Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO

gemäß Art. 28 Abs. 3 DSGVO

Parteien

Verantwortlicher (im Folgenden „Kunde"): Die natürliche oder juristische Person, die das Fach-Postfach bei mailorga betreibt. Name und Kontaktdaten ergeben sich aus der Vereinbarung über den Betrieb des Fach-Postfachs (Leistungsbeschreibung, Auftragsbestätigung per E-Mail oder sonstige schriftliche Abrede).

Auftragsverarbeiter (im Folgenden „mailorga"): Christopher Helm, betreibend unter der Marke mailorga. Anschrift und Kontaktdaten siehe Impressum.

Verantwortlicher und mailorga werden nachfolgend gemeinsam „die Parteien" genannt.

§ 1 Gegenstand und Dauer

(1) Gegenstand ist die Verarbeitung personenbezogener Daten durch mailorga im Auftrag des Kunden im Rahmen des Betriebs eines Fach-Postfachs nach Maßgabe der vereinbarten Leistungsbeschreibung.

(2) mailorga verarbeitet personenbezogene Daten ausschließlich nach Weisung des Kunden; § 2 bleibt unberührt.

(3) Dieser Vertrag beginnt mit dem Wirksamwerden der Vereinbarung über den Betrieb des Fach-Postfachs und endet mit deren Beendigung, sofern sich aus §§ 12 und 13 nichts anderes ergibt.

§ 2 Art, Umfang und Zweck der Verarbeitung

(1) mailorga verarbeitet personenbezogene Daten zum Zweck des Betriebs des Fach-Postfachs: Empfang, Einordnung, Analyse und Beantwortung eingehender E-Mails sowie Verwaltung des zugehörigen Wissens- und Kontaktbestands.

(2) Die Verarbeitung umfasst insbesondere: Empfang und Speicherung eingehender E-Mails (Kopfzeilen, Text, Metadaten von Anhängen; Anhangsinhalte werden standardmäßig nicht geöffnet. Bei Postfächern, die ausdrücklich für die Anhang-Prüfung eingerichtet sind, wird der extrahierte Textinhalt als reine Daten verarbeitet (nie als Anweisung ausgeführt) und an den Unterauftragsverarbeiter Anthropic (USA) übermittelt); Auswertung der Absender-Authentifizierung (SPF, DKIM, DMARC); Abfrage öffentlich verfügbarer Informationen zur Absender-Domain beim Erstkontakt; Erstellung eines Antwort-Entwurfs unter Nutzung des hinterlegten Kundenwissens; Speicherung von Korrespondenznotizen und Wissensbasis; bei Direktanbindung ein verschlüsselt gespeichertes Zugriffstoken; tägliche Sicherung von System und Konfiguration (Kundendaten von der externen Sicherung ausgenommen); Bereitstellung des Datenbestands zum Export.

§ 3 Art der Daten und Kategorien Betroffener

(1) Kategorien personenbezogener Daten: Kontaktdaten (E-Mail-Adresse, Name, Unternehmensbezeichnung); Kommunikationsinhalte (Betreff, Text, Metadaten eingehender E-Mails); Anhang-Metadaten (Name, Typ, Größe; keine Inhalte); Authentifizierungs-Prüfergebnisse; öffentlich zugängliche Informationen zur Absender-Domain; Korrespondenznotizen; bei Direktanbindung ein verschlüsseltes Zugriffstoken; vom Kunden hinterlegtes fachliches Wissen.

(2) Kategorien Betroffener: Korrespondenten des Kunden; Mitarbeiter oder Vertreter des Kunden, soweit deren Daten in der Wissensbasis oder Historie enthalten sind.

(3) Besondere Kategorien nach Art. 9 DSGVO sind nicht Gegenstand der bestimmungsgemäßen Verarbeitung. Gelangen solche Daten gleichwohl in die Verarbeitung, hat der Kunde für eine geeignete Rechtsgrundlage zu sorgen.

§ 4 Weisungsbindung

(1) mailorga verarbeitet personenbezogene Daten ausschließlich nach dokumentierter Weisung des Kunden, es sei denn, das Unionsrecht oder das Recht eines Mitgliedstaats verpflichtet mailorga zu einer Verarbeitung; in diesem Fall teilt mailorga dem Kunden diese Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht aus wichtigen Gründen des öffentlichen Interesses verbietet.

(2) Die Leistungsbeschreibung und die bei der Einrichtung getroffenen Konfigurationsentscheidungen des Kunden gelten als Weisungen.

(3) Hält mailorga eine Weisung für datenschutzwidrig, teilt mailorga dies unverzüglich mit und darf die Ausführung bis zur Klärung aussetzen.

§ 5 Vertraulichkeit

(1) mailorga stellt sicher, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(2) Der Zugang zu den Daten ist auf die Personen beschränkt, die ihn zur Aufgabenerfüllung benötigen.

(3) Die Vertraulichkeitspflicht besteht über die Beendigung dieses Vertrags hinaus.

§ 6 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

(1) mailorga trifft geeignete technische und organisatorische Maßnahmen für ein dem Risiko angemessenes Schutzniveau. Die umgesetzten Maßnahmen sind in der Leistungsbeschreibung (Abschnitt „Wie Ihre Daten geschützt sind") beschrieben und Bestandteil dieses Vertrags.

(2) Sie umfassen insbesondere: Mandantentrennung (eigener Datenbereich je Kunde, vor Mehrkunden-Betrieb betriebssystem-erzwungen); Absender-Authentifizierung (SPF/DKIM/DMARC, Aussonderung nicht bestandener Mails); Transportverschlüsselung; Entwurfsmodus als Voreinstellung; Zugriffsminimierung; tägliche Sicherung von System und Konfiguration (Kundendaten von der externen Sicherung ausgenommen); Schutz gegen manipulierte Mail-Inhalte über fest verdrahtete Programmschalter.

(3) mailorga darf die Maßnahmen anpassen, sofern das Schutzniveau nicht unterschritten wird; wesentliche Änderungen teilt mailorga rechtzeitig mit.

§ 7 Unterauftragsverarbeiter

(1) Der Kunde erteilt mit Vertragsschluss die allgemeine schriftliche Genehmigung zur Beauftragung der in Anlage 1 genannten Unterauftragsverarbeiter.

(2) mailorga informiert rechtzeitig über beabsichtigte Änderungen. Der Kunde kann innerhalb von 14 Tagen schriftlich widersprechen; ohne Widerspruch gilt die Genehmigung als erteilt. Bei begründetem Widerspruch suchen die Parteien eine einvernehmliche Lösung; gelingt sie nicht, kann jede Partei außerordentlich kündigen.

(3) mailorga verpflichtet Unterauftragsverarbeiter vertraglich zu den gleichen Datenschutzpflichten wie in diesem Vertrag.

(4) mailorga bleibt gegenüber dem Kunden für die Einhaltung durch Unterauftragsverarbeiter verantwortlich.

§ 8 Drittland-Übermittlungen

(1) Soweit Unterauftragsverarbeiter in einem Drittland verarbeiten, stellt mailorga eine geeignete Grundlage nach Art. 44 ff. DSGVO sicher.

(2) Für die Übermittlung an Anthropic PBC (USA) zur Erstellung von Antwort-Entwürfen und Hintergrund-Recherchen gilt Art. 46 Abs. 2 lit. c DSGVO (Standardvertragsklauseln). Anthropic nutzt die über die API verarbeiteten Daten nicht zum Training von Modellen.

(3) Für die Übermittlung an GitHub Inc. / Microsoft Corporation (USA) zur Sicherung von System und Konfiguration gilt Art. 45 DSGVO (EU-US Data Privacy Framework), soweit dieser Beschluss Gültigkeit besitzt. mailorga beobachtet die Rechtslage und passt die Grundlage gegebenenfalls an.

§ 9 Unterstützung des Kunden

(1) mailorga unterstützt den Kunden soweit möglich bei der Beantwortung von Betroffenenanfragen (Art. 15–22 DSGVO) und bei der Einhaltung der Pflichten nach Art. 32–36 DSGVO.

(2) Für Unterstützung, die über den gewöhnlichen Aufwand hinausgeht, kann mailorga einen angemessenen Aufwandsersatz verlangen.

§ 10 Meldepflichten bei Datenpannen (Art. 33, 34 DSGVO)

(1) Bei einer Verletzung des Schutzes personenbezogener Daten im Verantwortungsbereich von mailorga informiert mailorga den Kunden unverzüglich per E-Mail.

(2) Die Benachrichtigung enthält mindestens: Art der Verletzung, betroffene Datenkategorien und ungefähre Anzahl betroffener Personen und Datensätze, Kontaktdaten eines Ansprechpartners, wahrscheinliche Folgen und ergriffene oder vorgeschlagene Maßnahmen.

(3) Die Benachrichtigung kann in Schritten erfolgen; weitere Informationen werden unverzüglich nachgereicht.

(4) Der Kunde entscheidet über Meldungen an die Aufsichtsbehörde (Art. 33) und Benachrichtigungen Betroffener (Art. 34).

§ 11 Kontrollrechte des Kunden

(1) Der Kunde darf sich von der Einhaltung der Pflichten überzeugen. mailorga stellt die erforderlichen Informationen bereit und ermöglicht Überprüfungen (Art. 28 Abs. 3 lit. h DSGVO).

(2) Der Nachweis kann durch Zertifizierungen, Auditberichte oder vergleichbare Nachweise erbracht werden. Alternativ kann der Kunde Audits durchführen oder durch einen Dritten durchführen lassen, soweit ein berechtigtes Interesse besteht und der Betrieb von mailorga oder die Rechte anderer Kunden nicht beeinträchtigt werden.

(3) Vor-Ort-Prüfungen sind mit mindestens 14 Tagen Vorlauf schriftlich anzukündigen und auf das notwendige Maß zu beschränken.

§ 12 Löschung und Rückgabe nach Vertragsende

(1) Nach Vertragsende stellt mailorga dem Kunden den vollständigen Datenbestand (E-Mails, Notizen, Wissensbasis) als ZIP-Archiv mit Klartextdateien zur Verfügung.

(2) Nach Übergabe oder nach Ablauf von 30 Tagen nach Vertragsende (je nachdem, was früher eintritt) löscht mailorga alle personenbezogenen Daten aus den Produktivsystemen, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.

(3) Backup-Daten werden im regulären Backup-Rotationszyklus gelöscht. Eine sofortige Löschung aus der Versionshistorie des Backup-Repositorys wird auf ausdrücklichen schriftlichen Wunsch gegen Aufwandsersatz durchgeführt.

(4) mailorga bestätigt die erfolgte Löschung auf Anfrage schriftlich.

§ 13 Schlussbestimmungen

(1) Änderungen bedürfen der Schriftform oder der dokumentierten elektronischen Form.

(2) Ist eine Bestimmung unwirksam, bleibt der übrige Vertrag wirksam; die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame, die ihrem wirtschaftlichen Zweck am nächsten kommt.

(3) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist, soweit gesetzlich zulässig, der Sitz von mailorga.

(4) Dieser Vertrag tritt in Kraft, wenn der Kunde durch Aufnahme des Dienstbetriebs oder durch ausdrückliche schriftliche Bestätigung zustimmt.

Anlage 1: Unterauftragsverarbeiter (Stand: Juni 2026)

Änderungen an dieser Liste werden dem Kunden nach § 7 Abs. 2 mitgeteilt.