Auftragsverarbeitung (AVV)
Zuletzt aktualisiert: 2026-10-16
1. Rollen
Diese Auftragsverarbeitung („AVV“) ist Bestandteil der Nutzungsbedingungen zwischen Ihnen (dem „Kunden“) und der Codius Kft. (Betreiberin von Spamless.dev). Für die über den Dienst verarbeiteten E-Mail- und Kontodaten ist der Kunde der Verantwortliche, und die Codius Kft. handelt als Auftragsverarbeiter gemäß Artikel 28 DSGVO (und gegebenenfalls als Unterauftragsverarbeiter für die eigenen Verantwortlichen des Kunden).
Datenflüsse an KI-Anbieter
Je nach aktivierter Analysekonfiguration können E-Mail-Betreff, Textauszüge und Nachrichtenmetadaten an AWS Bedrock oder über TypeSafe an Jev übermittelt werden. Gateway-Hosting in der EU bedeutet für sich allein keine ausschließlich europäische Verarbeitung durch alle Anbieter. Aufbewahrung, Region, Trainingsbeschränkungen und Übermittlungsgarantien müssen durch die geltende Anbietervereinbarung und Verarbeitungsübersicht abgedeckt sein. Hier wird keine allgemeine anbieterübergreifende Garantie für Trainingsausschluss oder ausschließliche EU-Verarbeitung abgegeben. Fordere vor Aktivierung einer KI-Route für personenbezogene Daten die aktuelle Übersicht unter legal@spamless.dev an.
2. Umfang und Zweck der Verarbeitung
- Gegenstand: Bereitstellung von E-Mail-Spamfilterung, Quarantäne, Sicherheitsanalyse und zugehörigen Funktionen.
- Art und Zweck: Echtzeitprüfung, Bewertung, Quarantäne, Weiterleitung und Protokollierung von E-Mails zur Erkennung von Spam, Phishing und Schadsoftware.
- Dauer: für die Laufzeit des Dienstes zuzüglich der in der Datenschutzerklärung festgelegten Aufbewahrungsfristen.
- Datenkategorien: E-Mail-Kopfzeilen, Inhalte, Anhänge, Absender-/Empfängeradressen, IP-Adressen sowie Konto- und Kontaktdaten.
- Betroffene Personen: die Mitarbeitenden des Kunden sowie alle Personen, die E-Mails an die Domains des Kunden senden oder über diese empfangen.
3. Pflichten des Auftragsverarbeiters
- Verarbeitung personenbezogener Daten ausschließlich auf dokumentierte Weisung des Kunden, auch im Hinblick auf internationale Übermittlungen.
- Sicherstellung, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind.
- Umsetzung geeigneter technischer und organisatorischer Maßnahmen (Artikel 32): Verschlüsselung bei der Übertragung (TLS) und im Ruhezustand, Zugriff nach dem Least-Privilege-Prinzip, Secrets-Management, Audit-Protokollierung.
- Unterstützung des Kunden bei Betroffenenanfragen sowie bei Sicherheits-, Meldepflicht- und Folgenabschätzungspflichten.
- Benachrichtigung des Kunden ohne unangemessene Verzögerung nach Kenntnisnahme einer Verletzung des Schutzes personenbezogener Daten.
- Löschung oder Rückgabe der personenbezogenen Daten bei Beendigung des Dienstes, vorbehaltlich gesetzlicher Aufbewahrungspflichten.
- Bereitstellung der zum Nachweis der Einhaltung erforderlichen Informationen und Ermöglichung von Audits.
4. Unterauftragsverarbeiter
Der Kunde genehmigt die Beauftragung der nachstehenden Unterauftragsverarbeiter. Wir verpflichten diese zu Datenschutzbedingungen, die nicht weniger schützend sind als diese AVV, und haften für deren Leistung. Wir werden beabsichtigte Änderungen ankündigen, damit der Kunde Einspruch erheben kann.
| Unterauftragsverarbeiter | Zweck | Standort |
|---|---|---|
| Amazon Web Services (AWS) | Cloud-Hosting, Datenbank, Objektspeicher, E-Mail-Zustellung (SES) und konfigurierte Bedrock-KI-Analyse | EU (eu-west-1, Irland) |
| TypeSafe / Jev (when configured) | KI-E-Mail-Analyse: konfigurierte E-Mail-Texte und Nachrichtenmetadaten werden an den Anbieter übermittelt | Anbieterabhängig; aktuelle Verarbeitungs- und Übermittlungsübersicht vor Aktivierung anfordern |
| Google Analytics (when consented) | Einwilligungsabhängige Website-Nutzungsanalyse mit eingeschränkten Ereignisfeldern; ohne E-Mail-Inhalte | Google-Verarbeitungsstandorte; siehe Datenschutz- und Cookie-Richtlinie |
| Stripe Payments Europe | Abonnementabrechnung und Zahlungsabwicklung | EU / USA (Standardvertragsklauseln) |
| MaxMind | IP-Geolokalisierung (GeoLite2) zur Spam-Bewertung | USA (Standardvertragsklauseln) |
| Spamhaus Technology | Domain-/IP-Reputation (DQS) | EU / Vereinigtes Königreich |
| abuse.ch (MalwareBazaar) | Hash-Reputation von Malware-Anhängen | Schweiz (außerhalb der EU) |
| Sentry | Fehler- und Leistungsüberwachung (einwilligungsabhängig) | EU / USA (Standardvertragsklauseln) |
| Crisp IM SARL | Live-Chat-Support-Widget (einwilligungsabhängig) | EU (Frankreich) |
5. Internationale Datenübermittlungen
Die primäre Verarbeitung erfolgt innerhalb der EU (AWS eu-west-1). Soweit ein Unterauftragsverarbeiter Daten außerhalb des EWR verarbeitet, stützen sich die Übermittlungen auf Angemessenheitsbeschlüsse oder die Standardvertragsklauseln (SCCs) der Europäischen Kommission samt ergänzenden Maßnahmen.
6. Sicherheitsvorfälle und Löschung
6.1 Meldung von Verletzungen
Wir benachrichtigen den Kunden ohne unangemessene Verzögerung nach Kenntnisnahme einer Verletzung des Schutzes personenbezogener Daten, die seine Daten betrifft, mit den zur Erfüllung seiner eigenen DSGVO-Pflichten erforderlichen Informationen.
6.2 Rückgabe und Löschung
Bei Beendigung werden in Quarantäne befindliche E-Mails, Protokolle und Kontodaten gemäß den Aufbewahrungsfristen in der Datenschutzerklärung gelöscht, sofern keine gesetzliche Aufbewahrungspflicht besteht.
7. Kontakt
Für AVV-Anfragen oder zum Abschluss einer unterzeichneten Vereinbarung wenden Sie sich an dpo@spamless.dev.