Datenschutz
DSGVO und Datenschutz bei Mail.Land
Für Datenschutzbeauftragte geschrieben: wo Ihre Daten gehostet werden, welche Anbieter sie wo verarbeiten, wie lange sie aufbewahrt werden und welche Bedingungen dafür gelten.
Ein Hinweis zur Compliance
Das Hosting von Daten in der EU macht einen Dienst nicht schon für sich genommen DSGVO-konform, und wir verwenden kein Compliance-Siegel. Diese Seite stellt die Fakten dar, damit Sie Mail.Land anhand Ihrer eigenen Pflichten bewerten können. Verbindlich sind der Auftragsverarbeitungsvertrag und die Datenschutzerklärung; weichen diese Seite und diese Dokumente voneinander ab, haben die Dokumente Vorrang.
Wer wofür verantwortlich ist
- Mail.Land wird von VENTRYA LTD betrieben, einer in England und Wales eingetragenen Gesellschaft.
- Für die E-Mails, die Sie über Mail.Land versenden, und die darin enthaltenen Empfängerdaten sind Sie der Verantwortliche und wir Ihr Auftragsverarbeiter, auf Grundlage unseres Auftragsverarbeitungsvertrags (Artikel 28 DSGVO).
- Für Ihre Kontodaten sowie für begrenzte Daten, die wir verwenden, um Missbrauch zu verhindern und unsere Versandinfrastruktur zu schützen, sind wir eigenständiger Verantwortlicher. Unsere Datenschutzerklärung beschreibt diese Verarbeitung.
Wo Ihre Daten gehostet werden
Die Primärkopie Ihrer Daten befindet sich in Deutschland.
| Was | Wo |
|---|---|
| Anwendung, API, Datenbanken, Mailserver, gespeicherte eingehende E-Mails und Anhänge, Datenexporte, Überwachung und Protokolle | Hetzner, Deutschland (Nürnberg und Falkenstein) |
| Verschlüsselte sekundäre Backup-Kopie | Von VENTRYA LTD betriebene Infrastruktur in Warschau, Polen (EU) |
| Fallback-Versand von Mail.Land-Systembenachrichtigungen | Scaleway, Frankreich (Paris) |
| Zahlungen und Abrechnung | Stripe, Irland und USA |
| DNS, Web-Proxy und DDoS-Schutz | Cloudflare, globales Netzwerk |
| Link-Sicherheitsprüfungen | Google Cloud Web Risk, global |
Wo Daten die EU verlassen können
Wir bezeichnen Mail.Land nicht als reinen EU-Dienst, weil drei unserer Unterauftragsverarbeiter begrenzte Daten außerhalb der EU verarbeiten können, auch in den USA:
- Cloudflare: terminiert TLS für den über den Proxy geleiteten Webverkehr und verarbeitet in seinem globalen Netzwerk Webanfragedaten während der Übertragung, z. B. IP-Adressen und Anfragemetadaten, sowie Identitätsdaten und Zugriffsprotokolle unserer Betreiber.
- Stripe: Rechnungskontaktdaten und Zahlungsdaten, in Irland und den USA.
- Google: die vollständigen Adressen der Links in Ihren Kampagnen und der angeklickten getrackten Links, einschließlich etwaiger Abfrageparameter; personenbezogene Daten innerhalb eines Links werden daher ebenfalls übermittelt. E-Mail-Adressen von Empfängern übermitteln wir nicht gesondert.
Diese Übermittlungen sind durch die EU-Standardvertragsklauseln, das UK International Data Transfer Addendum und das EU-U.S. Data Privacy Framework (mit seiner UK-Erweiterung) abgedeckt, wie Anlage A des AVV es für jeden Anbieter festlegt. VENTRYA LTD ist im Vereinigten Königreich niedergelassen, für das ein Angemessenheitsbeschluss der EU besteht.
Unterauftragsverarbeiter
Die vollständige Liste mit den juristischen Personen und Vertragsreferenzen ist Anlage A des AVV.
| Anbieter | Zweck | Verarbeitungsort | Übermittlungsgarantie |
|---|---|---|---|
| HetznerHetzner Online GmbH | Hosting: Rechenleistung, Datenbanken, Mailserver, Objektspeicher, Überwachung und Protokolle | Deutschland (Nürnberg, Falkenstein) | Nicht erforderlich (EU) |
| CloudflareCloudflare, Inc. | DNS, Reverse-Proxy und DDoS-Schutz für den Webverkehr; Zugriffskontrolle für Betreiber-Oberflächen | Globales Edge-Netzwerk | Standardvertragsklauseln und das EU-U.S. Data Privacy Framework |
| ScalewayScaleway SAS | Fallback-Versand von Mail.Land-System- und Transaktionsbenachrichtigungen | Frankreich (Paris) | Nicht erforderlich (EU) |
| StripeStripe Payments Europe, Limited | Zahlungsabwicklung und Abrechnung | Irland und USA | Standardvertragsklauseln und das EU-U.S. Data Privacy Framework |
| GoogleGoogle LLC | Prüfung von Links auf Phishing, Schadsoftware und unerwünschte Software (Web Risk API) | Global (Google Cloud) | Standardvertragsklauseln und das UK Addendum; Google LLC nimmt zudem am EU-U.S. Data Privacy Framework teil |
Mindestens 14 Tage bevor wir einen Unterauftragsverarbeiter hinzufügen oder ersetzen, benachrichtigen wir die Owner- und Admin-Benutzer Ihres Kontos per E-Mail. Sie können innerhalb von 14 Tagen aus vernünftigen datenschutzbezogenen Gründen widersprechen (AVV Abschnitt 8).
Weitere in unserer Datenschutzerklärung genannte Anbieter
- Microsoft (Microsoft Ireland Operations Limited): Übersetzt den öffentlichen Störungs- und Wartungstext unserer Statusseite maschinell (Azure AI Translator, Sweden Central). Der Dienst erhält keine personenbezogenen Daten und ist daher kein Unterauftragsverarbeiter.
Wie lange Daten aufbewahrt werden
Aus Abschnitt 7 unserer Datenschutzerklärung. Die E-Mail-Verarbeitungsdaten richten sich nach Ihrem Tarif.
| Daten | Aufbewahrung |
|---|---|
| E-Mail-Verarbeitungsdaten | 30 Tage bei Free, 90 Tage bei Pro, 180 Tage bei Max |
| Referenzdaten zu Beschwerden und Bounces (Nachrichten-ID und Empfängeradresse) | 60 Tage ab dem Versand |
| Rohe Analyseereignisse | 2 Jahre |
| Stündlich aggregierte Analysedaten | 3 Jahre |
| Täglich aggregierte Analysedaten | 5 Jahre |
| Ergebnisse der Link-Sicherheitsprüfung | 30 Tage nach der letzten Verwendung des Links; 180 Tage, wenn der Link als unsicher eingestuft wurde |
| Kontodaten | Dauer des aktiven Kontos plus 30 Tage nach der Löschung |
| Abrechnungs- und Zahlungsunterlagen | 7 Jahre |
| Support-Kommunikation | 2 Jahre |
Löschung, Export und Anfragen betroffener Personen
- Der Owner Ihres Kontos kann die Daten des Kontos im Dashboard als ZIP-Datei mit JSON-Dokumenten exportieren.
- Der Owner kann die Löschung des gesamten Kontos mit einer Karenzzeit von 7 bis 90 Tagen planen und sie vor diesem Datum widerrufen.
- Endet der Dienst, löschen wir Ihre personenbezogenen Daten innerhalb von 30 Tagen nach Ihrer Weisung oder geben sie Ihnen zurück; ohne Weisung löschen wir sie, soweit nicht das Gesetz die Aufbewahrung bestimmter Daten verlangt.
- Danach erlaubt uns Abschnitt 9.1 des AVV, ausschließlich für die genannten Zwecke Folgendes aufzubewahren: verschlüsselte Backups, bis sie im regulären Backup-Zyklus überschrieben werden, die Sperr-, Beschwerde- und Bounce-Einträge, die erforderlich sind, um keine E-Mails mehr an diese Personen zu senden, und Aufzeichnungen, die wir als eigenständiger Verantwortlicher führen.
- Eine Anfrage eines Ihrer Empfänger zu seinen Daten geht an Sie als Verantwortlichen. Wir unterstützen Sie bei der Beantwortung, wie Abschnitt 4 des AVV es festlegt.
- Wenden Sie sich für Ihre eigenen Daten schriftlich an unseren Datenschutzkontakt. Wir antworten innerhalb von 30 Tagen.
Öffnungs- und Klick-Tracking
Das Öffnungs-Tracking ist für Marketing- und Transaktions-E-Mails standardmäßig deaktiviert. Das Klick-Tracking ist für Marketing-E-Mails standardmäßig aktiviert und für Transaktions-E-Mails standardmäßig deaktiviert. Einstellungen, die vor dem 4. November 2026 bereits für eine Domain galten, bleiben unverändert, bis Sie sie ändern. Sie können das Tracking für Ihr gesamtes Konto abschalten; in der EU und im Vereinigten Königreich kann diese Art des Trackings die Einwilligung des Empfängers erfordern, worüber Sie als Verantwortlicher entscheiden.
Benachrichtigung über Datenpannen
Betrifft eine Datenpanne Ihre Daten, benachrichtigen wir Sie unverzüglich, nachdem sie uns bekannt geworden ist, wie Artikel 33 Absatz 2 der DSGVO es verlangt. Die Meldung erfolgt an Ihren benannten Sicherheitskontakt oder, falls keiner benannt wurde, an die Owner- und Admin-Benutzer Ihres Kontos.
Der Auftragsverarbeitungsvertrag
- Der AVV deckt die Anforderungen von Artikel 28 DSGVO und der UK GDPR ab. Er ist Bestandteil unserer Nutzungsbedingungen und wird wirksam, wenn Sie diese akzeptieren.
- Wenn wir eine neue Fassung veröffentlichen, gilt sie, sobald ein Owner oder Admin Ihres Kontos sie im Dashboard akzeptiert; bis dahin gilt die vorherige Fassung.
- Entfällt der Angemessenheitsbeschluss der EU für das Vereinigte Königreich, gelten zwischen Ihnen und uns die Standardvertragsklauseln (Modul Zwei).
- Audits beginnen mit Ihren schriftlichen Fragen und unserer Dokumentation; Abschnitt 4 des AVV legt fest, wann ein Audit oder eine Inspektion folgt.
Datenschutzkontakt
Für Datenschutzfragen, Anfragen betroffener Personen und Fragen zum AVV schreiben Sie an unseren Datenschutzkontakt. Sie können sich auch beim britischen Information Commissioner's Office oder bei der Datenschutzaufsichtsbehörde in Ihrem Land beschweren.
- E-Mail:
- [email protected]
- Postanschrift:
- VENTRYA LTD, 71-75 Shelton Street, Covent Garden, London, WC2H 9JQ, United Kingdom
Häufig gestellte Fragen
Ist Mail.Land DSGVO-konform?
Wir verwenden kein Compliance-Siegel. Wir bieten einen AVV nach Artikel 28, hosten die Primärkopie Ihrer Daten in Deutschland, führen jeden Unterauftragsverarbeiter mit seiner Übermittlungsgarantie auf und ermöglichen Ihnen Export und Löschung. Ob Ihre Nutzung rechtmäßig ist, hängt auch von Ihrer eigenen Rechtsgrundlage für den Versand ab.
Verlassen Daten die EU?
Ja, in begrenzten Fällen: Cloudflare, Stripe und Google können begrenzte Daten außerhalb der EU verarbeiten, mit den oben aufgeführten Garantien. Die Primärkopie Ihrer Daten bleibt in Deutschland.
Verkaufen Sie personenbezogene Daten?
Nein. Wir verkaufen keine personenbezogenen Daten an Dritte.
Wie erfahren wir von einem neuen Unterauftragsverarbeiter?
Per E-Mail an die Owner- und Admin-Benutzer Ihres Kontos, mindestens 14 Tage im Voraus, mit Angabe des Anbieters, der Verarbeitung und ihres Ortes.
Benötigen Sie etwas für Ihre Bewertung?
Schreiben Sie an unseren Datenschutzkontakt, oder lesen Sie den AVV und seine Liste der Unterauftragsverarbeiter.