungsstatus, Zeitpunkt und Ort der letzten Statusmeldung, voraussichtlicher Zustelltermin).
Betroffene Personen
Kunden, Interessenten, Geschäftspartner und sonstige Korrespondenzpartner des Verantwortlichen.
Dauer
Für die Laufzeit des Hauptvertrags; danach Löschung gemäß § 7.

Der Verantwortliche soll keine besonderen Datenkategorien (Art. 9 DSGVO) über den Dienst verarbeiten, sofern dies nicht ausdrücklich vereinbart wurde.

Anlage 2 — Genehmigte Unterauftragsverarbeiter

UnterauftragsverarbeiterZweck / LeistungOrtGarantie bei Drittland
Hostinger International Ltd.Server-/Infrastruktur-Hosting der AnwendungServerstandort Deutschland; Anbieter Zypern (EU)— (kein Drittland)
Nylas, Inc.E-Mail-/Kalender-Schnittstelle, Authentifizierung, DatenübertragungEU-Region (im Dashboard konfiguriert) / ggf. UK/USEU-U.S. Data Privacy Framework bzw. EU-Standardvertragsklauseln
Anthropic PBCKI-gestützte Erstellung der Antwortentwürfe (Claude API)USAEU-U.S. Data Privacy Framework bzw. EU-Standardvertragsklauseln

Die tatsächlich genutzte Datenregion ist im jeweiligen Anbieter-Dashboard zu verifizieren und bei Abweichung hier zu aktualisieren.

Anlage 3 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

Integrität

Verfügbarkeit & Belastbarkeit

Überprüfung & Verfahren

Diese Maßnahmen werden bei Bedarf an den Stand der Technik angepasst.

Anlage 4 — Anbindung von Shop- und Versandsystemen

Diese Anlage gilt nur, soweit der Verantwortliche ein Shop- oder Versandsystem an den Dienst anbindet. Ohne eine solche Anbindung entfällt sie ersatzlos.

1. Shop-System (Shopify)

  1. Der Verantwortliche kann dem Auftragsverarbeiter über selbst erstellte Zugangsdaten einen ausschließlich lesenden Zugriff auf sein Shop-System einräumen. Der Auftragsverarbeiter ruft darüber Bestell- und Versanddaten zu einzelnen Kundenanfragen ab.
  2. Der Zugriff erfolgt ausschließlich lesend. Der Dienst legt im Shop-System keine Daten an, ändert und löscht keine.
  3. Der Betreiber des Shop-Systems ist Auftragsverarbeiter des Verantwortlichen aufgrund dessen eigener vertraglicher Beziehung; er ist kein Unterauftragsverarbeiter des Auftragsverarbeiters im Sinne von § 4.
  4. Der Verantwortliche kann die Anbindung jederzeit in den Einstellungen trennen; die hinterlegten Zugangsdaten werden dabei gelöscht.

2. Sendungsverfolgung (Deutsche Post DHL Group)

  1. Zur Beantwortung von Anfragen zum Lieferstatus übermittelt der Auftragsverarbeiter die Sendungsnummer an die Sendungsverfolgungs-Schnittstelle der Deutsche Post DHL Group und ruft den aktuellen Sendungsstatus ab.
  2. Die Deutsche Post DHL Group verarbeitet diese Daten als Transporteur in eigener Verantwortlichkeit; sie ist kein Unterauftragsverarbeiter im Sinne von § 4.
  3. Sendungsdaten werden vom Auftragsverarbeiter nicht dauerhaft gespeichert. Sie werden für höchstens zehn Minuten im Arbeitsspeicher vorgehalten, um wiederholte Abrufe zu vermeiden, und darüber hinaus nicht in eine Datenbank geschrieben. Eine über den Abruf hinausgehende Speicherung findet nur insoweit statt, als der Verantwortliche die Angaben selbst in eine von ihm freigegebene E-Mail übernimmt.
  4. Bei jeder Anzeige und jeder Übermittlung von Sendungsdaten an Empfänger wird der von der Deutsche Post DHL Group vorgegebene Hinweis „Delivered by Deutsche Post DHL Group" ausgegeben. Der Auftragsverarbeiter fügt diesen Hinweis automatisch an entsprechende Antwortentwürfe an; der Verantwortliche entfernt ihn nicht.
  5. Sendungsdaten werden nicht mit Werbung kombiniert oder in einer Weise dargestellt, die als Werbung verstanden werden könnte.

3. Zusicherungen und Hinweispflichten des Verantwortlichen

Die Nutzungsbedingungen der Deutsche Post DHL Group verlangen Zusicherungen desjenigen, der Sendungsdaten abruft, ohne selbst Absender oder Empfänger zu sein. Der Verantwortliche sichert daher zu und nimmt zur Kenntnis:

  1. Er ist Absender der betreffenden Sendungen oder berechtigt, für den Absender zu handeln, und räumt dem Auftragsverarbeiter das Recht ein, die Sendungsdaten für ihn abzurufen.
  2. Er informiert die Empfänger seiner Sendungen — insbesondere seine eigenen Kunden — transparent über die Verarbeitung ihrer personenbezogenen Daten nach Art. 13, 14 DSGVO, einschließlich des Abrufs von Sendungsdaten über diesen Dienst.
  3. Ihm ist bekannt, dass die Nutzung des Dienstes dazu führen kann, dass Daten, die dem Post- und Fernmeldegeheimnis unterliegen, gegenüber Dritten — namentlich dem Auftragsverarbeiter und dessen Unterauftragsverarbeitern nach Anlage 2 — offengelegt werden.
  4. Die Sendungsdaten dürfen nur zu berechtigten Zwecken der Sendungsverfolgung gegenüber dem jeweiligen Empfänger verwendet und nicht an unbeteiligte Dritte weitergegeben werden.
  5. Er löscht Sendungsdaten, die er aus dem Dienst übernommen hat, spätestens 30 Tage nach abgeschlossener Zustellung, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.

Wird die Sendungsverfolgung nicht genutzt, entfallen die Zusicherungen unter Ziffer 3 dieser Anlage.

AVV angenommen