NetSendo Logo

Auftragsverarbeitungsvertrag — NetSendo Cloud

Anlage 1 zu den Verkaufsbedingungen für NetSendo-Abonnements und den Dienst NetSendo Cloud · Version 1.0 vom 7. November 2026

Dies ist eine Übersetzung. Maßgeblich ist die polnische Fassung.

§ 1. Parteien und Vertragsschluss

  1. Parteien des Vertrags sind:
    1. der Kunde, der den Cloud-Dienst bestellt hat, als Verantwortlicher (im Folgenden: „Verantwortlicher“);
    2. die NETSENDO PSA mit Sitz in Katowice, ul. Jana III Sobieskiego 11, lok. E6, 40-082 Katowice, Polen, KRS 0001216341, NIP 6343067171, als Auftragsverarbeiter (im Folgenden: „Auftragsverarbeiter“).
  2. Dieser Vertrag wird zusammen mit dem Vertrag über den Cloud-Dienst geschlossen, indem er im Bestellformular akzeptiert wird. Er ist ein Vertrag im Sinne von Art. 28 Abs. 3 der Verordnung (EU) 2016/679 (im Folgenden: „DSGVO“), der in elektronischem Format geschlossen wird (Art. 28 Abs. 9 DSGVO).
  3. Großgeschriebene Begriffe, die in diesem Vertrag nicht definiert sind, haben die Bedeutung, die ihnen in den Verkaufsbedingungen für NetSendo-Abonnements und den Dienst NetSendo Cloud (im Folgenden: „Verkaufsbedingungen“) gegeben wird.
  4. Nutzt der Verantwortliche die Instanz ausschließlich für persönliche oder familiäre Zwecke, auf die die DSGVO keine Anwendung findet (Art. 2 Abs. 2 Buchst. c DSGVO), wendet der Auftragsverarbeiter die in diesem Vertrag beschriebenen Maßnahmen dennoch auf dessen Daten an.

§ 2. Gegenstand, Art und Zweck der Verarbeitung

  1. Der Verantwortliche beauftragt den Auftragsverarbeiter mit der Verarbeitung der in den Kundendaten enthaltenen personenbezogenen Daten in dem Umfang und zu dem Zweck, die für die Erbringung des Cloud-Dienstes erforderlich sind.
  2. Die Verarbeitung umfasst: die Speicherung der Daten auf Servern, die Erstellung von Datensicherungen und deren Wiederherstellung, die Installation und Aktualisierung der Software, die Überwachung und Behebung von Störungen, das Versetzen von Instanzen in den Ruhezustand und ihre Wiederaufnahme (einschließlich der Speicherung der Daten während des Ruhezustands), die Ausführung von Vorgängen, die der Verantwortliche in der Software auslöst (insbesondere Anmeldungen, Importe, Versendungen, Automatisierungen und Statistiken), den Export sowie die Löschung der Daten.
  3. Der Auftragsverarbeiter verarbeitet die Daten für die Dauer der Erbringung des Cloud-Dienstes, während des Ruhezustands der Instanz (§ 9 Abs. 14 der Verkaufsbedingungen) und für die zur Durchführung von § 10 erforderliche Zeit.

§ 3. Arten von Daten und Kategorien betroffener Personen

  1. Kategorien betroffener Personen:
    1. Abonnenten und Kontakte des Verantwortlichen, einschließlich Personen, die sich über die Formulare des Verantwortlichen anmelden;
    2. Nutzer des Panels der Instanz (der Verantwortliche, seine Beschäftigten und Mitarbeiter);
    3. andere Personen, deren Daten der Verantwortliche in der Instanz ablegt, zum Beispiel in Nachrichteninhalten.
  2. Arten von Daten:
    1. Daten der Abonnenten: E-Mail-Adresse, Vorname, Nachname, Telefonnummer für SMS, IP-Adresse, Geräte- und Browserdaten (User Agent), aus der IP-Adresse ermittelter ungefährer Standort, Aktivitätsdaten (An- und Abmeldungen, Bestätigungen, Öffnungen, Klicks, Bounces, Beschwerden), Tags, Segmente, Werte benutzerdefinierter Felder, Einwilligungsverlauf und Anmeldequelle;
    2. Daten der Panel-Nutzer: Vorname, Nachname, E-Mail-Adresse, Anmeldedaten (Passwort als Hashwert gespeichert), IP-Adresse, Aktivitätsprotokoll im Panel;
    3. andere Daten, die der Verantwortliche in benutzerdefinierte Felder oder Nachrichteninhalte eingibt.
  3. Der Verantwortliche überträgt keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO) und keine Daten über strafrechtliche Verurteilungen (Art. 10 DSGVO). Legt er solche Daten dennoch in der Instanz ab, ist er für die Rechtsgrundlage ihrer Verarbeitung und für die Beurteilung verantwortlich, ob die Maßnahmen aus Anlage A für sie ausreichen.

§ 4. Weisungen des Verantwortlichen

  1. Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Weisungen sind: die Verkaufsbedingungen, dieser Vertrag, die Konfiguration und die Handlungen des Verantwortlichen in der Instanz sowie Weisungen, die per E-Mail von der bei der Bestellung angegebenen Adresse übermittelt werden. Mit der Annahme dieses Vertrags weist der Verantwortliche den Auftragsverarbeiter an, die Daten während des Ruhezustands der Instanz zu speichern und in dieser Zeit Abmeldungen nach Maßgabe von § 10 zu bearbeiten.
  2. Der Auftragsverarbeiter darf Daten ohne Weisung verarbeiten, wenn er nach dem Recht der Union oder eines Mitgliedstaats dazu verpflichtet ist. Er teilt dem Verantwortlichen diese rechtliche Anforderung dann vor Beginn der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet.
  3. Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, informiert er den Verantwortlichen unverzüglich und kann die Ausführung der Weisung aussetzen, bis sie bestätigt oder geändert wird.
  4. Der Auftragsverarbeiter verarbeitet die Daten nicht für eigene Zwecke; insbesondere verwendet er sie weder für Marketing noch zum Training von KI-Modellen.

§ 5. Pflichten des Auftragsverarbeiters

  1. Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.
  2. Der Auftragsverarbeiter wendet die in Anlage A beschriebenen technischen und organisatorischen Maßnahmen an (Art. 32 DSGVO). Er kann diese Maßnahmen ändern, sofern die neuen Maßnahmen mindestens das gleiche Sicherheitsniveau gewährleisten.
  3. Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung:
    1. bei der Beantwortung von Anträgen betroffener Personen (Art. 15–22 DSGVO); die meisten davon erledigt der Verantwortliche selbst in der Software (Suchen, Ändern, Exportieren, Löschen eines Kontakts); im Übrigen unterstützt ihn der Auftragsverarbeiter; während des Ruhezustands, wenn der Verantwortliche keinen Zugriff auf die Instanz hat, speichert der Auftragsverarbeiter Abmeldungen über die Links in versandten Nachrichten und führt auf Verlangen des Verantwortlichen einen Export oder die Löschung der Daten durch;
    2. bei der Erfüllung der Pflichten aus Art. 32–36 DSGVO, einschließlich der Datenschutz-Folgenabschätzung.
  4. Wendet sich eine betroffene Person an den Auftragsverarbeiter, leitet dieser den Antrag unverzüglich an den Verantwortlichen weiter und beantwortet ihn nicht selbst, es sei denn, der Verantwortliche ermächtigt ihn dazu.

§ 6. Verletzungen des Schutzes personenbezogener Daten

  1. Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach deren Feststellung, per E-Mail an die bei der Bestellung angegebene Adresse.
  2. Die Meldung enthält, soweit die Informationen verfügbar sind: eine Beschreibung der Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung und zur Abmilderung ihrer Folgen. Informationen, die nicht sofort bereitgestellt werden können, übermittelt der Auftragsverarbeiter schrittweise.
  3. Die Meldung an die Aufsichtsbehörde und die Benachrichtigung der betroffenen Personen (Art. 33–34 DSGVO) nimmt der Verantwortliche vor. Der Auftragsverarbeiter stellt ihm die dafür erforderlichen Informationen bereit.

§ 7. Unterauftragsverarbeiter

  1. Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung zur Inanspruchnahme von Unterauftragsverarbeitern (Art. 28 Abs. 2 DSGVO).

  2. Am Tag des Vertragsschlusses nimmt der Auftragsverarbeiter folgende Unterauftragsverarbeiter in Anspruch:

    Unternehmen Umfang Ort der Daten
    ADERLO PSA (Aderlo Cloud), ul. Nowogrodzka 50/54 lok. 515, 00-695 Warszawa, Polen, KRS 0000955282, NIP 5492466214 Betrieb der Server der Instanzen, Datensicherungen, Netzwerk Deutschland (EU)
    Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland, als von Aderlo in Anspruch genommenes Unternehmen Rechenzentrum, physische Server, Server für Datensicherungen Falkenstein, Deutschland (EU)

  3. Über die beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters informiert der Auftragsverarbeiter den Verantwortlichen mindestens 14 Tage im Voraus per E-Mail. Der Verantwortliche kann innerhalb dieser Frist begründeten Einspruch erheben. Finden die Parteien keine Lösung, kann der Verantwortliche den Vertrag über den Cloud-Dienst mit Wirkung zum Tag der Änderung kündigen und erhält den Preis für den nicht genutzten Teil des Abrechnungszeitraums erstattet.

  4. Der Auftragsverarbeiter erlegt den Unterauftragsverarbeitern dieselben Datenschutzpflichten auf wie in diesem Vertrag, insbesondere die Pflicht, geeignete Sicherheitsmaßnahmen umzusetzen (Art. 28 Abs. 4 DSGVO). Der Auftragsverarbeiter haftet gegenüber dem Verantwortlichen für die Erfüllung der Pflichten durch die Unterauftragsverarbeiter.

  5. Anbieter, die der Verantwortliche selbst auswählt und an die Instanz anbindet (E-Mail-Anbieter, SMS-Gateways, Anbieter von KI-Modellen, sonstige Integrationen), sind keine Unterauftragsverarbeiter des Auftragsverarbeiters. Der Verantwortliche schließt mit ihnen selbst Verträge, einschließlich Auftragsverarbeitungsverträgen. Der Auftragsverarbeiter übermittelt ihnen Daten nur auf Weisung des Verantwortlichen, die sich aus der Konfiguration der Instanz ergibt.

§ 8. Ort der Verarbeitung und Datenübermittlung

  1. Der Auftragsverarbeiter speichert die Daten im Europäischen Wirtschaftsraum, in einem Rechenzentrum in Falkenstein, Deutschland.
  2. Der Auftragsverarbeiter übermittelt die Daten nicht an Drittländer oder internationale Organisationen. Sollte dies künftig erforderlich werden, kündigt er dies dem Verantwortlichen im Verfahren nach § 7 Abs. 3 an und wendet einen der Mechanismen aus Kapitel V DSGVO an.
  3. Die Übermittlung von Daten durch die Instanz an vom Verantwortlichen ausgewählte Anbieter (§ 7 Abs. 5) ist eine Übermittlung durch den Verantwortlichen.

§ 9. Überprüfungen und Informationen

  1. Der Auftragsverarbeiter stellt dem Verantwortlichen die Informationen zur Verfügung, die zum Nachweis der Erfüllung der Pflichten aus Art. 28 DSGVO erforderlich sind. In der Regel geschieht dies durch die Beantwortung von Fragen und Fragebögen des Verantwortlichen innerhalb von 14 Tagen.
  2. Der Verantwortliche kann eine Überprüfung, einschließlich einer Inspektion, selbst oder durch einen zur Vertraulichkeit verpflichteten Prüfer durchführen. Er kündigt die Überprüfung mindestens 30 Tage im Voraus an, höchstens einmal im Jahr, es sei denn, es ist eine Verletzung des Schutzes personenbezogener Daten eingetreten oder die Aufsichtsbehörde verlangt dies. Die Überprüfung darf den Betrieb der Infrastruktur nicht stören und die Vertraulichkeit der Daten anderer Kunden nicht verletzen.
  3. Eine Überprüfung bei einem Unterauftragsverarbeiter erfolgt über den Auftragsverarbeiter nach Maßgabe des Vertrags zwischen dem Auftragsverarbeiter und diesem Unternehmen. Der Auftragsverarbeiter kann stattdessen Prüfergebnisse oder Zertifikate des Unterauftragsverarbeiters übermitteln, sofern diese eine Beurteilung der Sicherheitsmaßnahmen ermöglichen.
  4. Die Kosten der Überprüfung trägt der Verantwortliche, es sei denn, die Überprüfung ergibt einen wesentlichen Verstoß des Auftragsverarbeiters gegen diesen Vertrag.

§ 10. Vertragsende: Ruhezustand, Rückgabe und Löschung der Daten

  1. Dieser Vertrag endet mit der Löschung der Daten nach Abs. 4. Die Bestimmungen über die Vertraulichkeit gelten auch nach seinem Ende fort.
  2. Mit dem Ende des Vertrags über den Cloud-Dienst wird die Instanz für 90 Tage in den Ruhezustand versetzt (§ 9 Abs. 14 der Verkaufsbedingungen). In dieser Zeit wird der Auftragsverarbeiter:
    1. die Daten unverändert auf einem Server im EWR speichern und an ihnen keine anderen Vorgänge als die in diesem Absatz beschriebenen durchführen;
    2. die Funktion der Abmeldelinks in Nachrichten, die vor dem Ruhezustand aus der Instanz versandt wurden, aufrechterhalten und die Abmeldungen in den Daten des Verantwortlichen speichern;
    3. dem Verantwortlichen auf dessen Verlangen einen Export der Daten bereitstellen (Rückgabe der Daten im Sinne von Art. 28 Abs. 3 Buchst. g DSGVO) nach Maßgabe von § 9 Abs. 14 Nr. 4 der Verkaufsbedingungen;
    4. die Instanz mit den Daten wiederherstellen, wenn der Verantwortliche den Cloud-Dienst wieder aufnimmt.
  3. Der Verantwortliche kann jederzeit die Löschung der Daten vor Ablauf der 90 Tage verlangen. Der Auftragsverarbeiter löscht sie dann innerhalb von 5 Werktagen.
  4. Nach Ablauf von 90 Tagen oder innerhalb der Frist nach Abs. 3 löscht der Auftragsverarbeiter die Daten vom Produktivserver. Datensicherungen, die die Daten enthalten, verfallen innerhalb weiterer 2 Tage (§ 9 Abs. 9 der Verkaufsbedingungen) und werden in dieser Zeit nicht verwendet. Auf Verlangen des Verantwortlichen bestätigt der Auftragsverarbeiter die Löschung per E-Mail.
  5. Der Auftragsverarbeiter darf die Daten nur dann länger aufbewahren, wenn das Recht der Union oder eines Mitgliedstaats dies vorschreibt, und nur im Umfang dieser Vorgabe.

§ 11. Haftung

  1. Die Haftung der Parteien gegenüber betroffenen Personen richtet sich nach Art. 82 DSGVO.
  2. Im Verhältnis zwischen den Parteien unterliegt die Haftung des Auftragsverarbeiters aus diesem Vertrag den Regeln des § 13 der Verkaufsbedingungen.

§ 12. Schlussbestimmungen

  1. In nicht geregelten Angelegenheiten gelten die DSGVO, die Vorschriften des polnischen Rechts und die Verkaufsbedingungen. Bei Widersprüchen zwischen den Verkaufsbedingungen und diesem Vertrag in Angelegenheiten des Schutzes personenbezogener Daten hat dieser Vertrag Vorrang.
  2. Änderungen dieses Vertrags nimmt der Auftragsverarbeiter im Verfahren für Änderungen der Verkaufsbedingungen vor (§ 14 der Verkaufsbedingungen).
  3. Kontakt in Angelegenheiten dieses Vertrags, einschließlich Meldungen zu personenbezogenen Daten: contact@netsendo.com. Technische Hilfe: support@netsendo.com.

Anlage A. Technische und organisatorische Maßnahmen

Die Maßnahmen beschreiben den Stand am Tag des Vertragsschlusses. Der Auftragsverarbeiter stellt auf Grundlage seines Vertrags mit dem Hosting-Subunternehmer sicher, dass auch dieser sie anwendet.

  1. Verschlüsselung der Übertragung. Der Zugriff auf das Panel der Instanz und ihre API erfolgt ausschließlich über HTTPS (TLS). Die Domain netsendo.app steht auf der HSTS-Preload-Liste, sodass Browser sich nur über HTTPS mit ihr verbinden.
  2. Trennung der Instanzen. Jede Instanz läuft in eigenen Containern und hat eine eigene Datenbank. Der Kunde hat keinen Zugriff auf den Server oder auf andere Instanzen.
  3. Zugriffskontrolle. Zugriff auf die Server haben nur namentlich befugte Personen von NETSENDO und Aderlo, über individuelle Konten und Schlüssel. Die Verwaltungspanels der Infrastruktur erfordern eine Mehr-Faktor-Authentifizierung. Berechtigungen werden nach Ende der Zusammenarbeit entzogen.
  4. Blockierung von ausgehendem SMTP. Der Server der Instanz versendet keine E-Mails direkt; der Versand erfolgt über den vom Kunden gewählten Anbieter.
  5. Datensicherungen. Tägliche, verschlüsselte Sicherung der gesamten Instanz (Dateien und Datenbank) auf einem vom Server der Instanz physisch getrennten Server in der EU. Aufbewahrt werden die beiden letzten täglichen Sicherungen; die ältere wird erst gelöscht, nachdem die neue erfolgreich gespeichert wurde, sodass immer mindestens eine Sicherung vorhanden ist. Die Wiederherstellung einer zufällig ausgewählten Instanz aus einer Sicherung wird mindestens einmal pro Quartal geprüft.
  6. Infrastruktur. Server im Rechenzentrum von Hetzner in Falkenstein, mit ECC-Arbeitsspeicher und NVMe-Laufwerken in RAID1-Konfiguration.
  7. Aktualisierungen. Die Software und das Betriebssystem werden aktualisiert, Sicherheitspatches werden ohne unnötige Verzögerung installiert.
  8. Überwachung. Die Verfügbarkeit der Instanzen und der Zustand des Servers werden automatisch überwacht. Protokolle des administrativen Zugriffs werden 90 Tage aufbewahrt.
  9. Passwörter. Die Passwörter der Panel-Nutzer werden als kryptografischer Hashwert gespeichert.
  10. Vertraulichkeit. Personen mit Zugriff auf die Daten sind zur Vertraulichkeit verpflichtet.
  11. Ruhezustand. Während des Ruhezustands sind die Container der Instanz angehalten; es laufen ausschließlich die Informationsseite und die Bearbeitung von Abmeldungen (§ 10 Abs. 2).
  12. Löschung der Daten. Die Daten werden nach Ende des Ruhezustands oder auf Verlangen des Verantwortlichen vom Server gelöscht (§ 10); außer Betrieb genommene Datenträger werden vom Rechenzentrum vernichtet oder gelöscht.
  13. Behandlung von Vorfällen. Aderlo meldet NETSENDO Vorfälle, die Instanzen betreffen, innerhalb von 24 Stunden nach ihrer Feststellung, sodass NETSENDO die Frist nach § 6 Abs. 1 einhalten kann.