Datenschutzerklärung

für hello-email.com, app.hello-email.com, unseren YouTube-Kanal und unseren Podcast — Stand: November 2026

1. Verantwortlicher

Bergstein Media Ltd Arch. Makariou III 55, Flat 102 7550 Kiti, Zypern E-Mail: support@hello-email.com

Ein Datenschutzbeauftragter ist nicht bestellt, da die gesetzlichen Voraussetzungen des Art. 37 Abs. 1 DSGVO nicht vorliegen.

2. Ihre Rechte

Sie haben gegenüber uns folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten: Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO), Datenübertragbarkeit (Art. 20 DSGVO) sowie Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21 DSGVO). Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Zudem haben Sie das Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO); für uns zuständig ist der Commissioner for Personal Data Protection der Republik Zypern – Sie können sich aber auch an die Aufsichtsbehörde Ihres Aufenthaltsorts wenden.

2a. Unser YouTube-Kanal

Wir betreiben unter https://www.youtube.com/@hello-email-de einen YouTube-Kanal, auf dem wir Videos zu Hello Email veröffentlichen. Anbieter der Plattform YouTube ist für Nutzer im Europäischen Wirtschaftsraum und in der Schweiz die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland („Google“).

Verarbeitung durch Google. Wenn Sie unseren Kanal oder unsere Videos aufrufen, verarbeitet Google personenbezogene Daten, insbesondere Ihre IP-Adresse, Geräte- und Browserinformationen, Ihr Nutzungsverhalten und, falls Sie angemeldet sind, Daten Ihres Google-Kontos. Google setzt dabei Cookies und ähnliche Technologien ein und holt hierfür, soweit erforderlich, selbst Ihre Einwilligung ein. Auf diese Verarbeitung haben wir keinen Einfluss; Google verarbeitet die Daten insoweit in eigener Verantwortung und zu eigenen Zwecken. Daten können dabei auch an die Google LLC in den USA übermittelt werden; die Google LLC ist unter dem EU-U.S. Data Privacy Framework zertifiziert (Angemessenheitsbeschluss, Art. 45 DSGVO). Einzelheiten finden Sie in der Datenschutzerklärung von Google: https://policies.google.com/privacy

Statistiken (YouTube Analytics). Google stellt uns als Kanalbetreiber Statistiken zur Nutzung unseres Kanals bereit, etwa Aufrufzahlen, Wiedergabezeit, Abonnentenentwicklung, Herkunft der Zugriffe sowie die Verteilung der Zuschauer nach Altersgruppen, Geschlecht und Ländern. Diese Statistiken erhalten wir ausschließlich in zusammengefasster Form; Rückschlüsse auf einzelne Zuschauer sind uns daraus nicht möglich. Soweit Google Daten der Zuschauer auch zur Erstellung dieser Statistiken für uns verarbeitet, kann nach der Rechtsprechung des Gerichtshofs der Europäischen Union (Urteil vom 5. Juni 2018, C-210/16) eine gemeinsame Verantwortlichkeit von Google und uns nach Art. 26 DSGVO bestehen. Rechtsgrundlage für unsere Beteiligung ist unser berechtigtes Interesse, unser Angebot vorzustellen und die Reichweite unserer Videos auszuwerten (Art. 6 Abs. 1 lit. f DSGVO).

Kommentare und Interaktionen. Wenn Sie unsere Videos kommentieren, mit „Mag ich“ bewerten oder unseren Kanal abonnieren, sehen wir je nach Ihren YouTube-Einstellungen Ihren Kanalnamen, Ihr Profilbild und den Inhalt Ihres Kommentars. Kommentare sind öffentlich sichtbar. Wir verarbeiten diese Angaben nur innerhalb von YouTube, um auf Kommentare zu antworten und die Kommentarbereiche zu moderieren (Art. 6 Abs. 1 lit. f DSGVO); wir exportieren sie nicht und führen sie nicht mit den Daten unserer Kunden zusammen. Kommentare bleiben gespeichert, bis Sie oder wir sie löschen. Bitte nennen Sie in Kommentaren keine vertraulichen Angaben zu Ihrem Hello-Email-Konto; für Support-Anfragen nutzen Sie bitte unseren Support-Chat oder support@hello-email.com.

Ihre Rechte. Ihre Rechte nach Abschnitt 2 können Sie sowohl uns als auch Google gegenüber geltend machen. Da nur Google unmittelbaren Zugriff auf die Nutzerdaten hat, wenden Sie sich am wirksamsten direkt an Google; Anfragen, die uns erreichen, leiten wir bei Bedarf an Google weiter.

2b. Unser Podcast „Die E-Commerce Revolution“

Wir veröffentlichen den Podcast „Die E-Commerce Revolution“. Er ist über unsere Podcast-Website https://die-e-commerce-revolution.podigee.io/ sowie über Podcast-Apps und Plattformen wie Apple Podcasts und Spotify abrufbar.

Hosting über Podigee. Podcast und Podcast-Website werden bei der Podigee GmbH, Revaler Straße 28, 10245 Berlin, Deutschland, gehostet, die für uns als Auftragsverarbeiter tätig ist (Art. 28 DSGVO). Wenn Sie eine Folge abspielen oder herunterladen, den RSS-Feed abrufen oder die Podcast-Website besuchen, verarbeitet Podigee Ihre IP-Adresse, Datum und Uhrzeit des Abrufs, die abgerufene Datei oder Seite sowie Angaben zur verwendeten Podcast-App bzw. zum Browser (User-Agent). Ohne diese Daten können die Inhalte nicht an Ihr Gerät ausgeliefert werden. Aus den Abrufen erstellt Podigee für uns Statistiken, etwa die Zahl der Downloads und Streams je Folge. IP-Adressen werden dafür nur anonymisiert gespeichert; wir erhalten die Statistiken ausschließlich in zusammengefasster Form. Auf der Podcast-Website setzt Podigee ein Sitzungs-Cookie für den technischen Betrieb, das beim Schließen des Browsers gelöscht wird; Analyse-, Werbe- oder Tracking-Cookies setzen wir dort nicht ein. Rechtsgrundlage ist unser berechtigtes Interesse an der Bereitstellung unseres Podcasts und an der Messung seiner Reichweite (Art. 6 Abs. 1 lit. f DSGVO).

Podcast-Apps und Plattformen. Wenn Sie unseren Podcast über eine Podcast-App oder Plattform wie Apple Podcasts oder Spotify hören, verarbeitet deren Anbieter Ihre Daten in eigener Verantwortung nach seinen eigenen Datenschutzbestimmungen; darauf haben wir keinen Einfluss. Soweit eine Plattform uns Statistiken bereitstellt, erhalten wir diese ausschließlich in zusammengefasster Form. Soweit dabei eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO besteht, ist Rechtsgrundlage unser berechtigtes Interesse an der Reichweitenmessung (Art. 6 Abs. 1 lit. f DSGVO); Ihre Rechte nach Abschnitt 2 können Sie dann sowohl uns als auch der Plattform gegenüber geltend machen.

Gäste. Name, Stimme und Gesprächsbeiträge unserer Podcast-Gäste sowie die in den Shownotes genannten Angaben veröffentlichen wir mit deren Zustimmung (Art. 6 Abs. 1 lit. a DSGVO) bzw. auf Grundlage der mit ihnen getroffenen Vereinbarung (Art. 6 Abs. 1 lit. b DSGVO).

Kontakt. Anfragen zum Podcast können Sie an marketing@bergstein-media.com richten.

Teil A – Website (hello-email.com)

3. Hosting und Auslieferung (Bunny CDN)

Unsere Website wird über das Content Delivery Network der BUNNYWAY d.o.o., Ljubljana, Slowenien (EU), ausgeliefert. Beim Aufruf werden technisch notwendige Server-Logdaten verarbeitet (IP-Adresse, Datum/Uhrzeit, aufgerufene Ressource, Browser-/Betriebssystemkennung, Referrer). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der sicheren, stabilen und performanten Bereitstellung der Website. Logdaten werden nach kurzer Frist gelöscht, soweit sie nicht zur Aufklärung von Angriffen benötigt werden. Mit Bunny besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.

4. Reichweitenmessung (Umami, self-hosted)

Wir nutzen die Analysesoftware Umami, die wir auf eigenen Servern in der EU betreiben. Umami arbeitet ohne Cookies und ohne Speicherung von oder Zugriff auf Informationen auf Ihrem Endgerät; IP-Adressen werden nicht dauerhaft gespeichert, die Auswertung erfolgt ausschließlich anonym und aggregiert. Eine Einwilligung nach § 25 Abs. 1 TDDDG ist daher nicht erforderlich. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der statistischen Auswertung der Websitenutzung). Sie können der Verarbeitung jederzeit widersprechen (Art. 21 DSGVO).

5. Support-Chat (LibreDesk, self-hosted)

Für den Support-Chat auf unserer Website und in unserer Software (app.hello-email.com) nutzen wir die Open-Source-Software LibreDesk, die wir auf eigenen Servern bei Hetzner Online GmbH (Deutschland) betreiben. Ein externer Chat-Anbieter ist nicht beteiligt; Chat-Inhalte werden nicht an Dritte übermittelt. Mit dem Hosting-Anbieter besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.

Beim Aufruf unserer Website oder unserer Software wird der Chat-Button ausschließlich von unseren eigenen Servern geladen. Dabei werden keine Cookies gesetzt und keine Informationen in Ihrem Endgerät gespeichert oder ausgelesen; es fallen lediglich die in Ziffer 3 beschriebenen Server-Logdaten an.

Erst wenn Sie eine Nachricht im Chat absenden, setzen wir zwei technisch notwendige First-Party-Cookies („libredesk-session-…“ und „libredesk-visitor-…“). Sie dienen ausschließlich dazu, Ihre Konversation zuzuordnen, sie bei einem späteren Besuch fortsetzen zu können und Ihnen unbeantwortete Nachrichten bei Bedarf per E-Mail nachzusenden. Die Cookies haben eine Laufzeit von 30 Tagen. Da diese Speicherung für den von Ihnen ausdrücklich gewünschten Chat unbedingt erforderlich ist, ist hierfür keine Einwilligung erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Sind Sie in unserer Anwendung eingeloggt, wird der Chat beim Laden Ihrem Kundenkonto zugeordnet, damit wir Ihre Anfrage ohne erneute Identifizierung bearbeiten können; das Session-Cookie wird in diesem Fall bereits beim Öffnen der Anwendung gesetzt.

Im Chat verarbeiten wir die von Ihnen eingegebenen Nachrichten und Anhänge, freiwillige Angaben wie Name und E-Mail-Adresse, den Zeitpunkt der Nachricht und Ihre IP-Adresse sowie die Adressen und Titel der Seiten unserer Website oder unserer Software, die Sie während eines laufenden Chats aufrufen (höchstens die letzten 20 Seiten, Speicherung für 24 Stunden), damit unser Support-Team Ihre Frage besser einordnen kann. Hinterlassen Sie eine E-Mail-Adresse und verlassen den Chat, bevor unsere Antwort eintrifft, senden wir Ihnen die Antwort per E-Mail nach; Ihre E-Mail-Antwort wird derselben Konversation zugeordnet. Anfragen, die Sie per E-Mail an support@hello-email.com richten, bearbeiten wir im selben System. Unsere E-Mail-Postfächer, einschließlich support@hello-email.com, werden von der Proton AG, Route de la Galaise 32, 1228 Plan-les-Ouates, Schweiz, in unserem Auftrag betrieben (Art. 28 DSGVO); LibreDesk ruft eingehende E-Mails aus diesem Postfach ab und versendet unsere Antworten darüber. Proton speichert E-Mails verschlüsselt in Rechenzentren in der Schweiz, in Deutschland und in Norwegen. Für die Schweiz besteht ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bearbeitung Ihrer Anfrage im Rahmen des Vertrags oder der Vertragsanbahnung) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem effizienten und nachvollziehbaren Kundensupport). Chat-Verläufe löschen wir, sobald Ihre Anfrage abschließend bearbeitet ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen, spätestens jedoch 24 Monate nach der letzten Nachricht. Sie können die Cookies jederzeit über Ihren Browser löschen; die Konversation kann dann nicht mehr fortgesetzt werden.

6. Eingebettete Videos (YouTube und Loom, Zwei-Klick-Lösung)

Auf unserer Website sind Videos von YouTube (Google Ireland Ltd. / Google LLC, USA) und Loom (Atlassian, Inc., USA) eingebunden. Die Einbindung erfolgt als Zwei-Klick-Lösung: Zunächst sehen Sie nur ein lokal gehostetes Vorschaubild; erst mit Ihrem Klick wird das Video geladen und eine Verbindung zu den Servern des Anbieters hergestellt, der dann Cookies setzen bzw. auf Ihr Endgerät zugreifen kann. Rechtsgrundlage ist Ihre durch den Klick erteilte Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Google und Atlassian sind unter dem EU-U.S. Data Privacy Framework zertifiziert.

7. Google-Ads-Anbindung (Customer Match)

Sie können Ihr Google-Ads-Konto (Google Ireland Ltd. / Google LLC) mit der Software verknüpfen, um Ihre Empfängerlisten automatisiert als Kundenlisten (Customer Match) in Google Ads zu synchronisieren. Bei der Verknüpfung erteilen Sie uns über den Google-OAuth-Dialog Zugriff auf die Scopes https://www.googleapis.com/auth/adwords (Google-Ads-Konto verwalten) und https://www.googleapis.com/auth/datamanager (Google Data Manager API); darüber hinaus fordern wir keine weiteren Google-Berechtigungen an.

Für die Synchronisierung werden die E-Mail-Adressen der von Ihnen ausgewählten Empfänger bei uns SHA-256-gehasht und ausschließlich gehasht über eine verschlüsselte Verbindung an die Google Ads Data Manager API übermittelt. Wir übermitteln keine E-Mail-Adressen im Klartext. Google verwendet diese Daten, um die Empfänger in Ihrem Google-Ads-Konto Google-Konten zuzuordnen und die Kundenliste für Ihre Kampagnen bereitzustellen. Wir nutzen die erteilten Zugriffe ausschließlich für diesen Zweck.

An wen wir Google-Nutzerdaten weitergeben: Wir verkaufen Google-Nutzerdaten nicht und geben sie nicht an Dritte weiter, übertragen sie nicht an Dritte und legen sie Dritten nicht offen. Einziger Empfänger der gehashten Kundenlisten ist Ihr eigenes Google-Ads-Konto (Google Ireland Ltd. / Google LLC). Die OAuth-Zugriffs- und Aktualisierungstoken sowie die von Google abgerufenen Kontoinformationen (Google-Ads-Kundennummern und Kontonamen) werden ausschließlich auf unseren eigenen Systemen gespeichert, die von Google Cloud / Firebase (Google Ireland Ltd. / Google LLC) betrieben werden (siehe Ziffern 11 und 17); diese Anbieter verarbeiten die Daten allein in unserem Auftrag als Auftragsverarbeiter nach Art. 28 DSGVO und dürfen sie nicht für eigene Zwecke nutzen. Darüber hinaus legen wir Google-Nutzerdaten nur offen, soweit wir gesetzlich dazu verpflichtet sind oder dies zu Sicherheitszwecken (etwa zur Aufklärung von Missbrauch) erforderlich ist. Wir übertragen Google-Nutzerdaten nicht an Dritte und legen sie Dritten nicht offen für andere als die in diesem Abschnitt beschriebenen Zwecke.

Wie wir Google-Nutzerdaten schützen: Google-Nutzerdaten werden bei der Übertragung (TLS) und bei der Speicherung verschlüsselt. OAuth-Zugriffs- und Aktualisierungstoken werden verschlüsselt abgelegt; der Zugriff ist auf die technisch erforderlichen Systeme beschränkt. Unsere Mitarbeiter greifen auf diese Daten nicht zu, außer mit Ihrer ausdrücklichen Zustimmung zur Fehlerbehebung, zu Sicherheitszwecken oder soweit gesetzlich vorgeschrieben. Wir fordern nur die für diese Funktion minimal erforderlichen Berechtigungsumfänge an.

Speicherdauer und Löschung: Trennen Sie die Verknüpfung in der Software oder widerrufen Sie unseren Zugriff in Ihrem Google-Konto, löschen wir die Zugriffs- und Aktualisierungstoken unverzüglich und die abgerufenen Kontoinformationen innerhalb von 30 Tagen. Bei Beendigung Ihres Vertrags gilt Ziffer 15. Bereits in Google Ads angelegte Kundenlisten verbleiben in Ihrem Google-Ads-Konto und können dort von Ihnen gelöscht werden. Sie können die Löschung außerdem jederzeit per E-Mail an support@hello-email.com verlangen.

Limited Use: Wir nutzen Google-Nutzerdaten ausschließlich zur Bereitstellung der in diesem Abschnitt beschriebenen Customer-Match-Funktion. Wir nutzen sie nicht für eigene Werbung, nicht für Werbung Dritter, nicht zur Profilbildung, nicht zur Bonitätsprüfung und nicht zur Entwicklung, Verbesserung oder zum Training von KI- oder Machine-Learning-Modellen. Die Nutzung und Weitergabe der über Google-APIs erhaltenen Informationen durch Hello Email richtet sich nach der Google API Services User Data Policy einschließlich der Limited-Use-Anforderungen.

Rechtsgrundlage für die Verarbeitung Ihrer Verbindungs- und Kontodaten ist Art. 6 Abs. 1 lit. b DSGVO. Soweit wir die Empfängerdaten in Ihrem Auftrag an Google übermitteln, handeln wir als Auftragsverarbeiter (Art. 28 DSGVO); verantwortlich für die Einhaltung der Google-Ads-Richtlinien und für die datenschutzrechtliche Zulässigkeit der Nutzung von Customer Match (insbesondere die Einholung etwaig erforderlicher Einwilligungen Ihrer Empfänger) sind Sie als Kunde. Die Verknüpfung können Sie jederzeit in den Einstellungen der Software oder über Ihr Google-Konto widerrufen; bereits synchronisierte Kundenlisten können Sie in Google Ads löschen.

7a. Meta-Anbindungen (Custom Audiences, Lead Ads und Conversions API)

Sie können Ihr Meta-Unternehmenskonto über „Facebook Login for Business" mit der Software verbinden. Anbieter der Meta-Dienste in der EU ist die Meta Platforms Ireland Limited, Block J, Serpentine Avenue, Dublin 4, Irland („Meta"). Die Anbindung umfasst drei optionale Funktionen, die Sie jeweils gesondert aktivieren:

• Meta-Ads-Sync (Customer List Custom Audiences): Sie können von Ihnen ausgewählte Empfängersegmente aus der Software als Kundenlisten in Ihr eigenes Meta-Werbekonto synchronisieren, um sie dort als Zielgruppen für Ihre Kampagnen auf Facebook und Instagram zu nutzen.
• Lead-Ads-Integration: Kontakte, die eines Ihrer Meta-Lead-Formulare (Instant Forms) absenden, werden automatisch in Ihr Hello-Email-Konto übernommen.
• Conversions API: Käufe in Ihrem Shop und Anmeldungen über unsere Anmeldeformulare können als Ereignisse an Ihren Meta-Datensatz (Meta Pixel) übermittelt werden, damit Sie Ihre Meta-Kampagnen messen und optimieren können.

Auf welche Daten wir zugreifen: Beim Verbinden erteilen Sie uns über den Meta-Autorisierungsdialog die folgenden Berechtigungen: ads_management, ads_read, business_management, leads_retrieval, pages_manage_ads, pages_manage_metadata, pages_read_engagement, pages_show_list. Weitere Meta-Berechtigungen fordern wir nicht an. Auf dieser Grundlage verarbeiten wir folgende Daten aus Ihrem Meta-Konto („Meta-Plattformdaten"): die von Meta ausgestellten Zugriffstoken, die app-bezogene Nutzer-ID der Person, die die Verbindung herstellt, sowie die IDs und Namen der von Ihnen ausgewählten Business-Portfolios, Werbekonten, Facebook-Seiten und Lead-Formulare.

Meta-Ads-Sync: Für die Synchronisierung werden die E-Mail-Adressen der Empfänger in den von Ihnen ausgewählten Segmenten auf unserer Seite normalisiert und mit SHA-256 gehasht und ausschließlich in gehashter Form über eine verschlüsselte Verbindung über die Meta Marketing API an Ihr Werbekonto übermittelt. Eine Übermittlung dieser Kennungen im Klartext findet nicht statt. Meta nutzt diese Daten, um die Empfänger mit Meta-Konten abzugleichen und die Zielgruppe zu erstellen. Nach den Customer List Custom Audiences Terms von Meta handelt die Meta Platforms Ireland Limited dabei als Ihr Auftragsverarbeiter und löscht die hochgeladenen Kundenlistendaten nach Abschluss des Abgleichs, sofern Sie keine optionalen Funktionen von Meta wählen. Bitte beachten Sie, dass Kontakte, die sich abmelden oder in der Software gelöscht werden, nicht automatisch aus bereits in Meta erstellten Zielgruppen entfernt werden; Sie können sie dort entfernen oder die Zielgruppe im Meta-Werbeanzeigenmanager löschen.

Lead-Ads-Integration: Sendet eine Person eines Ihrer Lead-Formulare ab, benachrichtigt uns Meta, und wir rufen die übermittelten Daten in Ihrem Auftrag über die Meta Graph API ab: die in Ihrem Formular abgefragten Angaben (z. B. Name, E-Mail-Adresse, Telefonnummer, Antworten auf Ihre eigenen Fragen und gegebenenfalls angekreuzte Einwilligungs-Checkboxen), den Zeitpunkt des Absendens sowie die IDs von Formular, Anzeige, Kampagne und Seite. Wir speichern diese Daten als Kontakt in Ihrem Hello-Email-Konto. Welche Daten Ihr Lead-Formular erhebt, legen Sie fest. Als Verantwortlicher sind Sie dafür verantwortlich, die betroffenen Personen zu informieren (insbesondere durch einen Link auf Ihre Datenschutzerklärung im Lead-Formular) und eine für E-Mail-Werbung erforderliche Einwilligung einzuholen.

Conversions API (Kauf- und Anmelde-Ereignisse): Aktivieren Sie diese Funktion, übermitteln wir die folgenden Ereignisse serverseitig über die Meta Conversions API an den von Ihnen ausgewählten Meta-Datensatz (Meta Pixel): Käufe in Ihrem Shop (Ereignis „Purchase“) und Anmeldungen über unsere Anmeldeformulare (Ereignis „Lead“). Jedes Ereignis enthält den Ereignisnamen, den Zeitpunkt und eine Ereignis-ID; Kauf-Ereignisse enthalten zusätzlich Bestellwert, Währung, Bestellnummer sowie IDs und Anzahl der gekauften Produkte. Damit Meta das Ereignis einem Meta-Konto zuordnen kann, übermitteln wir außerdem die E-Mail-Adressen der betroffenen Personen, die wir vor der Übermittlung normalisieren und mit SHA-256 hashen. Zusätzlich übermitteln wir die Meta-Lead-ID („lead_id“) bei Personen, die über ein Meta-Lead-Formular erfasst wurden; diese Kennung wird nach den Vorgaben von Meta ungehasht übermittelt. Ob und welche Ereignisse übermittelt werden, legen Sie in den Einstellungen fest. Meta nutzt die Ereignisse, um Ihre Kampagnen zu messen, Conversions Ihren Anzeigen zuzuordnen und die Ausrichtung und Auslieferung Ihrer Anzeigen zu optimieren.

Rollen und Rechtsgrundlage: Die Daten aus Ihrem Meta-Konto verarbeiten wir zur Bereitstellung der Anbindung auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO und, soweit die verbindende Person nicht unser Vertragspartner ist, auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse an der Bereitstellung der von unserem Kunden gewünschten Anbindung). Soweit wir in Ihrem Auftrag Empfängerdaten an Meta übermitteln oder Lead-Daten bei Meta abrufen, handeln wir als Ihr Auftragsverarbeiter (Art. 28 DSGVO; siehe Ziffer 13); Verantwortlicher sind Sie als Kunde. Meta wird Ihnen gegenüber auf Grundlage Ihrer eigenen Vereinbarungen mit Meta tätig (für Kundenlisten als Ihr Auftragsverarbeiter nach den Customer List Custom Audiences Terms, für Lead-Formulare nach den Lead Ad Terms von Meta, für die Conversions API nach den Business Tools Terms von Meta). Für über die Conversions API übermittelte Ereignisse handelt Meta beim Abgleich und bei der Messung als Ihr Auftragsverarbeiter; für die Erhebung und Übermittlung der Ereignisdaten zur Ausrichtung und Auslieferung von Anzeigen sind Sie und Meta gemeinsam Verantwortliche (Art. 26 DSGVO, Controller Addendum von Meta), für die anschließende Verarbeitung ist Meta eigenständig Verantwortlicher. Als Verantwortlicher müssen Sie sicherstellen, dass für die Übermittlung der Ereignisse an Meta eine Rechtsgrundlage besteht; nach Auffassung der deutschen Datenschutz-Aufsichtsbehörden ist hierfür in aller Regel eine Einwilligung der betroffenen Personen erforderlich. Meta ist daher kein Unterauftragsverarbeiter von uns (siehe Ziffer 17).

An wen wir Meta-Plattformdaten weitergeben: Wir verkaufen Meta-Plattformdaten und Lead-Daten nicht und geben sie nicht an Dritte weiter, übertragen sie nicht an Dritte und legen sie Dritten nicht offen, mit folgenden Ausnahmen: (a) die gehashten Kundenlisten und die Ereignisse, die wir auf Ihre Weisung an Ihr eigenes Meta-Werbekonto bzw. Ihren eigenen Meta-Datensatz übermitteln; (b) die Auftragsverarbeiter, die unsere Systeme in unserem Auftrag betreiben: Zugriffstoken und Kontoinformationen werden ausschließlich auf unseren eigenen Systemen gespeichert, die von Google Cloud / Firebase (Google Ireland Ltd. / Google LLC) betrieben werden, und Lead-Daten werden wie Ihre übrigen Kontaktdaten in unserer Infrastruktur gespeichert (siehe Ziffern 11 und 17); diese Anbieter verarbeiten die Daten allein in unserem Auftrag nach Art. 28 DSGVO und dürfen sie nicht für eigene Zwecke nutzen; (c) soweit wir gesetzlich zur Offenlegung verpflichtet sind. Daten, die wir für einen Kunden über Meta erhalten, werden getrennt von den Daten anderer Kunden gespeichert und niemals mit Daten anderer Kunden zusammengeführt. Verlangt Meta dies nach seinen Platform Terms, teilen wir Meta Namen und Kontaktdaten der Kunden mit, die die Meta-Anbindungen nutzen (Art. 6 Abs. 1 lit. b und f DSGVO).

Wie wir diese Daten schützen: Meta-Plattformdaten und Lead-Daten werden bei der Übertragung (TLS) und bei der Speicherung verschlüsselt. Zugriffstoken werden verschlüsselt abgelegt; der Zugriff ist auf die technisch erforderlichen Systeme beschränkt. Unsere Mitarbeiter greifen auf diese Daten nicht zu, außer mit Ihrer ausdrücklichen Zustimmung zur Fehlerbehebung, zu Sicherheitszwecken oder soweit gesetzlich vorgeschrieben. Wir fordern nur die für diese Funktionen erforderlichen Berechtigungen an.

Keine anderweitige Nutzung: Über Meta-Schnittstellen erhaltene Daten verwenden wir ausschließlich, um die in diesem Abschnitt beschriebenen Funktionen in Ihrem Auftrag bereitzustellen. Wir nutzen sie nicht für eigene Werbung oder Werbung Dritter, nicht für Profiling und nicht für Entscheidungen über die Eignung von Personen (z. B. Kreditwürdigkeit), und wir verwenden sie auch nicht in anonymisierter oder aggregierter Form, um KI- oder Machine-Learning-Modelle zu entwickeln, zu verbessern oder zu trainieren. Die für unser eigenes Modelltraining genutzten anonymisierten Daten (siehe Ziffer 12) umfassen keine über Meta erhaltenen Daten.

Speicherdauer und Löschung; so beantragen Sie die Löschung:

• Sie können die Anbindung jederzeit in den Einstellungen der Software trennen oder Hello Email in den Einstellungen Ihres Facebook-Kontos unter „Business-Integrationen" bzw. „Apps und Websites" entfernen. Wir löschen dann die Zugriffstoken sofort und die von Meta abgerufenen Kontoinformationen innerhalb von 30 Tagen.
• Bereits übernommene Lead-Daten sind Teil Ihrer Kontakte in Hello Email. Einzelne Kontakte können Sie jederzeit in der Software löschen; im Übrigen gilt Ziffer 15.
• Bereits in Meta erstellte Kundenlisten verbleiben in Ihrem Meta-Werbekonto und können dort von Ihnen gelöscht werden.
• Bereits über die Conversions API übermittelte Ereignisse verarbeitet Meta nach seinen Bedingungen; wir können sie bei Meta nicht löschen. Sie können die Übermittlung jederzeit beenden, indem Sie die Funktion deaktivieren.
• Sie können die Löschung aller Daten, die wir über Meta erhalten haben, jederzeit per E-Mail an support@hello-email.com mit dem Betreff „Meta data deletion" verlangen. Wir führen die Löschung innerhalb von 30 Tagen durch und bestätigen sie Ihnen.
• Beantragen Sie die Löschung Ihrer Daten über Ihre Facebook-Einstellungen („Apps und Websites"), benachrichtigt uns Meta automatisch. Wir leiten dann die Löschung ein und stellen Ihnen einen Bestätigungscode und einen Link bereit, unter dem Sie den Stand Ihres Antrags einsehen können.
• Haben Sie Ihre Daten über ein Lead-Formular eines unserer Kunden übermittelt, ist dieser Kunde (das Unternehmen, dessen Formular Sie ausgefüllt haben) Verantwortlicher. Bitte richten Sie Ihre Anfragen an dieses Unternehmen; bei uns eingehende Anfragen leiten wir unverzüglich weiter.

Sicherheitslücken melden: Sicherheitslücken in Hello Email können Sie jederzeit an support@hello-email.com melden (Betreff: „Security").

8. Demo-Buchung und Videokonferenzen (Proton Calendar, Proton Meet)

Zur Buchung einer Demo verlinken wir auf eine Terminbuchungsseite des Kalenderdienstes Proton Calendar der Proton AG, Route de la Galaise 32, 1228 Plan-les-Ouates, Schweiz. Mit dem Klick auf den Link verlassen Sie unsere Website. Die bei der Buchung eingegebenen Daten (Name, E-Mail-Adresse, gewählter Termin, optionale Nachricht) verarbeitet Proton in unserem Auftrag (Art. 28 DSGVO); für die beim Aufruf der Buchungsseite anfallenden technischen Zugriffsdaten (z. B. IP-Adresse) gilt ergänzend die Datenschutzerklärung von Proton.

Die Demo sowie sonstige Online-Termine (z. B. Onboarding- und Support-Gespräche) führen wir als Videokonferenz über Proton Meet durch. Sie können ohne eigenes Proton-Konto über den Ihnen zugesandten Link teilnehmen. Verarbeitet werden der von Ihnen gewählte Anzeigename, Ihre Audio- und Videodaten, Bildschirmfreigaben und Chat-Nachrichten sowie technische Verbindungsdaten (z. B. IP-Adresse, Zeitpunkt und Dauer der Teilnahme). Die Inhalte der Videokonferenz (Audio, Video, Bildschirmfreigaben, Chat) sind Ende-zu-Ende verschlüsselt; Proton hat nach eigenen Angaben keinen Zugriff darauf. Wir zeichnen Videokonferenzen nicht auf.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung des von Ihnen angefragten Termins bzw. Vertragsanbahnung), im Übrigen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer sicheren und effizienten Kommunikation). Proton speichert Daten in Rechenzentren in der Schweiz, in Deutschland und in Norwegen; für die Schweiz besteht ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO). Termindaten löschen wir, sobald sie für die Durchführung und Nachbereitung des Termins nicht mehr erforderlich sind (siehe Ziffer 15).

Teil B – Software „Hello Email" (app.hello-email.com)

9. Registrierung und Login

Für die Nutzung der Software ist ein Konto erforderlich. Wir erheben hierfür Ihre E-Mail-Adresse sowie von Ihnen angegebene Unternehmensdaten. Der Login erfolgt passwortlos über einen an Ihre E-Mail-Adresse gesendeten Anmeldelink. Die Authentifizierung erfolgt über Firebase Authentication (Google Ireland Ltd. / Google LLC). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung).

Zum Schutz der Anmeldeseite vor automatisierten Zugriffen (Bots) setzen wir Friendly Captcha der Friendly Captcha GmbH, Am Anger 3-5, 82237 Wörthsee, Deutschland, als Auftragsverarbeiter ein (Art. 28 DSGVO). Friendly Captcha stellt Ihrem Browser eine Rechenaufgabe, die im Hintergrund gelöst wird; eine Interaktion Ihrerseits ist in der Regel nicht erforderlich. Dabei werden Ihre IP-Adresse, technische Angaben zu Browser und Endgerät (z. B. Browsertyp, Sprache, Bildschirmauflösung), Interaktionsdaten auf der Anmeldeseite sowie die Lösung der Rechenaufgabe an Friendly Captcha übermittelt und ausgewertet, um zu beurteilen, ob es sich um einen menschlichen Nutzer handelt. Friendly Captcha setzt keine Cookies, speichert keine Daten dauerhaft in Ihrem Browser, anonymisiert IP-Adressen vor der Speicherung durch Einweg-Hashing und nutzt die Daten weder zur Identifizierung von Personen noch zu Werbezwecken. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im Schutz unserer Systeme und der Konten unserer Kunden vor Missbrauch. Soweit hierfür auf Informationen in Ihrem Endgerät zugegriffen wird, ist dies für die Bereitstellung des von Ihnen angeforderten Anmeldevorgangs unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Friendly Captcha betreibt eine weltweit verteilte Serverinfrastruktur; abhängig von Ihrem Standort kann Ihre Anfrage von einem Server außerhalb des EWR beantwortet werden. Übermittlungen an Unterauftragsverarbeiter von Friendly Captcha außerhalb des EWR sind durch Standardvertragsklauseln der EU-Kommission abgesichert (Art. 46 Abs. 2 lit. c DSGVO).

10. Vertrags- und Zahlungsdaten

Zur Abrechnung verarbeiten wir Vertrags-, Rechnungs- und Zahlungsdaten (Art. 6 Abs. 1 lit. b DSGVO). Verkäufer und Vertragspartner ist die Bergstein Media Ltd. Die Zahlungsabwicklung erfolgt über Stripe (Stripe Payments Europe, Ltd., Dublin, Irland; Datenübermittlung an Stripe, LLC, USA) bzw. Mollie (Mollie B.V., Amsterdam, Niederlande). Zur Zahlung werden Sie auf eine von Stripe bzw. Mollie betriebene Bezahlseite weitergeleitet; vollständige Karten- oder Kontodaten erhalten und speichern wir selbst nicht. Für die eigentliche Zahlungsabwicklung, die Betrugsprävention und die Erfüllung ihrer aufsichtsrechtlichen Pflichten (z. B. Geldwäscheprävention) verarbeiten beide Zahlungsdienstleister Ihre Zahlungsdaten als eigenständig Verantwortliche; insoweit gelten deren Datenschutzhinweise. Soweit Stripe darüber hinaus in unserem Auftrag Kunden-, Abonnement- und Rechnungsdaten (z. B. Name, E-Mail-Adresse, Rechnungsadresse, Abonnementstatus, Zahlungshistorie) speichert und verwaltet, handelt Stripe als Auftragsverarbeiter (Art. 28 DSGVO) auf Grundlage des Stripe Data Processing Agreement. Die damit verbundene Übermittlung in die USA ist durch die Zertifizierung von Stripe, LLC unter dem EU-U.S. Data Privacy Framework abgesichert (Art. 45 DSGVO). Mollie handelt ausschließlich als eigenständig Verantwortlicher. Rechnungs- und Buchhaltungsdaten bewahren wir zur Erfüllung gesetzlicher Aufbewahrungspflichten auf (Art. 6 Abs. 1 lit. c DSGVO).

11. Bereitstellung der Software; Infrastruktur

Zur Bereitstellung der Software setzen wir Auftragsverarbeiter nach Art. 28 DSGVO ein, insbesondere: Hetzner Online GmbH (Deutschland), UAB Space Hosting (Litauen), Google Cloud / Firebase (Google Ireland Ltd. / Google LLC), Amazon Web Services (AWS – Regionen Frankfurt und Irland, u. a. für den E-Mail-Versand über Amazon SES), Twilio Inc. / SendGrid (USA, E-Mail-Versand) sowie BUNNYWAY d.o.o. (Slowenien, Medienauslieferung). Soweit dabei Daten in die USA übermittelt werden, sind die Anbieter unter dem EU-U.S. Data Privacy Framework zertifiziert oder es sind Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO abgeschlossen. Eine aktuelle Liste unserer Subunternehmer finden Sie in Abschnitt 17 dieser Erklärung.

12. KI-Funktionen

Die Software erstellt E-Mail-Inhalte mithilfe generativer KI. Hierzu übermitteln wir die für die jeweilige Funktion erforderlichen Eingaben an folgende Modellanbieter: OpenAI (USA; DPF-zertifiziert), Google (USA/Irland; DPF-zertifiziert), Anthropic (USA; Standardvertragsklauseln) sowie OpenRouter (USA; Standardvertragsklauseln, Zero-Data-Retention-Konfiguration). Nach den mit den Anbietern geschlossenen API-Verträgen werden übermittelte Inhalte von diesen nicht zum Training ihrer Modelle verwendet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, im Übrigen Art. 6 Abs. 1 lit. f DSGVO.

Spracheingabe (Speech-to-Text): Sie können Ihre Eingaben für die KI-Funktionen auch als Sprachnachricht einsprechen, statt sie zu tippen. Der Zugriff auf das Mikrofon Ihres Endgeräts erfolgt ausschließlich nach Ihrer ausdrücklichen Freigabe im Browser und nur für die Dauer der von Ihnen gestarteten Aufnahme; er ist für die Bereitstellung der von Ihnen ausdrücklich angeforderten Funktion unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Die Aufnahme wird verschlüsselt an unsere Server und von dort an den Speech-to-Text-Dienst von ElevenLabs (Eleven Labs Inc., 169 Madison Ave #2484, New York, NY 10016, USA) übermittelt und dort in Text umgewandelt (Transkription). Der so erzeugte Text wird anschließend wie eine getippte Eingabe verarbeitet (siehe oben). Verarbeitet werden die Audioaufnahme Ihrer Stimme, der gesprochene Inhalt sowie technische Angaben zur Anfrage (z. B. Zeitpunkt, Sprache und Dauer der Aufnahme). Bitte nennen Sie in Sprachnachrichten keine personenbezogenen Daten Dritter, soweit dies für die gewünschte Funktion nicht erforderlich ist. Weder wir noch ElevenLabs werten Ihre Stimme aus, um Sie zu identifizieren; es werden keine Stimmprofile erstellt und keine biometrischen Daten zur eindeutigen Identifizierung einer Person (Art. 9 DSGVO) verarbeitet. ElevenLabs verarbeitet die Daten als unser Auftragsverarbeiter (Art. 28 DSGVO) auf Grundlage eines Auftragsverarbeitungsvertrags und nutzt übermittelte Aufnahmen und Transkripte nicht zum Training seiner Modelle. Die Audioaufnahme wird auf unseren Systemen nur für die Dauer der Übermittlung und Transkription vorgehalten und anschließend unverzüglich gelöscht; gespeichert bleibt nur der erzeugte Text als Teil Ihrer Inhalte in der Software (siehe Ziffer 15). Das bei ElevenLabs erzeugte Transkript löschen wir dort unmittelbar nach dem Abruf über die dafür vorgesehene Schnittstelle. Die Verarbeitung durch ElevenLabs erfolgt in den USA; Eleven Labs Inc. ist unter dem EU-U.S. Data Privacy Framework zertifiziert, sodass die Übermittlung auf dem Angemessenheitsbeschluss der EU-Kommission beruht (Art. 45 DSGVO). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Soweit Sie in Ihren Sprachnachrichten personenbezogene Daten Ihrer eigenen Kunden oder Empfänger nennen, verarbeiten wir diese in Ihrem Auftrag (siehe Ziffer 13); ElevenLabs ist insoweit unser Unterauftragsverarbeiter (siehe Ziffer 17).

Eigenes Modelltraining: Zur Verbesserung unserer Software und KI-Funktionen verwenden wir ausschließlich anonymisierte und aggregierte Daten, aus denen kein Personenbezug (mehr) herstellbar ist. Personenbezogene Daten unserer Kunden oder der Empfänger unserer Kunden werden nicht für Trainingszwecke verwendet.

13. Verarbeitung im Auftrag unserer Kunden (Empfängerdaten)

Soweit unsere Kunden über die Software personenbezogene Daten ihrer eigenen Kunden und Newsletter-Empfänger verarbeiten (z. B. E-Mail-Adressen, Bestell- und Interaktionsdaten, u. a. über Anbindungen an Shopify, Klaviyo und Meta Lead Ads; siehe auch Ziffern 7 und 7a), handeln wir ausschließlich als Auftragsverarbeiter nach Art. 28 DSGVO auf Grundlage eines Auftragsverarbeitungsvertrags. Verantwortlicher ist der jeweilige Kunde (Shop-Betreiber). Betroffene wenden sich zur Ausübung ihrer Rechte bitte an den jeweiligen Shop; wir unterstützen unsere Kunden bei der Beantwortung.

14. Kommunikation und Bestandskundeninformationen

Wir senden Ihnen transaktionale E-Mails, die für die Vertragsdurchführung erforderlich sind (Art. 6 Abs. 1 lit. b DSGVO). Darüber hinaus informieren wir Bestandskunden per E-Mail über eigene ähnliche Produkte und Funktionen (Art. 6 Abs. 1 lit. f DSGVO); dem können Sie jederzeit widersprechen, z. B. über den Abmeldelink in jeder E-Mail, ohne dass hierfür andere als die Übermittlungskosten nach den Basistarifen entstehen.

E-Mail-Korrespondenz: Für unsere geschäftliche E-Mail-Kommunikation (z. B. Vertrags-, Rechnungs- und Supportkorrespondenz) nutzen wir den E-Mail-Dienst der Proton AG, Route de la Galaise 32, 1228 Plan-les-Ouates, Schweiz, als Auftragsverarbeiter (Art. 28 DSGVO). E-Mails werden dort verschlüsselt gespeichert; die Rechenzentren befinden sich in der Schweiz, in Deutschland und in Norwegen. Für die Schweiz besteht ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer sicheren und effizienten Geschäftskommunikation).

15. Speicherdauer und Löschung

Wir speichern personenbezogene Daten nur so lange, wie es für die genannten Zwecke erforderlich ist. Bei Kündigung bzw. auf Ihren Löschantrag werden Kontodaten und in der Software gespeicherte Inhalte innerhalb von 30 Tagen aus den Produktivsystemen gelöscht. Zum Schutz vor Ransomware und Datenverlust führen wir unveränderliche Backups (Object Lock), die spätestens nach 12 Monaten automatisch gelöscht werden; eine Nutzung der Backup-Daten erfolgt ausschließlich zur Wiederherstellung, und im Wiederherstellungsfall werden zuvor gelöschte Daten erneut gelöscht. Gesetzliche Aufbewahrungspflichten (insbesondere für Rechnungsdaten) bleiben unberührt.

16. Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO, die Ihnen gegenüber rechtliche Wirkung entfaltet, findet nicht statt.

17. Liste der Unterauftragsverarbeiter (Subprozessoren)

Für die Erbringung unserer Leistungen setzen wir die nachfolgenden Unterauftragsverarbeiter im Sinne des Art. 28 Abs. 2 und 4 DSGVO ein. Soweit Anbieter personenbezogene Daten in den USA verarbeiten, erfolgt die Übermittlung auf Grundlage des Angemessenheitsbeschlusses zum EU-U.S. Data Privacy Framework („DPF", Art. 45 DSGVO) oder der Standardvertragsklauseln der EU-Kommission („SCC", Art. 46 Abs. 2 lit. c DSGVO). Soweit Anbieter personenbezogene Daten in der Schweiz verarbeiten, erfolgt die Übermittlung auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission für die Schweiz („AB Schweiz", Art. 45 DSGVO).

Keine Unterauftragsverarbeiter: Anbindungen an Ihre eigenen Konten. Verbinden Sie Ihre eigenen Konten bei Drittplattformen, insbesondere Google Ads (Google Ireland Ltd. / Google LLC; Customer Match, siehe Ziffer 7) und Meta (Meta Platforms Ireland Limited; Custom Audiences, Lead Ads und Conversions API, siehe Ziffer 7a), übermitteln wir Daten auf Ihre Weisung an diese Plattformen oder rufen Daten bei ihnen ab. Diese Anbieter werden auf Grundlage Ihrer eigenen Vereinbarungen mit ihnen tätig und sind keine Unterauftragsverarbeiter von uns.

Über die Aufnahme neuer oder den Austausch bestehender Unterauftragsverarbeiter informieren wir unsere Kunden mindestens 30 Tage im Voraus per E-Mail. Kunden können der Änderung aus wichtigem datenschutzrechtlichen Grund widersprechen; die Einzelheiten regelt der Auftragsverarbeitungsvertrag.