Auftragsbearbeitungsvertrag

Dieser Vertrag ist Bestandteil der Allgemeinen Geschäftsbedingungen von letr.dev und wird mit deren Annahme geschlossen.

1. Parteien und Zweck

1.1 Zwischen der Kundin oder dem Kunden, die oder der die Allgemeinen Geschäftsbedingungen akzeptiert hat (die «Kundin», die Verantwortliche), und der Viascom GmbH, Weissbadstrasse 8b, 9050 Appenzell, Schweiz (die «Auftragsbearbeiterin», «Viascom»). Die weibliche Form schliesst Kunden und Verantwortliche jeder Rechtsform ein.

1.2 Dieser Vertrag regelt die Bearbeitung von Personendaten, die Viascom für die Kundin vornimmt, wenn die Kundin E-Mails über letr.dev versendet. Er ist der Vertrag mit der Auftragsbearbeiterin, den Art. 9 des Bundesgesetzes über den Datenschutz (DSG) und, soweit die DSGVO für die Kundin gilt, Art. 28 Abs. 3 DSGVO verlangen.

1.3 Wo dieser Vertrag Begriffe der DSGVO verwendet (Verantwortlicher, Auftragsverarbeiter, personenbezogene Daten, betroffene Person, Verletzung des Schutzes personenbezogener Daten, Aufsichtsbehörde), meint er auch die entsprechenden Begriffe des DSG (Verantwortlicher, Auftragsbearbeiter, Personendaten, betroffene Person, Verletzung der Datensicherheit, EDÖB). Verweise auf die DSGVO gelten für eine Kundin nur, soweit die DSGVO für sie gilt; das DSG gilt für Viascom in jedem Fall.

1.4 Privatkundinnen: Nutzt eine Privatperson letr.dev ausschliesslich für persönliche oder familiäre Zwecke, gelten das DSG (Art. 2 Abs. 2 lit. a) und die DSGVO (Art. 2 Abs. 2 lit. c) für ihre Bearbeitung nicht. Dieser Vertrag gilt trotzdem, um zu beschreiben, wie letr.dev mit den Daten umgeht, und die Pflichten zu Sicherheit, Verletzungen und Löschung binden Viascom.

2. Rollen

2.1 Die Kundin ist verantwortlich für die E-Mails, die sie über letr.dev versendet: Absender- und Empfängeradressen, Betreffzeilen, Inhalte, Anhänge, Tags und Header, die Zustellereignisse dazu, die Sperrliste ihres Kontos und alle Daten in Webhook-Zustellungen. Viascom bearbeitet diese Daten als Auftragsbearbeiterin der Kundin, nur auf deren Weisung.

2.2 Viascom ist verantwortlich, und dieser Vertrag gilt nicht, für: die Konto-, Benutzer-, Rechnungs- und Kontaktdaten der Kundin; die Aufzeichnungen über Handlungen der Operatoren und über Missbrauchsmeldungen in der Kontohistorie; die Metadaten der E-Mails der Kundin, die ein Operator für einen Missbrauchs- oder Kontoübernahmefall exportiert; aggregierte Bounce- und Beschwerderaten und Versandzahlen für Limiten, Abrechnung und Reputation; und die Systemmails von letr.dev an die Kontoinhaberin. Die Datenschutzerklärung unter letr.dev/privacy beschreibt diese Bearbeitung.

3. Gegenstand, Dauer, Art und Zweck

3.1 Gegenstand: die Übermittlung der E-Mails der Kundin an die Mailserver der Empfängerinnen und Empfänger, die Aufzeichnung und Bereitstellung der Zustellereignisse, das Führen einer Sperrliste und die Zustellung von Webhooks über die HTTP-API, das SMTP-Relay, den MCP-Server und das Dashboard von letr.dev.

3.2 Dauer: solange die Kundin ein letr.dev-Konto hat, und bis zur Löschung nach Ziffer 12.

3.3 Art: Speicherung für die Fristen nach Ziffer 4.3, Übermittlung, Protokollierung der Zustellereignisse, Anzeige, Bereitstellung über API und Webhooks, Maskierung und Löschung.

3.4 Zweck: der Versand der transaktionalen E-Mails, die die Kundin übergibt, und die Rückmeldung, was mit ihnen geschehen ist. Viascom bearbeitet die Daten nicht für eigene Zwecke, ausser als Verantwortliche nach Ziffer 2.2, und erfasst keine Öffnungen oder Klicks.

4. Daten und betroffene Personen

4.1 Kategorien von Personendaten: E-Mail-Adressen und Anzeigenamen von Absendern und Empfängern; Betreffzeilen; Nachrichteninhalte und Anhänge, wie die Kundin sie verfasst, die jede Art von Personendaten enthalten können, die die Kundin hineinschreibt, einschliesslich besonders schützenswerter Daten, wenn die Kundin solche Inhalte versendet; Tags und eigene Header; Nachrichten-IDs; Zustellereignisse mit Zeitstempeln und den Antworten der empfangenden Mailserver; Einträge der Sperrliste mit Grund; Webhook-Nutzlasten mit den genannten Daten.

4.2 Kategorien betroffener Personen: die Nutzerinnen und Nutzer, Kundinnen und Kunden, Mitarbeitenden, Kontakte der Kundin und alle anderen Personen, an die oder von denen die Kundin E-Mails versendet.

4.3 Aufbewahrung innerhalb der Bearbeitung: Der Nachrichteninhalt einschliesslich der Anhänge wird gleich lange wie die Metadaten der E-Mail aufbewahrt: 30 Tage angezeigt und nach 32 endgültig gelöscht, oder 365 und 367, solange die Erweiterung des Nachrichtenverlaufs bezahlt ist, nach denselben Regeln für Ablauf und Widerruf. Er wird verschlüsselt gespeichert (Anhang 2). Die Warteschlange von letr.dev behält ihn höchstens 3 Tage nach dem Versandzeitpunkt, und eine geplante E-Mail (bis zu 7 Tage im Voraus) behält ihren Inhalt von der Anfrage bis zu ihrem Versandzeitpunkt. Weist der empfangende Mailserver die E-Mail vorübergehend ab, behält die Warteschlange des Mailservers sie höchstens 3 weitere Tage nach der Übergabe. Absender, Empfängerinnen und Empfänger, Betreff, Tags und Zustellereignisse werden 30 Tage aufbewahrt und nach 32 endgültig gelöscht, oder 365 Tage und nach 367 endgültig gelöscht, solange die Erweiterung des Nachrichtenverlaufs der Kundin bezahlt ist; solche, die älter als 32 Tage sind, werden 14 Tage nach ihrem Ablauf gelöscht, oder innert eines Tages nach ihrem Widerruf; Webhook-Zustellungen 32 Tage; Einträge der Sperrliste, bis die Kundin sie entfernt oder das Konto gelöscht wird. Sicherungen nach Ziffer 12.3 können all dies bis zu 52 Wochen nach dem Löschen (Datenbank) oder 7 Tage (Mailserver) enthalten. Ausserhalb der Datenbank stehen Empfängeradressen in den Zustellprotokollen des Mailservers, die dort nach 14 Tagen automatisch gelöscht und bis zu 7 weitere Tage in seinen Sicherungen aufbewahrt werden, im Fehlerprotokoll des Webservers bei Datadog, das E-Mail-Adressen aus angefragten URLs enthalten kann und 30 Tage aufbewahrt wird, und in den Webserver-Protokollen des App-Servers, die dieselben URLs enthalten und aufbewahrt werden, bis die Protokollrotation sie entfernt.

5. Weisungen

5.1 Viascom bearbeitet die Daten nur auf dokumentierte Weisung der Kundin. Die dokumentierten Weisungen sind: die Allgemeinen Geschäftsbedingungen, dieser Vertrag, die API-Aufrufe, SMTP-Einlieferungen und MCP-Werkzeugaufrufe der Kundin und die Einstellungen, die die Kundin im Dashboard vornimmt (Domains, Webhooks, Sperrliste, Obergrenze, Löschungen, die Erweiterung des Nachrichtenverlaufs).

5.2 Viascom darf von den Weisungen nur abweichen, wo das Schweizer Recht oder das für Viascom geltende Recht der EU oder eines Mitgliedstaats es verlangt. In diesem Fall informiert Viascom die Kundin vor der Bearbeitung über die Anforderung, sofern das Gesetz es nicht verbietet.

5.3 Viascom informiert die Kundin umgehend, wenn eine Weisung nach ihrer Ansicht gegen das DSG, die DSGVO oder anderes Datenschutzrecht verstösst. Viascom kann die Weisung dann aussetzen, bis die Kundin sie bestätigt oder ändert.

5.4 Weisungen, die über den dokumentierten Dienst hinausgehen, sind nicht möglich; der Dienst hat keine Schnittstelle dafür.

6. Vertraulichkeit

6.1 Viascom gewährt Zugang zu den Daten nur Personen, die ihn für die Erbringung des Dienstes brauchen und die vertraglich oder gesetzlich zur Vertraulichkeit verpflichtet sind. Der Zugang zu Produktionssystemen ist persönlich, protokolliert, wo das System es unterstützt, und jede Handlung eines Operators am Konto einer Kundin wird in der Kontohistorie festgehalten.

6.2 Viascom liest Nachrichteninhalte nicht, um den Dienst zu betreiben. Bei Verdacht auf einen Verstoss gegen die Nutzungsrichtlinie (Missbrauch, Spam, Betrug) kann eine Operatorin oder ein Operator den Inhalt einzelner E-Mails öffnen. Jeder solche Zugriff verlangt eine schriftliche Begründung, wird in der Kontohistorie festgehalten, und die Kundin sieht den Zeitpunkt jedes Zugriffs bei der E-Mail im Dashboard. Sonst arbeiten Operatoren mit Metadaten (Empfängerinnen und Empfänger, Betreffzeilen, Tags, Ereignisse) und mit den Headern aus Missbrauchsmeldungen.

7. Sicherheit

7.1 Viascom trifft die technischen und organisatorischen Massnahmen in Anhang 2, hält sie aktuell und verbessert sie mit dem Stand der Technik. Sie sind auf das Risiko der in Ziffer 4 beschriebenen Daten ausgelegt: E-Mails mit beliebigem Inhalt, Inhalt und Metadaten mit der Erweiterung des Nachrichtenverlaufs bis etwa ein Jahr aufbewahrt, in grosser Zahl versendet.

7.2 Die Kundin ist verantwortlich für das, was sie in eine E-Mail schreibt, und für ihre eigenen Systeme: die sichere Aufbewahrung der API-Schlüssel und SMTP-Zugangsdaten, die Wahl der Empfängerinnen und Empfänger, die Nutzung der Sperrliste und die Sicherheit ihrer Webhook-Endpunkte. Die Kundin sollte keine Daten versenden, die stärkeren Schutz brauchen, als E-Mail bietet.

8. Unterauftragsbearbeiter

8.1 Die Kundin erteilt die allgemeine Genehmigung, dass Viascom die Unterauftragsbearbeiter in Anhang 3 einsetzt. Die aktuelle Liste ist unter letr.dev/subprocessors.

8.2 Viascom informiert die Kontoinhaberinnen per E-Mail mindestens 30 Tage, bevor ein neuer oder ersetzter Unterauftragsbearbeiter Daten der Kundin bearbeitet, mit Name, Standort, Zweck und Übermittlungsgrundlage. Die Kundin kann innert dieser 30 Tage aus Datenschutzgründen widersprechen. Finden die Parteien keine Lösung, kann die Kundin den Vertrag mit Wirkung vor dem Inkrafttreten der Änderung kündigen; im Voraus bezahlte Gebühren für die Zeit nach der Kündigung werden zurückerstattet. Widerspricht die Kundin nicht innert 30 Tagen, gilt der Unterauftragsbearbeiter als genehmigt.

8.3 Viascom verpflichtet jeden Unterauftragsbearbeiter schriftlich zu Datenschutzpflichten, die den Daten mindestens den Schutz dieses Vertrags geben, und bleibt der Kundin gegenüber für die Leistung des Unterauftragsbearbeiters voll verantwortlich.

8.4 Dringender Ersatz: Muss Viascom einen Unterauftragsbearbeiter sofort ersetzen, um den Dienst sicher oder in Betrieb zu halten, informiert sie die Kundin so bald wie möglich, und die Kundin behält das Widerspruchs- und Kündigungsrecht nach Ziffer 8.2.

9. Übermittlung ins Ausland

9.1 Die Daten der Kundin werden auf Servern in Deutschland (Hetzner) gespeichert und bearbeitet. Verschlüsselte Sicherungen der Datenbank speichert Contabo in der EU (Ziffer 12.3). Die Schweiz anerkennt den Datenschutz Deutschlands und der übrigen EU-Staaten als angemessen; eine Übermittlungsgarantie ist nicht nötig.

9.2 Cloudflare (USA) überträgt den API-Verkehr, einschliesslich der Empfängerinnen und Empfänger und der Inhalte der über die API versendeten E-Mails. Datadog (USA) erhält das Betriebsprotokoll des Mailservers mit maskierten E-Mail-Adressen und das Fehlerprotokoll des Webservers, das E-Mail-Adressen aus angefragten URLs enthalten kann. Übermittlungsgrundlage für beide ist das EU-US und das Swiss-US Data Privacy Framework, unter dem beide zertifiziert sind. Google (Google Workspace) führt die Postfächer von letr.dev in Irland und in den Rechenzentren von Google weltweit, auch in den USA; Supportanfragen, E-Mails an letr.dev und Missbrauchsmeldungen zu E-Mails der Kundin gehen dort ein und können Personendaten der Kundin enthalten. Übermittlungsgrundlage ist für die USA das EU-US und das Swiss-US Data Privacy Framework, unter dem die Google LLC zertifiziert ist, für andere Länder sind es die Standardvertragsklauseln im Cloud Data Processing Addendum von Google.

9.3 WorkOS (USA) bearbeitet Anmeldedaten des Dashboards, für die Viascom verantwortlich ist; es bearbeitet keine E-Mail-Daten der Kundin. Übermittlungsgrundlage sind die Standardvertragsklauseln der Europäischen Kommission mit den Anpassungen für die Schweiz.

9.4 Sollte das Data Privacy Framework für ungültig erklärt werden, stützt sich Viascom mit den betroffenen Unterauftragsbearbeitern auf die Standardvertragsklauseln oder informiert die Kundin, wo das nicht möglich ist, nach Ziffer 8.2.

9.5 Viascom übermittelt die Daten sonst nicht ausserhalb der Schweiz, der EU oder des EWR und in kein Land ohne Angemessenheitsbeschluss des Bundesrats und, soweit die DSGVO gilt, der Europäischen Kommission, ausser nach den Ziffern 9.2 und 9.3.

10. Unterstützung der Kundin

10.1 Anfragen betroffener Personen: Viascom leitet der Kundin ohne unangemessene Verzögerung jede Anfrage einer betroffenen Person weiter, die die E-Mails der Kundin betrifft, und beantwortet sie nicht selbst, sofern die Kundin es nicht anweist. Die Kundin bearbeitet Auskunfts-, Berichtigungs-, Lösch- und Widerspruchsbegehren mit den Werkzeugen, die letr.dev bietet: den Nachrichten- und Ereignisansichten in Dashboard und API, der Empfängersuche, DELETE /v1/recipients/{email} zur Löschung (ersetzt die Adresse in jeder E-Mail, jedem Ereignis und jeder Webhook-Zustellung des Kontos durch erased; der Inhalt jeder E-Mail, die an die gelöschte Empfängerin oder den gelöschten Empfänger adressiert ist oder die Adresse im Betreff oder in den Tags nennt, wird sofort gelöscht, während eine geplante E-Mail, die die Adresse nur im Betreff oder in den Tags nennt, trotzdem zu ihrem Zeitpunkt versendet und bis dahin in der Warteschlange von letr.dev behalten wird) und der Sperrliste. Die Löschung erreicht weder die Sicherungen nach Ziffer 12.3 noch die Zustellprotokolle, das Fehlerprotokoll und die Webserver-Protokolle des App-Servers nach Ziffer 4.3; diese werden von selbst gelöscht, die Sicherungen nach bis zu 52 Wochen nach dem Löschen (Datenbank) oder 7 Tagen (Mailserver), die Zustellprotokolle nach 14 Tagen, das Fehlerprotokoll nach 30 Tagen und die Webserver-Protokolle, sobald die Protokollrotation sie entfernt. Stellt Viascom Daten aus einer Sicherung wieder her, teilt sie jeder Kundin den Zeitpunkt mit, den die wiederhergestellten Daten abbilden (Ziffer 12.3). Viascom kann Löschungen von Empfängeradressen nicht selbst wiederholen; die Kundin wiederholt deshalb anhand ihrer eigenen Unterlagen jede Löschung einer Empfängeradresse, die sie zu diesem Zeitpunkt oder danach vorgenommen hat. Für alles, was die Werkzeuge nicht abdecken, unterstützt Viascom auf Anfrage zu Selbstkosten.

10.2 Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzungen und vorherige Konsultation: Viascom unterstützt die Kundin mit den Informationen, die sie hält, unter Berücksichtigung der Art der Bearbeitung. Viascom veröffentlicht ihre Massnahmen (Anhang 2), ihre Unterauftragsbearbeiter und ihre Aufbewahrungsfristen, damit die meisten Beurteilungen anhand des veröffentlichten Materials möglich sind. Weitergehende Unterstützung erfolgt auf Anfrage; Viascom kann für Aufwand über einige Stunden hinaus ihre angemessenen Kosten verrechnen.

10.3 Aufsichtsbehörden: Viascom arbeitet mit dem EDÖB und, soweit die DSGVO gilt, mit der zuständigen Aufsichtsbehörde zusammen und informiert die Kundin über jede Anfrage einer Behörde, die Daten der Kundin betrifft, sofern das Gesetz es nicht verbietet.

11. Verletzung der Datensicherheit

11.1 Viascom informiert die Kundin ohne unangemessene Verzögerung, nachdem sie von einer Verletzung der Datensicherheit Kenntnis erlangt hat, die Daten der Kundin betrifft.

11.2 Die Meldung geht per E-Mail an die Kontoinhaberin und beschreibt, soweit zu diesem Zeitpunkt bekannt und bei Bedarf schrittweise ergänzt: die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen, die ergriffenen oder vorgeschlagenen Massnahmen und eine Kontaktstelle. Viascom dokumentiert jede Verletzung, ihre Auswirkungen und die Abhilfemassnahmen und bewahrt die Dokumentation mindestens 2 Jahre auf.

11.3 Die Kundin entscheidet, ob und wie sie eine Aufsichtsbehörde und die betroffenen Personen benachrichtigt; Viascom unterstützt sie nach Ziffer 10.2. Viascom benachrichtigt Behörden oder betroffene Personen nicht im Namen der Kundin, sofern sie nicht angewiesen wird.

12. Löschung und Rückgabe

12.1 Während des Vertrags kann die Kundin die Daten, die letr.dev hält, jederzeit über API und Dashboard exportieren: Zustellereignisse aus dem Nachrichtenverlauf der Kundin (30 Tage, oder 365 mit der Erweiterung), den Inhalt jeder E-Mail in diesem Verlauf (ausser dem Inhalt, den eine Löschung einer Empfängeradresse gelöscht hat, Ziffer 10.1), die Sperrliste, Domains und Webhook-Einstellungen.

12.2 30 Tage nach dem Ende des Vertrags, wie auch immer er endet (Kündigung, Widerruf, Ablehnung), löscht Viascom das Konto mit jedem Datensatz, der ihm zugeordnet ist: E-Mail-Metadaten, Inhalte und Ereignisse, die Sperrliste, Domains und DKIM-Schlüssel, API-Schlüssel, Webhooks und ihre Zustellungen, die MCP-Aktivität, die Kontohistorie und die Dashboard-Benutzerinnen und -Benutzer. Viascom bestätigt die Löschung auf Anfrage.

12.3 Backups: Die Datenbank wird im Objektspeicher von Contabo in der EU jede Woche vollständig und an den übrigen Tagen differenziell gesichert, und ihr Write-Ahead-Log wird laufend archiviert; die Sicherung wird mit AES-256 verschlüsselt, bevor sie die Datenbankserver verlässt. Vollständige Sicherungen werden 52 Wochen aufbewahrt, rund ein Jahr. Der App-Server hält ausser seinen Webserver-Protokollen (Ziffer 4.3) keine Kundendaten dauerhaft und wird nicht gesichert. Der Mailserver hat die täglichen Server-Backups von Hetzner, von denen die letzten 7 aufbewahrt werden. Backups können die Daten deshalb bis zu rund einem Jahr nach der Löschung enthalten; sie werden nur zur Wiederherstellung nach einem Ausfall eingespielt. Eine Wiederherstellung setzt die Daten auf einen früheren Zeitpunkt zurück. Viascom behandelt die dadurch verlorenen Daten als Verletzung der Datensicherheit nach Ziffer 11 und teilt jeder Kundin den Zeitpunkt mit, den die wiederhergestellten Daten abbilden. E-Mails, die vor dem Beginn der Wiederherstellung fällig waren, werden nicht erneut versendet; die Warteschlange von letr.dev lässt zudem wiederhergestellte Inhalte, deren Versandzeitpunkt mehr als 3 Tage zurückliegt, scheitern und löscht sie. Geplante E-Mails, die nach dem Beginn der Wiederherstellung fällig sind, werden zu ihrem Versandzeitpunkt versendet, sofern die Kundin sie nicht erneut storniert. Änderungen, die die Kundin seit diesem Zeitpunkt vorgenommen hat, gehen verloren, und die Kundin nimmt sie erneut vor: Löschungen von Empfängeradressen, stornierte geplante E-Mails, widerrufene API-Keys, entfernte Webhook-Endpunkte und Domains sowie seither hinzugefügte Einträge der Sperrliste. Viascom setzt die Verträge, die seit diesem Zeitpunkt geendet oder begonnen haben, anhand der Unterlagen von Stripe erneut um. Die geplanten Löschjobs laufen erneut über die wiederhergestellten Daten und löschen von selbst, was seine Frist überschritten hat: E-Mail-Metadaten und Ereignisse, die älter als 32 Tage sind, oder 367 Tage, solange die Erweiterung des Nachrichtenverlaufs bezahlt ist, Webhook-Zustellungen, die älter als 32 Tage sind, und Konten, die vor mehr als 30 Tagen geendet haben. Gespeicherte Inhalte, die ihre Frist überschritten haben, löschen dieselben Jobs. Eine Löschung einer Empfängeradresse wiederholt sich nicht von selbst (Ziffer 10.1).

12.4 Viascom behält, was das Gesetz verlangt: Buchhaltungsunterlagen 10 Jahre nach Art. 958f OR (in der Buchhaltung von Viascom), die Dokumentation von Verletzungen nach Ziffer 11.2 und das Protokoll der Behördenanfragen. Diese Unterlagen enthalten keine E-Mail-Inhalte und keine Empfängeradressen.

13. Prüfungen

13.1 Viascom gibt der Kundin die Informationen, die nötig sind, um die Einhaltung dieses Vertrags nachzuweisen: diesen Vertrag mit seinen Anhängen, die veröffentlichte Liste der Unterauftragsbearbeiter, die Statusseite, auf Anfrage die Runbook-Abschnitte zum Umgang mit Verletzungen und einmal im Jahr Antworten auf einen angemessenen schriftlichen Fragebogen.

13.2 Reicht das aus einem konkreten, dokumentierten Grund nicht aus oder verlangt es eine Aufsichtsbehörde, kann die Kundin oder eine zur Vertraulichkeit verpflichtete unabhängige Prüferin die Bearbeitung von Viascom vor Ort oder aus der Ferne prüfen, einmal im Jahr, mit 30 Tagen schriftlicher Ankündigung, während der Geschäftszeiten, ohne den Betrieb zu stören und ohne Zugang zu Daten anderer Kundinnen. Die Kundin trägt die Kosten der Prüfung und vergütet Viascom den angemessenen Aufwand, es sei denn, die Prüfung deckt einen wesentlichen Verstoss gegen diesen Vertrag auf. Die Rechenzentren von Hetzner werden von Hetzner geprüft; Viascom stellt statt Zugang die veröffentlichten Nachweise von Hetzner bereit.

14. Haftung und Rangfolge

14.1 Die Haftung aus diesem Vertrag folgt Ziffer 13 der Allgemeinen Geschäftsbedingungen. Die Beschränkung gilt nicht, wo das Datenschutzrecht etwas anderes vorsieht, insbesondere für die Haftung jeder Partei gegenüber betroffenen Personen nach Art. 82 DSGVO.

14.2 Bei einem Widerspruch zwischen diesem Vertrag und den Allgemeinen Geschäftsbedingungen zur Bearbeitung von Personendaten geht dieser Vertrag vor. Bei einem Widerspruch zwischen diesem Vertrag und zwingendem Datenschutzrecht geht das Gesetz vor.

14.3 Es gelten das Recht und der Gerichtsstand nach den Ziffern 16.4 und 16.5 der Allgemeinen Geschäftsbedingungen, mit ihren Ausnahmen für Konsumentinnen und Konsumenten. Die Sprachklausel der Allgemeinen Geschäftsbedingungen gilt.

Anhang 1: Angaben zur Bearbeitung

Verantwortliche: die im letr.dev-Konto genannte Kundin.
Auftragsbearbeiterin: Viascom GmbH, Appenzell, Schweiz.
Gegenstand und Zweck: Übermittlung von transaktionalen E-Mails und Rückmeldung der Zustellereignisse (Ziffer 3).
Betroffene Personen: Nutzerinnen und Nutzer, Kundinnen und Kunden, Mitarbeitende, Kontakte der Kundin und weitere Empfängerinnen, Empfänger und Absender (Ziffer 4.2).
Personendaten: Adressen, Namen, Betreffzeilen, Inhalte, Anhänge, Tags, Header, Nachrichten-IDs, Zustellereignisse, Serverantworten, Sperrlisteneinträge, Webhook-Nutzlasten (Ziffer 4.1). Besonders schützenswerte Daten: nur, wenn die Kundin sie in eine Nachricht schreibt; letr.dev ist nicht dafür ausgelegt.
Häufigkeit: laufend, wie die Kundin versendet.
Aufbewahrung: Der Inhalt wird verschlüsselt so lange aufbewahrt wie die Metadaten der E-Mail (unten). Die Warteschlange von letr.dev behält ihn höchstens 3 Tage nach dem Versandzeitpunkt, und eine geplante E-Mail (bis zu 7 Tage im Voraus) behält ihren Inhalt von der Anfrage bis zu ihrem Versandzeitpunkt. Weist der empfangende Mailserver die E-Mail vorübergehend ab, behält die Warteschlange des Mailservers sie höchstens 3 weitere Tage nach der Übergabe. Metadaten und Ereignisse 30 Tage, endgültig gelöscht nach 32, oder 365 Tage, endgültig gelöscht nach 367, mit der Erweiterung des Nachrichtenverlaufs; Webhook-Zustellungen 32 Tage; Sperrlisteneinträge bis zur Entfernung; alles 30 Tage nach dem Ende des Kontos; in Sicherungen all dies bis zu 52 Wochen nach dem Löschen (Datenbank) oder 7 Tage (Mailserver); die Zustellprotokolle des Mailservers mit Empfängeradressen 14 Tage und bis zu 7 weitere Tage in seinen Sicherungen; das Fehlerprotokoll des Webservers bei Datadog 30 Tage; die Webserver-Protokolle des App-Servers, bis die Protokollrotation sie entfernt (Ziffern 4.3 und 12).
Standort: Deutschland (Speicherung und Bearbeitung); EU (verschlüsselte Datenbanksicherungen bei Contabo); USA während der Übertragung über Cloudflare und für Protokolle bei Datadog, wobei das Fehlerprotokoll des Webservers E-Mail-Adressen aus angefragten URLs enthalten kann; Irland und Rechenzentren von Google weltweit, auch in den USA, für Supportanfragen, E-Mails an letr.dev und Missbrauchsmeldungen in den Postfächern von letr.dev bei Google (Ziffer 9).

Anhang 2: Technische und organisatorische Massnahmen

Fakten aus dem Produktionsaufbau zum Zeitpunkt dieser Version.

Infrastruktur und Hosting

Server bei der Hetzner Online GmbH in Deutschland, letr.dev vorbehalten; die physische Sicherheit und die Zertifizierungen von Hetzner veröffentlicht Hetzner.
Cloudflare vor Website und API für DNS, TLS-Terminierung am Rand und Schutz vor Angriffen; die Anwendungsports sind an die Loopback-Schnittstelle gebunden und nur über den Webserver des Hosts erreichbar.
Eine in Terraform verwaltete Host-Firewall auf dem Mailserver; tägliche Server-Backups des Mailservers bei Hetzner, die letzten 7 aufbewahrt; verschlüsselte Datenbanksicherungen bei Contabo in der EU, vollständige Sicherungen 52 Wochen aufbewahrt (Ziffer 12.3); der App-Server hält ausser seinen Webserver-Protokollen (Ziffer 4.3) keine Kundendaten dauerhaft.

Verschlüsselung

TLS für jede Verbindung zu Website, Dashboard, API und SMTP-Relay (implizites TLS auf Port 465, STARTTLS auf 587), mit automatisch erneuerten Let's-Encrypt-Zertifikaten.
TLS 1.3 zwischen den Anwendungsprozessen und der Nachrichtenwarteschlange; die Prozesse starten ohne es nicht.
Zustellung an empfangende Mailserver über TLS, wo der empfangende Server es anbietet.
Geheimnisse im Ruhezustand (private DKIM-Schlüssel, Webhook-Signaturgeheimnisse) mit AES-256-GCM unter einem Schlüssel im Geheimnisspeicher verschlüsselt. API-Schlüssel als Hashes gespeichert; der Klartext wird einmal bei der Erstellung gezeigt.
Nachrichteninhalte im Ruhezustand mit AES-256-GCM unter einem Schlüssel im Geheimnisspeicher verschlüsselt, getrennt von der Datenbank und ihren Sicherungen; der Schlüssel wird gewechselt, und gespeicherte Inhalte werden unter dem neuen Schlüssel neu verschlüsselt.
Zugangsdaten für Datenbank, Zahlungsanbieter, Anmeldeanbieter und Mailserver in HashiCorp Vault, von der Anwendung beim Start gelesen; keine Geheimnisse im Repository oder in Container-Images.

Zugriffskontrolle

Anmeldung am Dashboard über WorkOS (AuthKit) für Kundinnen und Operatoren; Operatorfunktionen sind von Kundenfunktionen getrennt und nur Mitarbeitenden von Viascom zugänglich. Die Mehrfaktor-Authentifizierung ist für Operatorkonten verfügbar.
Serverzugang nur mit persönlichen SSH-Schlüsseln; die Ansible-Rollen definieren den Serverzustand.
Jeder API-Schlüssel trägt eine Berechtigung (Versand, nur lesen oder Vollzugriff) und gehört zu einem Konto; Webhooks sind signiert und werden mit gegenseitigem TLS aus einer eigenen Client-Zertifizierungsstelle von letr.dev zugestellt.

Datenminimierung und Aufbewahrung

Der Nachrichteninhalt wird gleich lange wie die Metadaten der E-Mail aufbewahrt und mit ihnen durch denselben geplanten Job gelöscht. Die Warteschlange von letr.dev behält ihn höchstens 3 Tage nach dem Versandzeitpunkt, und eine geplante E-Mail (bis zu 7 Tage im Voraus) behält ihren Inhalt von der Anfrage bis zu ihrem Versandzeitpunkt. Weist der empfangende Mailserver die E-Mail vorübergehend ab, behält die Warteschlange des Mailservers sie höchstens 3 weitere Tage nach der Übergabe.
Metadaten und Zustellereignisse werden 30 Tage aufbewahrt und nach 32 durch einen geplanten Job endgültig gelöscht, oder 365 Tage und nach 367 mit der Erweiterung des Nachrichtenverlaufs; Webhook-Zustellungen 32 Tage.
Sicherungen enthalten Inhalte und Metadaten bis zu 52 Wochen nach dem Löschen (Datenbank) oder 7 Tage (Mailserver) (Ziffer 12.3).
Anwendungsprotokolle enthalten IDs und Zahlen, nie Empfängeradressen. Das Betriebsprotokoll des Mailservers verlässt den Server nur mit maskierten E-Mail-Adressen, und eine Prüfung beim Deployment schlägt fehl, wenn eine Testadresse die Masken übersteht.
Die Zustellprotokolle des Mailservers nennen die Empfängerinnen und Empfänger; sie bleiben auf dem Mailserver, ein geplanter Job löscht sie nach 14 Tagen, und seine Sicherungen enthalten sie bis zu 7 Tage länger. Das Fehlerprotokoll des Webservers, das E-Mail-Adressen aus angefragten URLs enthalten kann, wird 30 Tage bei Datadog aufbewahrt.
Kein Öffnungs- oder Klick-Tracking; keine Analytik und keine Cookies auf der Website.
Ein Konto wird 30 Tage nach seinem Ende mit jedem ihm zugeordneten Datensatz durch einen täglichen Job gelöscht; ein Test schlägt fehl, wenn eine neue Tabelle ohne Kaskade hinzukommt.
Löschung einer Empfängeradresse auf Anfrage über DELETE /v1/recipients/{email}.

Trennung und Integrität

Jeder Datensatz ist einem Konto zugeordnet; API-Schlüssel und Anmeldungen erreichen nur die Daten des eigenen Kontos.
Sperrlisten, Bounce- und Beschwerderaten und Limiten pro Konto.
Jede Handlung eines Operators an einem Konto (Pause, Fortsetzung, Ablehnung, Stufenänderungen, widerrufene Schlüssel, abgebrochene Warteschlange, Beweismittelexport) wird in derselben Transaktion wie die Handlung in der Kontohistorie festgehalten.

Verfügbarkeit

Öffentliche Überwachung der API und der Versandkette auf status.letr.dev alle 5 Minuten, einschliesslich einer Ende-zu-Ende-Test-E-Mail an ein externes Postfach.
Server- und Prozessüberwachung über Datadog; Störungen werden auf der Statusseite angekündigt.

Organisation

Schriftliches Runbook für die Prüfung neuer Konten, den Umgang mit Missbrauch, Kontoübernahmen, Behördenanfragen, Delisting und Datenpannen, im Infrastruktur-Repository geführt.
Jeder Missbrauchs- oder Übernahmefall wird in der Kontohistorie festgehalten; eine exportierte Beweisdatei wird an einem zugangsbeschränkten, verschlüsselten Ort aufbewahrt und beim Abschluss des Falls gelöscht.
Umgang mit Verletzungen: erkennen und festhalten, beurteilen, betroffene Kundinnen ohne unangemessene Verzögerung informieren, für Daten, für die Viascom verantwortlich ist, bei hohem Risiko dem EDÖB melden, für die Daten der Kundin gilt Ziffer 11, jede Verletzung mindestens 2 Jahre dokumentieren.
Unterauftragsbearbeiter vertraglich gebunden; Änderungen 30 Tage im Voraus angekündigt.
Nikola Stankovic ist bei Viascom für den Datenschutz zuständig; ein Datenschutzberater ist nicht ernannt.

Anhang 3: Unterauftragsbearbeiter

Übernommen von letr.dev/subprocessors zum Zeitpunkt dieser Version; die Seite ist die massgebende aktuelle Liste.

Unterauftragsbearbeiter	Zweck	Standort	Daten	Übermittlungsgrundlage
Hetzner Online GmbH	Hosting der Website, der API, der Datenbank und der Mailserver	Deutschland	Konto- und Rechnungsdaten, Absenderdomains und API-Schlüssel, die von Kundinnen versendeten E-Mails und ihre Zustellereignisse, Sperrlisten, Serverprotokolle	Keine nötig (EU; nach Schweizer Recht angemessen)
Cloudflare, Inc.	DNS, Auslieferung der Inhalte und Schutz vor Angriffen für Website und API	USA	IP-Adressen und Verbindungsdaten der Besucherinnen und Besucher, API-Anfragen während der Übertragung einschliesslich Empfängerinnen, Empfänger und Inhalte der E-Mails	EU-US und Swiss-US Data Privacy Framework
Contabo GmbH	Speicherung verschlüsselter Datenbanksicherungen	EU	Verschlüsselte Sicherungen der Datenbank: Konto- und Rechnungsdaten, Absenderdomains und API-Schlüssel, die von Kundinnen versendeten E-Mails und ihre Zustellereignisse, Sperrlisten	Keine nötig (EU; nach Schweizer Recht angemessen)
WorkOS, Inc.	Anmeldung am Dashboard	USA	E-Mail-Adresse, Name, Anmeldedaten, IP-Adresse und Browser jeder Anmeldung	Standardvertragsklauseln mit den Anpassungen für die Schweiz
Datadog, Inc.	Überwachung der Server, des Webservers und der Mailserver-Software	USA	Messwerte zu Zustand und Prozessen der Server; das Fehlerprotokoll des Webservers (Client-IP-Adressen und angefragte URLs, die E-Mail-Adressen enthalten können); das Betriebsprotokoll des Mailservers mit maskierten E-Mail-Adressen	EU-US und Swiss-US Data Privacy Framework
Google Cloud EMEA Limited	Google Workspace: die Postfächer von letr.dev, auch jenes für Supportanfragen	Irland; Rechenzentren von Google weltweit, auch in den USA	E-Mails an letr.dev-Adressen, Supportanfragen und Missbrauchsmeldungen zu E-Mails der Kundin: E-Mail-Adresse der Absenderin oder des Absenders, Name und ID des Kontos und die Nachricht, die Adressen von Empfängerinnen und Empfängern, E-Mail-Header oder E-Mail-Inhalte enthalten kann	EU-US und Swiss-US Data Privacy Framework (Google LLC) für die USA; für andere Länder die Standardvertragsklauseln im Cloud Data Processing Addendum von Google

WorkOS bearbeitet Daten, für die Viascom verantwortlich ist (Anmeldung); es bearbeitet keine E-Mails der Kundin und ist der Vollständigkeit halber aufgeführt. Google führt die Postfächer von letr.dev. Für Supportanfragen und andere E-Mails an letr.dev ist Viascom verantwortlich; als Unterauftragsbearbeiter bearbeitet Google Personendaten der Kundin nur, soweit eine solche E-Mail oder eine Missbrauchsmeldung zu E-Mails der Kundin sie enthält, etwa Adressen von Empfängerinnen und Empfängern sowie Kopien oder Header dieser E-Mails. Stripe, eigene Verantwortliche für die Zahlungs- und Bestelldaten, und die Sold through Link, LLC, die eingetragene Händlerin, sind keine Unterauftragsbearbeiter und bearbeiten keine E-Mails der Kundin.

Viascom GmbH, Appenzell, 02.11.2026