Border Mail · Datenschutz

Auftragsverarbeitungsvertrag

gemäß Art. 28 DSGVO

Version 1.0 Stand Juni 2026 Auftragsverarbeiter Bettina Karner / Border Mail
Verantwortlicher
Das im Annahmeformular angegebene Kundenunternehmen
(Firmenname, Anschrift und ggf. UID gemäß Registrierung)
Auftragsverarbeiter
Bettina Karner
Einzelunternehmen, Marke „Border Mail"
Kronthaler Straße 10, 6330 Kufstein, Österreich
GISA-Zahl 39851161

– gemeinsam die „Parteien" –

Der Verantwortliche nutzt die vom Auftragsverarbeiter bereitgestellte Software „Border Mail" zur automatisierten Vorbereitung von Antwortentwürfen auf eingehende E-Mails (im Folgenden „Hauptvertrag"). Dabei verarbeitet der Auftragsverarbeiter im Auftrag des Verantwortlichen personenbezogene Daten. Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien gemäß Art. 28 DSGVO und gilt für alle Verarbeitungen im Rahmen des Hauptvertrags.

§ 1Gegenstand, Dauer und Art der Verarbeitung

  1. Gegenstand und Dauer der Verarbeitung entsprechen dem Hauptvertrag. Die Verarbeitung beginnt mit dessen Inkrafttreten und endet mit dessen Beendigung.
  2. Art, Umfang und Zweck der Verarbeitung, die Art der personenbezogenen Daten sowie die Kategorien betroffener Personen sind in Anlage 1 festgelegt.
  3. Die Verarbeitung findet innerhalb der EU/des EWR statt, soweit nicht in Anlage 2 ausdrücklich ein Drittlandtransfer mit geeigneten Garantien (Art. 44 ff. DSGVO) genannt ist.

§ 2Weisungsrecht des Verantwortlichen

  1. Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich Übermittlungen in Drittländer, sofern nicht eine Rechtsvorschrift der EU oder eines Mitgliedstaats ihn hierzu verpflichtet.
  2. Dieser Vertrag und der Hauptvertrag gelten als Grundweisung. Weitere Weisungen erfolgen in Textform (z. B. E-Mail).
  3. Hält der Auftragsverarbeiter eine Weisung für datenschutzrechtswidrig, informiert er den Verantwortlichen unverzüglich.

§ 3Pflichten des Auftragsverarbeiters

  1. Der Auftragsverarbeiter verpflichtet die zur Verarbeitung befugten Personen zur Vertraulichkeit, soweit sie nicht bereits gesetzlich einer entsprechenden Verschwiegenheit unterliegen.
  2. Er trifft die in Anlage 3 beschriebenen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO.
  3. Er unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei der Erfüllung von Anträgen betroffener Personen (Art. 12–23 DSGVO).
  4. Er unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO (Datensicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung), unter Berücksichtigung der Art der Verarbeitung und der ihm vorliegenden Informationen.
  5. Er meldet eine ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, in der Regel innerhalb von 48 Stunden nach Bekanntwerden, und stellt die zur Erfüllung der Meldepflicht (Art. 33, 34 DSGVO) erforderlichen Informationen bereit.
  6. Wird ein Datenschutzbeauftragter gesetzlich erforderlich, benennt der Auftragsverarbeiter diesen; andernfalls benennt er eine datenschutzrechtliche Kontaktperson und teilt die Kontaktdaten mit.

§ 4Unterauftragsverarbeiter

  1. Der Verantwortliche erteilt die allgemeine Genehmigung zur Beauftragung der in Anlage 2 genannten Unterauftragsverarbeiter.
  2. Der Auftragsverarbeiter informiert über beabsichtigte Änderungen (Hinzuziehung oder Austausch) mit angemessener Frist in Textform. Der Verantwortliche kann der Änderung innerhalb von 14 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen.
  3. Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf ein Datenschutzniveau, das den Anforderungen dieses Vertrags im Wesentlichen entspricht (Art. 28 Abs. 4 DSGVO).

§ 5Technische und organisatorische Maßnahmen

  1. Die zum Zeitpunkt des Vertragsschlusses getroffenen Maßnahmen ergeben sich aus Anlage 3. Der Auftragsverarbeiter darf diese fortentwickeln, solange das vereinbarte Schutzniveau nicht unterschritten wird.

§ 6Kontroll- und Nachweisrechte

  1. Der Auftragsverarbeiter stellt auf Anfrage die zum Nachweis der Einhaltung dieses Vertrags erforderlichen Informationen bereit (z. B. Anlage 3, Nachweise der Unterauftragsverarbeiter).
  2. Kontrollen vor Ort erfolgen nach rechtzeitiger Ankündigung, zu üblichen Geschäftszeiten und ohne vermeidbare Störung des Betriebsablaufs.

§ 7Löschung und Rückgabe nach Beendigung

  1. Nach Beendigung der Verarbeitung löscht der Auftragsverarbeiter alle personenbezogenen Daten oder gibt sie nach Wahl des Verantwortlichen zurück, sofern keine gesetzliche Aufbewahrungspflicht besteht.
  2. Die Löschung wird auf Anforderung in Textform bestätigt.

§ 8Haftung

  1. Für die Haftung gelten Art. 82 DSGVO sowie die Regelungen des Hauptvertrags.

§ 9Schlussbestimmungen

  1. Änderungen und Ergänzungen bedürfen der Textform; die elektronische Annahme über diese Seite erfüllt dieses Erfordernis (Art. 28 Abs. 9 DSGVO).
  2. Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrags in datenschutzrechtlicher Hinsicht vor.
  3. Es gilt österreichisches Recht; die Anwendung der DSGVO bleibt unberührt.
  4. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam.
  5. Die Anlagen 1–3 sind Bestandteil dieses Vertrags.

Anlage 1 — Beschreibung der Verarbeitung

Gegenstand
Verarbeitung eingehender E-Mails des Verantwortlichen zur Erstellung KI-gestützter Antwortentwürfe (Human-in-the-Loop: Freigabe durch den Verantwortlichen).
Art der Verarbeitung
Empfangen, Speichern, Auslesen, Analysieren und Verarbeiten von E-Mail-Inhalten; Übermittlung an Unterauftragsverarbeiter zur Entwurfserstellung; Bereitstellung im Freigabe-Dashboard.
Zweck
Automatisierte Unterstützung der E-Mail-Kommunikation des Verantwortlichen.
Art der Daten
Stammdaten (Name, E-Mail-Adresse), Inhaltsdaten aus E-Mails (Nachrichtentext, Betreff, ggf. Anhänge), Metadaten (Zeitstempel, Absender/Empfänger).
Betroffene Personen
Kunden, Interessenten, Geschäftspartner und sonstige Korrespondenzpartner des Verantwortlichen.
Dauer
Für die Laufzeit des Hauptvertrags; danach Löschung gemäß § 7.

Der Verantwortliche soll keine besonderen Datenkategorien (Art. 9 DSGVO) über den Dienst verarbeiten, sofern dies nicht ausdrücklich vereinbart wurde.

Anlage 2 — Genehmigte Unterauftragsverarbeiter

UnterauftragsverarbeiterZweck / LeistungOrtGarantie bei Drittland
Hetzner Online GmbHServer-/Infrastruktur-Hosting der AnwendungDeutschland (EU)—
Nylas, Inc.E-Mail-/Kalender-Schnittstelle, Authentifizierung, DatenübertragungEU-Region (im Dashboard konfiguriert) / ggf. UK/USEU-U.S. Data Privacy Framework bzw. EU-Standardvertragsklauseln
Anthropic PBCKI-gestützte Erstellung der Antwortentwürfe (Claude API)USAEU-U.S. Data Privacy Framework bzw. EU-Standardvertragsklauseln

Die tatsächlich genutzte Datenregion ist im jeweiligen Anbieter-Dashboard zu verifizieren und bei Abweichung hier zu aktualisieren.

Anlage 3 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

Integrität

Verfügbarkeit & Belastbarkeit

Überprüfung & Verfahren

Diese Maßnahmen werden bei Bedarf an den Stand der Technik angepasst.

AVV angenommen