Datenschutzerklärung

für hello-email.com und app.hello-email.com — Stand: August 2026

1. Verantwortlicher

Bergstein Media Ltd Arch. Makariou III 55, Flat 102 7550 Kiti, Zypern E-Mail: support@hello-email.com

Ein Datenschutzbeauftragter ist nicht bestellt, da die gesetzlichen Voraussetzungen des Art. 37 Abs. 1 DSGVO nicht vorliegen.

2. Ihre Rechte

Sie haben gegenüber uns folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten: Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO), Datenübertragbarkeit (Art. 20 DSGVO) sowie Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21 DSGVO). Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Zudem haben Sie das Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO); für uns zuständig ist der Commissioner for Personal Data Protection der Republik Zypern – Sie können sich aber auch an die Aufsichtsbehörde Ihres Aufenthaltsorts wenden.

Teil A – Website (hello-email.com)

3. Hosting und Auslieferung (Bunny CDN)

Unsere Website wird über das Content Delivery Network der BUNNYWAY d.o.o., Ljubljana, Slowenien (EU), ausgeliefert. Beim Aufruf werden technisch notwendige Server-Logdaten verarbeitet (IP-Adresse, Datum/Uhrzeit, aufgerufene Ressource, Browser-/Betriebssystemkennung, Referrer). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der sicheren, stabilen und performanten Bereitstellung der Website. Logdaten werden nach kurzer Frist gelöscht, soweit sie nicht zur Aufklärung von Angriffen benötigt werden. Mit Bunny besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.

4. Reichweitenmessung (Umami, self-hosted)

Wir nutzen die Analysesoftware Umami, die wir auf eigenen Servern in der EU betreiben. Umami arbeitet ohne Cookies und ohne Speicherung von oder Zugriff auf Informationen auf Ihrem Endgerät; IP-Adressen werden nicht dauerhaft gespeichert, die Auswertung erfolgt ausschließlich anonym und aggregiert. Eine Einwilligung nach § 25 Abs. 1 TDDDG ist daher nicht erforderlich. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der statistischen Auswertung der Websitenutzung). Sie können der Verarbeitung jederzeit widersprechen (Art. 21 DSGVO).

5. Support-Chat (Intercom, Click-to-Load)

Für den Support-Chat nutzen wir den Messenger der Intercom, Inc., San Francisco, USA. Der Messenger wird erst geladen, wenn Sie ihn aktiv anklicken; vorher werden keine Daten an Intercom übertragen und keine Cookies gesetzt. Mit dem Klick willigen Sie in das Laden und die damit verbundene Speicherung von Informationen auf Ihrem Endgerät ein (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO); für die Bearbeitung Ihrer Anfrage stützen wir uns zudem auf Art. 6 Abs. 1 lit. b und f DSGVO. Intercom ist unter dem EU-U.S. Data Privacy Framework zertifiziert (Angemessenheitsbeschluss, Art. 45 DSGVO); ein Auftragsverarbeitungsvertrag ist geschlossen.

6. Eingebettete Videos (YouTube und Loom, Zwei-Klick-Lösung)

Auf unserer Website sind Videos von YouTube (Google Ireland Ltd. / Google LLC, USA) und Loom (Atlassian, Inc., USA) eingebunden. Die Einbindung erfolgt als Zwei-Klick-Lösung: Zunächst sehen Sie nur ein lokal gehostetes Vorschaubild; erst mit Ihrem Klick wird das Video geladen und eine Verbindung zu den Servern des Anbieters hergestellt, der dann Cookies setzen bzw. auf Ihr Endgerät zugreifen kann. Rechtsgrundlage ist Ihre durch den Klick erteilte Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Google und Atlassian sind unter dem EU-U.S. Data Privacy Framework zertifiziert.

7. Demo-Buchung

Zur Buchung einer Demo verlinken wir auf einen externen Kalenderdienst (Proton AG, Schweiz). Mit dem Klick auf den Link verlassen Sie unsere Website; für die dortige Datenverarbeitung ist Proton verantwortlich. Für die Schweiz besteht ein Angemessenheitsbeschluss der EU-Kommission. Die im Rahmen der Terminvereinbarung mitgeteilten Daten verarbeiten wir zur Durchführung der Demo auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO.

Teil B – Software „Hello Email" (app.hello-email.com)

8. Registrierung und Login

Für die Nutzung der Software ist ein Konto erforderlich. Wir erheben hierfür Ihre E-Mail-Adresse sowie von Ihnen angegebene Unternehmensdaten. Der Login erfolgt passwortlos über einen an Ihre E-Mail-Adresse gesendeten Anmeldelink. Die Authentifizierung erfolgt über Firebase Authentication (Google Ireland Ltd. / Google LLC). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung). Für den Schutz von Anmeldevorgängen setzen wir Friendly Captcha (Friendly Captcha GmbH, Deutschland) ein, das ohne Tracking und ohne personenbezogene Profilbildung arbeitet (Art. 6 Abs. 1 lit. f DSGVO – Schutz vor missbräuchlicher Nutzung).

9. Vertrags- und Zahlungsdaten

Zur Abrechnung verarbeiten wir Vertrags-, Rechnungs- und Zahlungsdaten (Art. 6 Abs. 1 lit. b DSGVO). Verkäufer und Vertragspartner ist die Bergstein Media Ltd. Die Zahlungsabwicklung erfolgt über Stripe, Inc. (USA; DPF-zertifiziert) bzw. Mollie B.V. (Niederlande). Die Zahlungsdienstleister verarbeiten Ihre Zahlungsdaten insoweit in eigener Verantwortung. Rechnungs- und Buchhaltungsdaten bewahren wir zur Erfüllung gesetzlicher Aufbewahrungspflichten auf (Art. 6 Abs. 1 lit. c DSGVO).

10. Bereitstellung der Software; Infrastruktur

Zur Bereitstellung der Software setzen wir Auftragsverarbeiter nach Art. 28 DSGVO ein, insbesondere: Hetzner Online GmbH (Deutschland), UAB Space Hosting (Litauen), Google Cloud / Firebase (Google Ireland Ltd. / Google LLC), Amazon Web Services (AWS – Regionen Frankfurt und Irland, u. a. für den E-Mail-Versand über Amazon SES), Twilio Inc. / SendGrid (USA, E-Mail-Versand) sowie BUNNYWAY d.o.o. (Slowenien, Medienauslieferung). Soweit dabei Daten in die USA übermittelt werden, sind die Anbieter unter dem EU-U.S. Data Privacy Framework zertifiziert oder es sind Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO abgeschlossen. Eine aktuelle Liste unserer Subunternehmer finden Sie in Abschnitt 16 dieser Erklärung.

11. KI-Funktionen

Die Software erstellt E-Mail-Inhalte mithilfe generativer KI. Hierzu übermitteln wir die für die jeweilige Funktion erforderlichen Eingaben an folgende Modellanbieter: OpenAI (USA; DPF-zertifiziert), Google (USA/Irland; DPF-zertifiziert), Anthropic (USA; Standardvertragsklauseln), Replicate (USA; Standardvertragsklauseln), Luma AI (USA; Standardvertragsklauseln) sowie OpenRouter (USA; Standardvertragsklauseln, Zero-Data-Retention-Konfiguration). Nach den mit den Anbietern geschlossenen API-Verträgen werden übermittelte Inhalte von diesen nicht zum Training ihrer Modelle verwendet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, im Übrigen Art. 6 Abs. 1 lit. f DSGVO.

Eigenes Modelltraining: Zur Verbesserung unserer Software und KI-Funktionen verwenden wir ausschließlich anonymisierte und aggregierte Daten, aus denen kein Personenbezug (mehr) herstellbar ist. Personenbezogene Daten unserer Kunden oder der Empfänger unserer Kunden werden nicht für Trainingszwecke verwendet.

12. Verarbeitung im Auftrag unserer Kunden (Empfängerdaten)

Soweit unsere Kunden über die Software personenbezogene Daten ihrer eigenen Kunden und Newsletter-Empfänger verarbeiten (z. B. E-Mail-Adressen, Bestell- und Interaktionsdaten, u. a. über Anbindungen an Shopify und Klaviyo), handeln wir ausschließlich als Auftragsverarbeiter nach Art. 28 DSGVO auf Grundlage eines Auftragsverarbeitungsvertrags. Verantwortlicher ist der jeweilige Kunde (Shop-Betreiber). Betroffene wenden sich zur Ausübung ihrer Rechte bitte an den jeweiligen Shop; wir unterstützen unsere Kunden bei der Beantwortung.

13. Kommunikation und Bestandskundeninformationen

Wir senden Ihnen transaktionale E-Mails, die für die Vertragsdurchführung erforderlich sind (Art. 6 Abs. 1 lit. b DSGVO). Darüber hinaus informieren wir Bestandskunden per E-Mail über eigene ähnliche Produkte und Funktionen (Art. 6 Abs. 1 lit. f DSGVO); dem können Sie jederzeit widersprechen, z. B. über den Abmeldelink in jeder E-Mail, ohne dass hierfür andere als die Übermittlungskosten nach den Basistarifen entstehen.

14. Speicherdauer und Löschung

Wir speichern personenbezogene Daten nur so lange, wie es für die genannten Zwecke erforderlich ist. Bei Kündigung bzw. auf Ihren Löschantrag werden Kontodaten und in der Software gespeicherte Inhalte innerhalb von 30 Tagen aus den Produktivsystemen gelöscht. Zum Schutz vor Ransomware und Datenverlust führen wir unveränderliche Backups (Object Lock), die spätestens nach 12 Monaten automatisch gelöscht werden; eine Nutzung der Backup-Daten erfolgt ausschließlich zur Wiederherstellung, und im Wiederherstellungsfall werden zuvor gelöschte Daten erneut gelöscht. Gesetzliche Aufbewahrungspflichten (insbesondere für Rechnungsdaten) bleiben unberührt.

15. Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO, die Ihnen gegenüber rechtliche Wirkung entfaltet, findet nicht statt.

16. Liste der Unterauftragsverarbeiter (Subprozessoren)

Für die Erbringung unserer Leistungen setzen wir die nachfolgenden Unterauftragsverarbeiter im Sinne des Art. 28 Abs. 2 und 4 DSGVO ein. Soweit Anbieter personenbezogene Daten in den USA verarbeiten, erfolgt die Übermittlung auf Grundlage des Angemessenheitsbeschlusses zum EU-U.S. Data Privacy Framework („DPF", Art. 45 DSGVO) oder der Standardvertragsklauseln der EU-Kommission („SCC", Art. 46 Abs. 2 lit. c DSGVO).

Über die Aufnahme neuer oder den Austausch bestehender Unterauftragsverarbeiter informieren wir unsere Kunden mindestens 30 Tage im Voraus per E-Mail. Kunden können der Änderung aus wichtigem datenschutzrechtlichen Grund widersprechen; die Einzelheiten regelt der Auftragsverarbeitungsvertrag.