Die Anbieter im Detail
Customer.io
Passend für: SaaS-Produkte, die Nutzerzustände und Produktverhalten für Lifecycle-Nachrichten einsetzen.
Customer.io ist ein klarer Ausgangspunkt, wenn dein Datenschutzteam eine Standortentscheidung dokumentieren möchte: Du kannst zwischen US- und EU-Datenzentren wählen, ein AVV steht bereit und SOC 2 dient als Sicherheitsattestierung. Halte vor Vertragsschluss fest, welche Region für deinen Workspace aktiviert wird und welche Funktionen diese Auswahl umfasst.
Für die Vertragsakte gehören der aktuelle AVV, die Liste der Unterauftragsverarbeiter und Informationen zu Support- und Administrationszugriffen zusammen. Prüfe außerdem, ob alle übermittelten Identifikatoren für deinen Zweck erforderlich sind. Bei Produktereignissen kann ein Ereignisname zusammen mit einer Nutzer-ID bereits Rückschlüsse auf Verhalten ermöglichen. Lege daher fest, ob Rohereignisse, Attribute oder nur abgeleitete Segmente in den Dienst gelangen.
Essentials kostet 100 $ pro Monat und umfasst 1 Million monatliche E-Mail-Sendungen. Customer.io bietet außerdem Varianten für bestimmte Profilmengen an. Bei einem größeren Datenvolumen solltest du deshalb den Preis für deinen konkreten Umfang und die Bedingungen für zusätzliche Profile in die Beschaffungsakte aufnehmen. Die Vertragsunterlagen sind kein Ersatz für eine Prüfung deiner konkreten Rollenverteilung.
Brevo
Passend für: Teams, die Kampagnen und Transaktionsnachrichten in einer Plattform koordinieren.
Brevo stellt einen AVV bereit. Für Brevo sind auch Übermittlungen in Staaten außerhalb des EWR zu berücksichtigen; deshalb solltest du beim konkreten Konto nachvollziehen, welche Daten in welchem Land verarbeitet werden und welche Garantien für einen Transfer herangezogen werden. Wenn Standardvertragsklauseln Teil der Transfergrundlage sind, sichere die passende Fassung und die dazugehörigen Informationen zu ergänzenden Schutzmaßnahmen mit ab.
Bei der Prüfung hilft eine einfache Zuordnung: Welche Kontaktfelder stammen aus dem Produkt, welche werden für den Versand ergänzt und welche Ereignisse werden nur vorübergehend protokolliert? Frage nach Unterauftragsverarbeitern für Versand, Support, Analyse und Infrastruktur. Nimm Änderungen der Unterauftragnehmerliste in deinen Prozess zur Vertragsüberwachung auf. Für Löschungen brauchst du nicht nur eine Schaltfläche im Kontaktprofil, sondern auch Klarheit über Ereignisverläufe, Unterdrückungslisten, Backups und gesetzte Aufbewahrungsfristen.
Der Free-Tarif umfasst 300 Sendungen pro Tag. Starter kostet 9 $ pro Monat für 5.000 E-Mails. Für die Standortbewertung reicht ein allgemeiner Verweis auf einen europäischen Anbieter nicht aus: Lass dir den Standort deines konkreten Workspaces und die Transferkette bestätigen und gleiche beides mit deinem Verzeichnis der Verarbeitungstätigkeiten ab.
Mailchimp
Passend für: SaaS-Teams mit Newsletter, Produktupdates und einer etablierten Marketing-Audience.
Mailchimp stellt einen Auftragsverarbeitungsvertrag bereit. Für die Planung solltest du daneben den tatsächlichen Speicherort und sämtliche internationalen Übermittlungen des konkreten Accounts klären. Die Verfügbarkeit eines AVV beantwortet nicht automatisch, welche Systeme bei Supportfällen, Sicherungskopien oder Produktanalysen Daten erhalten. Notiere deshalb die relevanten Anbieterantworten zusammen mit der eingesetzten Region und einer Version der Unterauftragnehmerliste.
Ein guter Löschtest beginnt bei einer realistischen Kontaktperson: Kann dein Team die Adresse, interne Kontakt-ID, Ereignisse und abgeleitete Segmentmerkmale finden? Welche Daten verschwinden beim Entfernen eines Kontakts, welche werden zur Sperre weiterer Sendungen behalten und wie lange bleiben Protokolle bestehen? Dokumentiere für jedes Feld, ob es für den Versandzweck noch gebraucht wird. Das verhindert, dass ein Export als vollständige Datenkopie missverstanden wird, obwohl separate Ereignis- oder Aktivitätsdaten weiter bestehen.
Der Free-Tarif umfasst bis zu 250 Kontakte und 500 Sendungen pro Monat. Essentials kostet 13 $ pro Monat bei 500 Kontakten. Prüfe für deine Beschaffung außerdem, wie sich weitere Zielgruppen und Kontaktmengen auf die Abrechnung auswirken, damit die dokumentierte Verarbeitung nicht durch ungeplante Datenkopien wächst.
ActiveCampaign
Passend für: SaaS-Teams, die Marketing-Automationen mit CRM-nahen Abläufen verbinden.
ActiveCampaign stellt eine AVV-Vorlage bereit. Der Speicherort für den eigenen Account sollte zusätzlich konkret beim Anbieter erfragt und in der Auftragsakte festgehalten werden. Bitte um die Unterauftragnehmerliste und eine Beschreibung, welche Dienstleister Inhalte, Empfängerprofile, Ereignisdaten oder Versandprotokolle verarbeiten. Wenn ein Verarbeitungsschritt außerhalb des EWR liegt, gehört die Transfergrundlage in die Prüfung und die interne Dokumentation.
Für Nutzerrechte sollte dein Team vorab eine Zuständigkeit festlegen: Wer sucht nach einer Person, wer exportiert relevante Daten, und wie wird eine Löschung im Versandtool mit den Systemen abgeglichen, aus denen Kontakte ursprünglich synchronisiert wurden? Ein Automationssystem kann Attribute in mehreren Listen oder Workflows verwenden. Daher ist es sinnvoll, einen Testkontakt durch den gesamten Ablauf zu verfolgen und danach zu prüfen, ob Löschung und Berichtigung in den verbundenen Systemen tatsächlich ankommen.
Starter kostet 15 $ pro Monat bei jährlicher Abrechnung für 1.000 Kontakte. Im Tarif gelten Grenzen für Automationen; in der Beschaffung solltest du zugleich klären, welche Datenfelder dein geplanter Workflow verwendet. Eine kleinere Kontaktdatenmenge reduziert Aufwand bei Auskunft und Löschung und erleichtert die Erklärung des Zwecks gegenüber Nutzern.
Postmark
Passend für: Transaktionsnachrichten wie Konto- und Systemmeldungen, wenn du Versandprozesse getrennt organisieren willst.
Bei einem transaktionsorientierten Dienst liegt der Prüfpunkt oft in der Verbindung zwischen Anwendung und Versandprotokoll. Frage Postmark nach dem für deinen Vertrag geltenden AVV, der Unterauftragnehmerliste, dem Speicherort und etwaigen Transfers. Eine öffentlich erreichbare Vertragsseite allein beantwortet nicht, welche Fassung gilt oder welche Verarbeitungskonfiguration für deinen Account aktiv ist. Bewahre die bestätigten Antworten und den Vertrag mit der Architekturübersicht auf.
Lege fest, welche Nachrichteninhalte gespeichert werden müssen und ob Betreff, Empfänger, Metadaten oder Nachrichtentext in Protokollen sichtbar bleiben. Für einen Passwort-Reset oder eine Rechnungsmitteilung kann der Inhalt vertrauliche Informationen enthalten. Nutze, soweit möglich, Vorlagen mit minimalen personenbezogenen Details und vermeide, vollständige Nutzerdatensätze in Ereignis-Metadaten zu kopieren. Prüfe die Fristen für Versand- und Bounce-Protokolle getrennt von der Kontaktdatenaufbewahrung.
Basic startet bei 15 $ pro Monat für 10.000 E-Mails. Diese Kostenbasis macht den Anbieter für rein transaktionale Volumen planbar; sie sagt nichts über die Dauer der Protokollspeicherung oder den Datenstandort aus. Fordere diese Punkte für deine Produktkonfiguration schriftlich an, bevor du sensible Nutzungsereignisse in den Versanddienst leitest.
SendGrid
Passend für: Entwicklerteams, die E-Mail über eine Versand-API in eigene Abläufe integrieren.
Twilio veröffentlicht einen Datenschutz-Nachtrag, der als AVV-Basis in die Vertragsprüfung gehört. Ergänzend solltest du für die konkrete SendGrid-Konfiguration den Speicherort, die Verarbeitung durch Unterauftragnehmer und mögliche internationale Transfers ermitteln. Gerade bei API-Nutzung entstehen Datenkopien oft nicht nur im Dashboard, sondern auch in Anwendungslogs, Retry-Queues und Monitoring-Systemen. Zeichne diese Pfade zusammen mit der Anbietergrenze auf.
Für Auskunft und Löschung ist wichtig, welche Kennung dein Produkt an die API übergibt. Eine interne UUID erleichtert die Suche, kann aber weiterhin personenbezogen sein, wenn dein Unternehmen sie einer Person zuordnen kann. Entwickle einen Ablauf, der Empfängerprofil, Aktivitätsdaten und Sperrvermerke getrennt betrachtet. Bevor du Löschungen automatisierst, kläre, ob bestimmte Nachweise aus Sicherheits- oder Missbrauchsgründen weiter benötigt werden und wie diese begrenzt zugänglich bleiben.
Essentials kostet 19,95 $ pro Monat für 50.000 bis 100.000 E-Mails. Für die dokumentierte Verarbeitung solltest du zusätzlich festhalten, welche API-Funktionen aktiv sind und welche Datenfelder du tatsächlich versendest. Bitte den Anbieter um Unterauftragnehmer- und Standortinformationen passend zu deinem Account, statt den Standort aus der Unternehmensadresse abzuleiten.
Loops
Passend für: Produktteams, die Lifecycle-Nachrichten ohne komplexe Marketing-Suite verwalten möchten.
Vor einem produktiven Einsatz solltest du bei Loops die Vertragsunterlagen für Auftragsverarbeitung, Unterauftragnehmer, Datenregion und Transfermechanismen anfragen. Achte besonders auf die Grenze zwischen Kontaktdatensatz und Ereignis: Ein Produkt kann etwa Aktivierungsstatus, Funktionsnutzung oder Kontoeinstellungen übermitteln. Das kann für passende Nachrichten nützlich sein, erweitert aber den Umfang der Verarbeitung über eine E-Mail-Adresse hinaus.
Beschreibe in deiner internen Datenflussübersicht die Quelle, den Zweck und die Löschregel jedes Attributs. Prüfe, ob Ereignisse nur beim Versand benötigt werden oder dauerhaft in Profilen verbleiben. Ein sinnvolles Testverfahren ist, ein Testkonto zu löschen, anschließend nach dessen Identifier im Dienst zu suchen und den Vorgang im verbundenen Produkt zu wiederholen. Halte fest, ob Exporte eine lesbare Zuordnung zu Ereignisnamen und Zeitpunkten enthalten.
Der Early Stage Plan ist kostenlos und umfasst bis zu 4.000 Sendungen in einem rollierenden Zeitraum von 30 Tagen. Growing Audience kostet bei 9.998 Abonnenten 99 $ pro Monat. Berücksichtige beim Vergleich daher sowohl Versand als auch die Datenmenge, die du im Profilbestand hältst.
Klaviyo
Passend für: Teams, die Kontaktprofile und differenzierte Segmente für wiederkehrende Kommunikation einsetzen.
Erfrage vor der Übertragung von Nutzerdaten den AVV, die Liste der Unterauftragnehmer, den Datenstandort und die Transferregelung für deinen Klaviyo-Account. Prüfe nicht nur die Hauptdatenbank: Profilattribute, Ereignisverläufe und Auswertungen können eigene Aufbewahrungslogik besitzen. Wenn du SaaS-Produktdaten an ein System übermittelst, das häufig für mehrere Kommunikationszwecke genutzt wird, trenne die Zwecke in deiner Datenflussbeschreibung und begrenze die Felder pro Zweck.
Für eine DSFA-Vorprüfung solltest du festhalten, ob Ereignisse Rückschlüsse auf besonders private Verhaltensmuster ermöglichen, wie viele Personen betroffen sind, wie lange Ereignisse bleiben und ob Profile umfassend segmentiert werden. Das bedeutet nicht automatisch, dass eine DSFA erforderlich ist; das Ergebnis hängt von deinem konkreten Produkt und Risiko ab. Dokumentiere die Gründe für deine Einschätzung und beziehe Datenschutzverantwortliche ein, sobald Umfang oder Sensibilität der Ereignisse steigen.
Der kostenlose Umfang enthält 250 aktive Profile und 500 E-Mail-Sendungen im Monat. Der Tarif für 500 aktive Profile kostet 20 $ pro Monat. Prüfe für die spätere Skalierung, ob inaktive Kontakte weiter zur Abrechnung zählen und wie du Profilzusammenführungen bei Auskunftsersuchen nachvollziehbar hältst.
Userlist
Passend für: B2B-SaaS, das sowohl Nutzer als auch Firmenkonten im Lifecycle abbildet.
Frage Userlist vor der Auswahl nach AVV, Unterauftragnehmern, Datenregion, Backups und Verfahren für Betroffenenanfragen. Ein Modell mit Personen- und Firmenmerkmalen kann mehrere Datensätze zu einer Geschäftsbeziehung verbinden. Für die Datenschutzdokumentation solltest du deshalb klären, ob ein Nutzerprofil unabhängig vom Organisationsprofil exportiert oder gelöscht werden kann und wie sich diese Aktion auf andere Kontakte desselben Unternehmens auswirkt.
Ein schriftlicher Prozess sollte die Suche nach E-Mail-Adresse, interner Nutzer-ID und Firmenkennung abdecken. Er sollte auch benennen, welche Änderungen in deinem Produkt die Synchronisierung auslösen und wie Fehler sichtbar werden. Für Löschläufe ist ein Statusprotokoll hilfreich, das nur den notwendigen Nachweis enthält und nicht die entfernten Profildaten selbst wiederholt. Sorge dafür, dass Supportrollen Zugriff nur erhalten, wenn sie einen konkreten Fall bearbeiten.
Basic kostet 149 $ pro Monat bis zu 10.000 Nutzer. Die Preisbasis nach Nutzern ist für die Kapazitätsplanung relevant, während deine Datenschutzakte die tatsächlich übertragenen Nutzer- und Firmenfelder abbilden sollte. Wenn du über die Grundfunktionen hinaus zusätzliche Nachrichtentypen planst, frage gezielt nach deren Speicherfristen und ob sie dieselbe vertragliche Rollenverteilung verwenden.
Sequenzy
Sequenzy bietet einen kostenlosen Tarif mit bis zu 2.500 E-Mails pro Monat.
Welche Unterlagen du vor der Auswahl anfordern solltest
AVV und Unterauftragsverarbeiter
Der AVV sollte die tatsächliche Verarbeitung abbilden, die dein Team einkauft. Gleiche Vertragspartei, Produktname und Account-Konfiguration ab. Achte auf Gegenstand und Dauer, Art und Zweck, Datenarten, betroffene Personengruppen sowie die Pflichten des Anbieters. Der Vertrag sollte außerdem regeln, wie der Anbieter mit Weisungen, Vertraulichkeit, Sicherheitsmaßnahmen, Unterstützung bei Betroffenenrechten und Datenschutzvorfällen umgeht. Bewahre die unterschriebene oder elektronisch angenommene Vertragsfassung mit Datum und Versionsstand auf.
Die Liste der Unterauftragsverarbeiter ergänzt den AVV. Für jeden Dienstleister ist relevant, ob er Hosting, Versand, Support, Analyse oder Fehlerdiagnose übernimmt. Prüfe die Länder und die jeweilige Funktion, nicht nur die Firmensitze. Lege fest, wer Änderungen beobachtet, wie Widerspruchs- oder Kündigungsfristen intern eskaliert werden und wie die aktuelle Fassung archiviert wird. Wenn ein Anbieter eine allgemeine Liste veröffentlicht, verknüpfe sie mit dem Vertragsstand und dem konkreten Produktmodul deines Kontos.
Datenstandort und Übermittlungen aus der EU
Frage nach dem primären Speicherort und nach weiteren Orten, an denen Backups, Supportdaten und Protokolle verarbeitet werden. Erkundige dich, ob dein Konto tatsächlich eine EU-Region nutzt und ob ein Wechsel der Region möglich ist. Ein EU-Rechenzentrum beantwortet nicht allein, ob Personen in Drittstaaten auf Daten zugreifen können oder ob Telemetrie an weitere Anbieter gelangt. Halte diese Abgrenzungen in einem einfachen Diagramm fest, das deine Technik- und Datenschutzverantwortlichen gemeinsam pflegen.
Bei Transfers in Drittländer gehören Übermittlungszweck, Empfänger, Rechtsgrundlage und Schutzmaßnahmen in die Prüfung. Wenn Standardvertragsklauseln verwendet werden, frage nach den einschlägigen Modulen und ergänzenden Informationen zur Transferbewertung. Die Klauseln sind ein Vertragsbaustein; deine Dokumentation sollte auch beschreiben, welche Daten tatsächlich übertragen werden und ob zusätzliche technische oder organisatorische Maßnahmen nötig sind. Ändern sich Anbieter, Region oder Supportmodell, prüfe die Transferbeschreibung erneut.
Verzeichnis von Verarbeitungstätigkeiten
Der Eintrag für E-Mail sollte nicht auf den Namen des Tools beschränkt sein. Erfasse den Zweck, zum Beispiel Versand von Kontomitteilungen, Nutzungsinformationen oder Produktneuigkeiten, und trenne Zwecke, wenn sich Rechtsgrundlage, Datenumfang oder Aufbewahrungslogik unterscheiden. Nenne Kategorien betroffener Personen und Daten, Empfänger, Drittlandübermittlungen, Löschfristen und allgemeine Sicherheitsmaßnahmen. Verknüpfe den Eintrag mit dem AVV und dem technischen Datenfluss, damit ein Teamwechsel nicht die Begründung der Integration verliert.
Ergänze, aus welchen Systemen Kontakte und Ereignisse stammen, welche Kennungen sie verknüpfen und welche Automationen daraus Nachrichten auslösen. Vermerke, wer fachlich verantwortlich ist und wer die jährliche oder anlassbezogene Aktualisierung übernimmt. Ein neues Produktereignis, ein zusätzlicher Anbieter oder eine neue Region kann den Eintrag verändern. Eine kurze Änderungshistorie macht sichtbar, warum sich Datenfelder oder Empfänger geändert haben.
Ein praktischer Eintrag kann als kompakte Tabelle gepflegt werden: Verarbeitungsschritt, Datenquelle, Empfängerkategorie, Speicherort, Löschtrigger und Nachweislink. Für eine Kontomitteilung könnte die Quelle das Abrechnungssystem sein, während ein Aktivierungshinweis aus einem Produktstatus entsteht. Beide Vorgänge verwenden vielleicht dieselbe Versandplattform, haben aber unterschiedliche Auslöser und können unterschiedliche Datenfelder benötigen. Die klare Trennung hilft beim Beantworten einer Auskunft, weil dein Team gezielt nachvollziehen kann, welche Nachricht auf welchem Ereignis beruhte.
Schreibe außerdem die Schnittstellenverantwortung auf. Wenn ein Backend Ereignisse über eine Warteschlange übergibt, dokumentiere die Warteschlange als Zwischenstation und bestimme, ob dort Daten gespeichert oder erneut versendet werden. Prüfe, ob Ereignisnamen und Metadaten bereits Informationen über Nutzerverhalten verraten. Ein Feld wie Konto-ID kann in Verbindung mit einem Zeitstempel und Ereignistyp aussagekräftiger sein als erwartet. Reduziere Felder, wenn sie weder Versandentscheidung noch Fehleranalyse unterstützen.
Aufbewahrung, Protokolle und Löschung
Lege Fristen getrennt für Kontaktprofile, Produktattribute, Versandereignisse, Fehlerprotokolle und Sicherheitslogs fest. Diese Kategorien erfüllen unterschiedliche Aufgaben. Eine Adresse kann für einen laufenden Vertrag benötigt werden, während ein Öffnungsereignis nach kürzerer Zeit keinen Zweck mehr erfüllt. Definiere für jede Kategorie einen Auslöser für die Löschung, eine verantwortliche Rolle und eine technische Umsetzung. Vermeide pauschale Daueraufbewahrung, nur weil das Tool Speicherplatz bietet.
Teste den Vorgang mit einer Person, die in mehreren Listen und Workflows vorkommt. Prüfe Export, Berichtigung, Löschung und Sperrvermerk getrennt. Frage, ob Backups nach einem eigenen Zeitplan überschrieben werden und ob gelöschte Kennungen in Protokollen verbleiben. Das Ergebnis sollte zeigen, welche Daten sofort verschwinden, welche eine begrenzte Nachlaufzeit haben und welche aus einem dokumentierten Grund aufbewahrt werden. Gib deinem Support-Team eine klare Anleitung, damit es nicht eigenmächtig Daten aus Logs kopiert oder weiterleitet.
Plane diese Abläufe nicht nur für den Normalfall. Bei einer Kontolöschung können Produktkonto, CRM, Abrechnungssystem und E-Mail-Plattform unterschiedliche Identifikatoren verwenden. Eine Zuordnungstabelle oder ein zentraler Löschauftrag hilft, diese Systeme geordnet abzuarbeiten. Der Status des Vorgangs sollte zeigen, welche Systeme erfolgreich reagiert haben und wo ein Fehler eine manuelle Prüfung erfordert. Begrenze dabei den Nachweis selbst auf das, was zur Bearbeitung nötig ist, und lege auch dafür eine angemessene Frist fest.
Unterscheide Löschung von Sperrung. Eine Sperrliste kann eine Adresse oder Kennung behalten, damit sie nicht versehentlich erneut angeschrieben wird; diese Funktion braucht jedoch einen klaren Zweck und einen begrenzten Inhalt. Behalte nur das minimale Merkmal, das die Sperre durchsetzt, und beschreibe es in deiner Dokumentation. Bei einer Korrektur sollte dein Prozess außerdem festlegen, welche Quelle maßgeblich ist und wie ein korrigiertes Feld in verbundene Versandsegmente gelangt.
Produktereignisse und DSFA-Vorprüfung
Wenn nur eine E-Mail-Adresse für eine Nachricht übergeben wird, ist der Datenfluss einfacher als bei umfangreichen Produktereignissen. Ereignisse wie Funktionsnutzung, Kontostatus, Aktivität oder ein Rückschluss auf sensible Interessen können die Profilbildung deutlich vertiefen. Dokumentiere vor dem Anschluss, welche Ereignisse geplant sind, welchen Zweck sie erfüllen, wie viele Nutzer betroffen sein können und wie lange die Historie erhalten bleibt. Prüfe auch, ob sich dieselbe Nachricht mit einem weniger detaillierten Attribut auslösen lässt.
Bewerte, ob eine Datenschutz-Folgenabschätzung erforderlich sein kann, wenn die geplante Verarbeitung voraussichtlich ein hohes Risiko für Rechte und Freiheiten mit sich bringt. Eine DSFA ist keine pauschale Pflicht für jede E-Mail-Integration. Sie kann aber bei umfassender Beobachtung, detaillierter Verknüpfung von Nutzungsverhalten oder besonders sensiblen Kontexten relevant werden. Halte die Vorprüfung fest, einschließlich der Gründe für eine Entscheidung und der Maßnahmen zur Risikoreduktion. Bei Unsicherheit sollte die Datenschutzfunktion eingebunden werden.
Sicherheit und Nachweise
Bitte den Anbieter um die Sicherheitsunterlagen, die für deine Risikoeinstufung relevant sind: etwa einen aktuellen Prüfbericht oder eine Bescheinigung, einen Überblick über Zugriffskontrollen, Verschlüsselung, Schwachstellenmanagement, Vorfallmeldungen und Wiederherstellung. Führe eine Zertifizierung oder Attestierung nur dann als vorhanden, wenn sie für genau den beauftragten Dienst und den passenden Geltungsbereich belegt ist. Eine Unternehmensbescheinigung muss nicht automatisch jedes Modul oder jede Region umfassen.
Frage außerdem, wie Administratorzugriffe beschränkt werden, ob Supportzugriffe protokolliert sind und wie ein Sicherheitsvorfall gemeldet wird. Kläre, welche Kontaktadresse dein Team im Ernstfall verwendet und welche Fristen der Vertrag vorsieht. Bei einem Anbieterwechsel sollte die Übergabe der Unterlagen Teil der Beschaffung sein. Customer.io führt SOC 2 als Sicherheitsattestierung. Für die anderen Anbieter sollte dein Team passende Nachweise für Vertrag und Leistungsumfang erfragen.
Absender, Pflichtangaben und Nachrichtentypen
Auch bei transaktionalen Nachrichten lohnt es sich, die Absenderidentität und den geschäftlichen Kontext klar zu gestalten. Konto-, Sicherheits- oder Zahlungsmitteilungen sollten erkennbar von deinem Unternehmen stammen und einen geeigneten Kontaktweg enthalten. Marketingnachrichten können zusätzliche Informations- und Abmeldeanforderungen auslösen. Details zu Einwilligung und Abmeldung findest du im separaten Compliance-Leitfaden. Das Impressum kann konzeptionell über einen gut auffindbaren Link im Fußbereich erreichbar sein, während die konkrete Pflicht von Inhalt und Empfängerkreis abhängt.
Nutze für unterschiedliche Nachrichtentypen getrennte Templates oder klar abgegrenzte Absenderprofile, wenn das die Zuständigkeit verständlicher macht. Vermeide, Werbetexte in eine notwendige Systemmitteilung zu mischen. Dokumentiere, wer Betreff, Inhalt, Absenderadresse und Reply-to verwaltet. So bleiben technische Verantwortlichkeit und der Zweck der Nachricht auch dann nachvollziehbar, wenn Produkt-, Support- und Marketingteams gemeinsam mit dem Versanddienst arbeiten.
Praktischer Ablauf für die Beschaffung
- Datenfluss erfassen: Liste Felder, Ereignisse, Quellen, Zwecke und Empfänger auf. Markiere optionale Daten, die für den Versand nicht gebraucht werden.
- Unterlagen einholen: Sammle AVV, Unterauftragnehmerliste, Regionsauskunft, Transferinformationen, Löschbeschreibung und Sicherheitsnachweise.
- Rechte testen: Führe einen Test für Export, Korrektur und Löschung über Produkt, E-Mail-Plattform und angebundene Systeme durch.
- Dokumentation aktualisieren: Ergänze Verzeichnis, Datenflussübersicht und Aufbewahrungsplan mit Verantwortlichen und Prüftermin.
- Änderungen überwachen: Lege fest, wer Vertragsupdates, neue Unterauftragnehmer, neue Ereignisse und Regionswechsel bewertet.
Nächste Schritte
Wenn du jetzt Datenflüsse und Zweck deiner Nachrichten ordnest, helfen dir auch diese internen Leitfäden:
Häufige Fragen zu E-Mail-Verträgen
Wann brauche ich einen AVV mit einem E-Mail-Anbieter?
Wenn der Anbieter personenbezogene Daten in deinem Auftrag verarbeitet, gehört ein Vertrag zur Auftragsverarbeitung zur Prüfung. Ordne zuerst die tatsächlichen Zwecke und Rollen zu und gleiche anschließend den Vertrag mit den eingesetzten Produkten und Funktionen ab.
Was sollte ich bei Unterauftragsverarbeitern dokumentieren?
Halte Dienstleister, Verarbeitungsschritt, Verarbeitungsort und Vertragsbezug fest. Bewahre die passende Liste mit Datum auf und lege fest, wer Änderungen beobachtet und intern bewertet.
Reicht ein EU-Rechenzentrum für die Standortprüfung?
Nein, betrachte zusätzlich Backups, Supportzugriffe, Protokolle und weitere Dienstleister. Frage, welche Länder für deinen konkreten Account beteiligt sind und wie mögliche Drittlandtransfers abgesichert werden.
Wann spielen Standardvertragsklauseln eine Rolle?
Sie können ein Baustein für bestimmte Übermittlungen personenbezogener Daten in Drittländer sein. Erfasse Empfänger, Zweck, relevante Vertragsmodule und ergänzende Maßnahmen und lass die konkrete Transferbewertung prüfen.
Welche Einträge gehören ins Verzeichnis von Verarbeitungstätigkeiten?
Dokumentiere Zweck, betroffene Personen, Datenkategorien, Empfänger, Speicherfristen, Sicherheitsmaßnahmen und mögliche Transfers. Verknüpfe den Eintrag mit Datenfluss, Anbieter und AVV.
Wie lege ich Löschfristen für E-Mail-Daten fest?
Trenne Kontaktprofile, Ereignisse, Versandprotokolle und Sicherheitslogs. Lege je Kategorie Zweck, Löschtrigger, Frist und verantwortliches Team fest und teste die Umsetzung einschließlich verbundener Systeme.
Muss jede E-Mail-Integration eine DSFA erhalten?
Nicht automatisch. Prüfe das konkrete Risiko, besonders wenn umfangreiche Produktbeobachtung, sensible Zusammenhänge oder weitreichende Profilbildung stattfinden. Halte die Vorprüfung und ihre Gründe fest.
Welche Sicherheitsnachweise sollte ich vom Anbieter erbitten?
Frage nach passenden Prüfberichten oder Bescheinigungen, Zugriffskontrollen, Verschlüsselung, Vorfallmeldungen und Wiederherstellung. Achte auf Geltungsbereich, Region und Produktmodule des Nachweises.