Auftragsverarbeitungsvertrag (AVV)
Gemäß Art. 28 DSGVO
Zuletzt aktualisiert: 25. Juli 2026
Dieser Auftragsverarbeitungsvertrag („AVV") ist Bestandteil der Nutzungsbedingungen zwischen Ihnen als Kontoinhaber („Verantwortlicher") und der Fontemia GmbH als Betreiberin von BgLetter („Auftragsverarbeiter"). Er gilt automatisch und ohne gesonderte Unterzeichnung, sobald Sie personenbezogene Daten Ihrer Empfänger über den Channel verarbeiten lassen. Auf Wunsch stellen wir Ihnen eine unterzeichnete Ausfertigung zur Verfügung.
1. Gegenstand, Umfang und Dauer
Gegenstand der Verarbeitung ist die Durchführung des vom Verantwortlichen ausgelösten E-Mail-Versands über den Channel BgLetter. Der Auftragsverarbeiter führt bewusst keine Kontakt- oder Adressverwaltung: Empfängerdaten werden je Versand vom Verantwortlichen bereitgestellt, ausschließlich für diesen Versand verarbeitet und nach Ablauf der in Ziffer 10 geregelten Frist automatisch gelöscht. Die Verarbeitung dauert an, solange das Konto besteht, und endet mit dessen Löschung, vorbehaltlich gesetzlicher Aufbewahrungspflichten.
2. Art und Zweck der Verarbeitung
Erhebung, Speicherung, Personalisierung, Sortierung, Übersetzung sowie Übermittlung von Empfängerdaten zum Zweck des Versands der vom Verantwortlichen erstellten Nachrichten über dessen eigenen E-Mail-Anbieter; ferner die Erfassung von Zustell-, Öffnungs-, Klick- und Abmeldeereignissen, die Führung der Abmeldeliste sowie die technische Protokollierung zur Fehleranalyse und Missbrauchsabwehr.
3. Kategorien betroffener Personen und Daten
Betroffene Personen sind die vom Verantwortlichen bestimmten Empfänger seiner Nachrichten. Verarbeitete Datenkategorien: E-Mail-Adresse, Name sowie die vom Verantwortlichen bereitgestellten Personalisierungsfelder, ferner Sprach- und Länderangaben sowie Ereignisdaten zu Zustellung, Öffnung, Klick und Abmeldung. Der Verantwortliche darf keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO und keine Daten nach Art. 10 DSGVO über den Channel verarbeiten lassen.
4. Weisungsbindung
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach dem Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet; in diesem Fall teilt er dem Verantwortlichen die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet. Die Nutzung der Funktionen des Channels gilt als Weisung. Einzelweisungen bedürfen der Textform. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen Datenschutzrecht verstößt; er darf die Ausführung bis zur Klärung aussetzen.
5. Vertraulichkeit
Der Auftragsverarbeiter stellt sicher, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und dass sie in den einschlägigen Datenschutzvorschriften unterwiesen sind. Der Kreis der Zugriffsberechtigten ist auf das für die Vertragsdurchführung erforderliche Minimum beschränkt.
6. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
Der Auftragsverarbeiter trifft insbesondere folgende Maßnahmen: verschlüsselte Übertragung sämtlicher Daten (TLS); verschlüsselte Speicherung der Zugangsdaten des E-Mail-Kontos (AES-256) und Speicherung von Passwörtern ausschließlich als Hashwert; strikte Mandantentrennung auf Datenbankebene; rollenbasierte Zugriffskontrolle und optionale Zwei-Faktor-Authentifizierung; Protokollierung sicherheitsrelevanter Vorgänge; Härtung der Server, Firewall, Rate-Limits und Missbrauchserkennung; regelmäßige Sicherungen der Systemdaten; Datensparsamkeit durch automatische Löschung nach 30 Tagen; Serverstandort Deutschland. Der Auftragsverarbeiter darf die Maßnahmen fortentwickeln, solange das Schutzniveau nicht unterschritten wird.
7. Unterauftragsverarbeiter
Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz folgender Unterauftragsverarbeiter: eines Hosting-Dienstleisters mit Serverstandort in Deutschland für den Betrieb der Infrastruktur sowie von Anthropic für die optionalen KI-Funktionen (Übersetzung und Assistent), wobei hierbei ausschließlich Nachrichteninhalte und keine Empfängeradressen übermittelt werden. Die Zahlungsabwicklung über PayPal betrifft ausschließlich Daten des Verantwortlichen selbst und erfolgt in dessen eigener Verantwortung. Der vom Verantwortlichen gewählte E-Mail-Anbieter ist kein Unterauftragsverarbeiter des Auftragsverarbeiters, sondern steht in der Verantwortung des Verantwortlichen. Der Auftragsverarbeiter informiert über beabsichtigte Änderungen mindestens 30 Tage im Voraus in Textform; der Verantwortliche darf aus wichtigem, datenschutzrechtlichem Grund widersprechen und in diesem Fall den Vertrag kündigen.
8. Unterstützung des Verantwortlichen
Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12 bis 23 DSGVO) sowie bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, soweit dies angemessen ist und dem Auftragsverarbeiter die erforderlichen Informationen vorliegen. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter. Über den in Art. 28 DSGVO vorgesehenen Umfang hinausgehende Unterstützungsleistungen darf der Auftragsverarbeiter nach Aufwand vergüten lassen.
9. Meldung von Verletzungen des Schutzes personenbezogener Daten
Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntniserlangung, in Textform und stellt die ihm vorliegenden Informationen zur Verfügung, die der Verantwortliche für seine eigenen Meldepflichten nach Art. 33 und 34 DSGVO benötigt. Die Meldepflicht gegenüber der Aufsichtsbehörde und den betroffenen Personen obliegt allein dem Verantwortlichen.
10. Löschung und Rückgabe
Empfängerdaten, Nachrichteninhalte und Ereignisdaten werden spätestens 30 Tage nach dem jeweiligen Versand automatisch und unwiederbringlich gelöscht. Nach Beendigung des Vertrags löscht der Auftragsverarbeiter sämtliche verbleibenden personenbezogenen Daten innerhalb von 30 Tagen, sofern keine gesetzliche Aufbewahrungspflicht besteht; Sicherungskopien werden im Rahmen der regulären Sicherungszyklen überschrieben. Der Verantwortliche ist verpflichtet, benötigte Daten vor Ablauf dieser Fristen über die Exportfunktionen zu sichern. Dauerhaft gespeichert bleibt allein die Abmeldeliste zur Erfüllung der Pflichten aus Art. 21 DSGVO.
11. Nachweise und Kontrollen
Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung, in der Regel durch eine aktuelle Beschreibung der technischen und organisatorischen Maßnahmen sowie durch schriftliche Auskunft. Reichen diese Nachweise im Einzelfall nicht aus, ermöglicht der Auftragsverarbeiter eine Überprüfung nach vorheriger Ankündigung mit angemessener Frist, während der üblichen Geschäftszeiten, höchstens einmal jährlich, ohne Betriebsstörung, unter Wahrung der Vertraulichkeit sowie der Rechte anderer Kunden und auf Kosten des Verantwortlichen. Prüfungen durch Dritte setzen deren Verpflichtung zur Verschwiegenheit voraus; Wettbewerber sind ausgeschlossen.
12. Pflichten des Verantwortlichen
Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung allein verantwortlich. Er stellt insbesondere sicher, dass für jede Kontaktaufnahme eine gültige Rechtsgrundlage — insbesondere eine nachweisbare Einwilligung — vorliegt, dass er die Empfänger transparent informiert, Betroffenenrechte erfüllt, Widersprüche beachtet und keine besonderen Kategorien personenbezogener Daten übermittelt. Er führt das Verzeichnis von Verarbeitungstätigkeiten für seine Verarbeitungen selbst und bewertet die Erforderlichkeit einer Datenschutz-Folgenabschätzung eigenverantwortlich.
13. Haftung
Die Haftung im Verhältnis der Parteien richtet sich nach den Nutzungsbedingungen; Art. 82 DSGVO bleibt unberührt. Im Innenverhältnis trägt jede Partei den Anteil an einem Schaden, der ihrem Verantwortungsbeitrag entspricht. Der Verantwortliche stellt den Auftragsverarbeiter von Ansprüchen frei, die darauf beruhen, dass die von ihm bereitgestellten Daten oder erteilten Weisungen rechtswidrig waren.
14. Internationale Übermittlung
Die Verarbeitung erfolgt auf Servern in Deutschland (EU/EWR). Der Auftragsverarbeiter hat seinen Sitz in der Schweiz, für die ein Angemessenheitsbeschluss der Europäischen Kommission besteht (Art. 45 DSGVO). Eine Übermittlung in ein Drittland ohne Angemessenheitsbeschluss erfolgt ausschließlich im Rahmen der optionalen KI-Funktionen und ist durch die Standardvertragsklauseln der Europäischen Kommission abgesichert.
15. Schlussbestimmungen
Änderungen dieses AVV bedürfen der Textform. Im Widerspruchsfall gehen die Regelungen dieses AVV den Nutzungsbedingungen für den Bereich der Auftragsverarbeitung vor. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Maßgeblich ist die deutsche Fassung.
16. Kontakt
Fragen zu diesem AVV richten Sie bitte an:
Diese Seite dient der Information und stellt keine Rechtsberatung dar.
Siehe auch: Nutzungsbedingungen · Datenschutzerklärung · Impressum