Nutzungsbedingungen für Mailingbid für Agenturen
Zum Speichern oder Drucken: Seite drucken und als PDF sichern. Der Text steht auch als gewöhnliche Webseite zum Lesen und Kopieren bereit.
Nutzungsbedingungen
1. Geltungsbereich und Vertragspartner
1.1 Diese Nutzungsbedingungen regeln die Nutzung von Mailingbid für Agenturen, einem Werkzeug unter mailingbid.com, mit dem Unternehmen Mailing-Ausschreibungen an ihre eigenen Lieferanten verschicken, Angebote sammeln, vergleichen und vergeben (Punkt 5). Anbieter ist Christoph Salat, Einzelunternehmer (salat.tech), Sieveringer Straße 94/10, 1190 Wien, Österreich, UID ATU72024025 („Mailingbid“, „wir“).
1.2 Vertragspartner ist die Organisation, die sich registriert, etwa eine Fundraising- oder Dialogagentur, eine gemeinnützige Organisation oder ein anderes Unternehmen („Agentur“).
1.3 Für den Mailingbid-Marktplatz, über den Auftraggeber Angebote von Druckereien und Lettershops anfragen, die Mailingbid auswählt, gelten diese Nutzungsbedingungen nicht, und Bedingungen des Marktplatzes gelten nicht für Mailingbid für Agenturen. Ausschreibungen einer Agentur sind keine Anfragen des Marktplatzes.
1.4 Bestandteil des Nutzungsvertrags ist der Auftragsverarbeitungsvertrag nach Punkt 16.7. Bei Widersprüchen gelten in dieser Reihenfolge: eine ausdrückliche Einzelvereinbarung in Textform, für die Verarbeitung personenbezogener Daten im Auftrag der Agentur der Auftragsverarbeitungsvertrag, dann diese Nutzungsbedingungen. Für die Haftung gilt allein Punkt 19.
1.5 Es gelten ausschließlich diese Nutzungsbedingungen. Allgemeine Geschäftsbedingungen oder Einkaufsbedingungen der Agentur gelten nicht, auch wenn wir ihnen nicht ausdrücklich widersprechen.
2. Begriffe
2.1 Nutzungsvertrag ist der Vertrag zwischen Mailingbid und der Agentur über die Nutzung des Arbeitsbereichs. Er entsteht mit der Registrierung (Punkt 4.2), besteht unabhängig von einem Abo und endet nach Punkt 11.8, 13.1, 16a.3 oder 20.3 oder nach Ziffer 9.2 oder 9.3 des Auftragsverarbeitungsvertrags.
2.2 Abo ist das kostenpflichtige Abonnement eines Tarifs (Punkt 7) innerhalb des Nutzungsvertrags. Es entsteht nach Punkt 4.4 und endet nach Punkt 8.3, 9.6, 11.2 mit 11.5, 11.7, 13.1, 16a.3 oder 20.3 oder nach Ziffer 9.2 oder 9.3 des Auftragsverarbeitungsvertrags; mit dem Nutzungsvertrag endet immer auch das Abo. Abrechnungszeitraum ist ein Monat oder ein Jahr, je nach gewählter Zahlungsweise. Testphase ist der Zeitraum nach Punkt 8.
2.3 Arbeitsbereich ist der angemeldete Bereich von Mailingbid für Agenturen. Mitglied ist eine Person, die mit ihrem Konto zur Agentur gehört. Inhaber sind Mitglieder mit erweiterten Rechten (Punkt 14.3); bei der Registrierung ist das die Person, die sich registriert.
2.4 Lieferant ist ein Unternehmen, das die Agentur in ihre Lieferantenliste einträgt, etwa ein Lettershop oder eine Druckerei. Kontakt ist eine Person beim Lieferanten, die die Agentur mit E-Mail-Adresse einträgt.
2.5 Ausschreibung ist die Beschreibung eines Mailings, zu dem die Agentur Angebote einholt, mit Teilen, Ländern, Mengen, Terminen, Leistungen und Dateien. Einladung ist die Aufforderung an einen Lieferanten, zu einer Ausschreibung ein Angebot abzugeben. Vergabe ist die Auswahl eines oder mehrerer Angebote durch die Agentur im Arbeitsbereich.
2.6 Schnittstelle ist der Zugang zu Mailingbid für Agenturen für die Software der Agentur mit einem Organisationsschlüssel; Webhooks sind Nachrichten, die wir an Adressen senden, die die Agentur einträgt (Punkt 15).
2.7 Textform ist eine lesbare Erklärung auf einem dauerhaften Datenträger, insbesondere eine E-Mail.
3. Nur für Unternehmer
3.1 Mailingbid für Agenturen richtet sich ausschließlich an Unternehmer im Sinne des § 1 Konsumentenschutzgesetz, dazu gehören auch gemeinnützige Organisationen und Vereine, soweit sie ein Unternehmen betreiben. Verbraucher dürfen Mailingbid für Agenturen nicht nutzen.
3.2 Wer sich registriert, bestätigt ausdrücklich, dass er den Vertrag für ein Unternehmen oder eine Organisation schließt, die ihre wirtschaftliche Tätigkeit bereits aufgenommen hat, nicht für private Zwecke und nicht zur Vorbereitung einer erst geplanten Tätigkeit, und dass er sie vertreten darf.
4. Registrierung und Vertragsschluss
4.1 Die Darstellung von Mailingbid für Agenturen auf unserer Website ist kein bindendes Angebot.
4.2 Die Agentur registriert sich mit dem Formular auf unserer Website. Sie gibt dort den Namen der Agentur, den eigenen Namen, eine E-Mail-Adresse, das Land, die Sprache und den gewünschten Tarif samt Zahlungsweise an, gibt die Bestätigung nach Punkt 3.2 ab und stimmt diesen Nutzungsbedingungen und dem Auftragsverarbeitungsvertrag zu. Wir schicken einen Anmeldelink an die angegebene Adresse. Der Nutzungsvertrag und der Auftragsverarbeitungsvertrag kommen zustande, wenn die Person den Link öffnet und die Anmeldung bestätigt; dabei legen wir die Agentur und, falls es noch keines gibt, das Konto an. Vor der Registrierung kann die Agentur diese Nutzungsbedingungen und den Auftragsverarbeitungsvertrag in der geltenden Fassung abrufen, speichern und ausdrucken.
4.3 Der Nutzungsvertrag ohne Abo ist kostenlos. Die Agentur kann im Arbeitsbereich ihre Lieferantenliste führen und Ausschreibungen vorbereiten, aber keine Einladungen verschicken.
4.4 Das Abo schließt ein Inhaber im Arbeitsbereich ab: Er wählt Tarif und Zahlungsweise und hinterlegt auf der Seite unseres Zahlungsdienstleisters ein Zahlungsmittel. Das Abo kommt zustande, wenn der Inhaber diese Seite abschickt. Was ab wann abgebucht wird, steht in Punkt 8 und 9; der Arbeitsbereich zeigt den jeweiligen Stand des Abos.
4.5 Ein Konto kann nur einer Agentur angehören. Wir können Registrierungen ohne Angabe von Gründen ablehnen.
5. Leistungen und Abgrenzung
5.1 Mailingbid für Agenturen ist ein Werkzeug. Es umfasst in jedem Tarif:
- eine Lieferantenliste der Agentur, die sie einzeln oder per CSV-Datei befüllt, mit bis zu zehn Kontakten je Lieferant;
- das Ausarbeiten von Mailing-Ausschreibungen mit Teilen, mehreren Ländern und Terminen, Leistungen und Dateien;
- das Verschicken von Einladungen per E-Mail an die Kontakte der gewählten Lieferanten, mit der Ausschreibung als PDF und einem persönlichen Link ins Lieferantenportal;
- die Abgabe von Angeboten durch die Lieferanten über ein Formular im Lieferantenportal oder als Antwort per E-Mail (Punkt 6);
- Erinnerungen vor der Angebotsfrist an Lieferanten, deren Einladung nicht zurückgezogen ist, die weder abgesagt noch ein Angebot abgegeben haben und die mindestens zwei Werktage vor der Frist eingeladen wurden, und eine Mitteilung an die Agentur, wenn die Frist erreicht ist;
- den Vergleich der Angebote und die Vergabe an einen oder mehrere Lieferanten, mit einer Mitteilung über das Ergebnis an jeden Lieferanten, dessen Einladung nicht zurückgezogen ist;
- Mitglieder im Team, Kommentare im Team und die Schnittstelle mit Webhooks (Punkt 15).
5.2 Ausschreibungen sind derzeit nur für Mailings möglich, nicht für reine Druckaufträge.
5.3 Mailingbid vermittelt nicht. Die Agentur wählt die Lieferanten selbst aus ihrer eigenen Liste. Wir schlagen keine Lieferanten vor, prüfen weder ihre Eignung, Zuverlässigkeit, Zertifizierungen noch ihre Angebote und sind nicht Vertreter der Agentur oder der Lieferanten. Das betrifft die Verträge zwischen Agentur und Lieferant; dass wir mit dem Speichern und Übermitteln der Inhalte der Agentur einen Vermittlungsdienst im Sinne der Verordnung (EU) 2022/2065 (Gesetz über digitale Dienste) erbringen, bleibt davon unberührt (Punkt 14.8 bis 14.11).
5.4 Mailingbid wird nicht Vertragspartei der Verträge zwischen Agentur und Lieferant. Ob, wann und mit welchem Inhalt ein solcher Vertrag zustande kommt, bestimmen allein die Agentur und der Lieferant. Einladungen, Erinnerungen und Ergebnis-Mitteilungen übermitteln wir im Auftrag der Agentur. Die Mitteilung an einen ausgewählten Lieferanten sagt, dass sich die Agentur meldet, und ist ausdrücklich noch keine Beauftragung. Eine Vergabe lässt sich im Arbeitsbereich nicht zurücknehmen.
5.5 Einladungen gehen von der Absenderadresse der Plattform hinaus und nennen den Namen der Agentur sowie Namen und E-Mail-Adresse des einladenden Mitglieds für Rückfragen. Lieferanten brauchen für die Abgabe eines Angebots kein eigenes Konto. Ein Angebot über das Formular ist mit dem Abschicken abgegeben und erscheint sofort bei der Agentur; die Agentur kann es zur Korrektur an den Lieferanten zurückgeben.
5.6 Wir stellen den Arbeitsbereich in der Fassung bereit, die zum jeweiligen Zeitpunkt verfügbar ist. Änderungen regelt Punkt 20.1.
6. Antworten per E-Mail und Prüfung durch uns
6.1 Jede Einladung trägt eine eigene Antwortadresse für Angebote. Ist diese Funktion nicht eingerichtet, gehen Antworten direkt an das einladende Mitglied.
6.2 Was an einer Antwortadresse eingeht, erhalten zuerst wir, nicht die Agentur. Bis zur Übergabe an die Agentur nehmen wir die Mails in eigener Verantwortung entgegen und prüfen sie. Wir entscheiden, was eine Mail ist:
- ein Angebot: Wir erfassen es im Formular des Lieferantenportals und hängen ausgewählte PDF-Anhänge als Kopie an. Die Agentur sieht es danach als per E-Mail eingegangenes Angebot; jeder hinterlegte Kontakt des Lieferanten erhält eine E-Mail mit der Bitte, die Erfassung zu prüfen;
- eine Absage: Wir vermerken sie mit dem Grund, die Agentur erhält eine Mitteilung;
- eine Rückfrage oder sonstige Nachricht: Wir leiten sie mit Betreff, Text und ausgewählten Anhängen an die Mitglieder der Agentur weiter, an die auch die übrigen Mitteilungen der Ausschreibung gehen;
- Spam, ein Duplikat oder eine Mail ohne Bedeutung: Wir verwerfen sie ohne Benachrichtigung.
6.3 Bei der Erfassung dürfen wir technische Hilfsmittel einsetzen, auch die automatische Auslesung durch einen spezialisierten Dienst, den wir als unseren Auftragsverarbeiter einsetzen. Soweit dabei Angaben aus der Ausschreibung der Agentur zum Abgleich an diesen Dienst gehen, ist er Unterauftragsverarbeiter nach dem Auftragsverarbeitungsvertrag. Eine automatische Auslesung liefert nur einen Entwurf; zum Angebot für die Agentur wird eine Mail erst durch unsere Prüfung.
6.4 Für die Bearbeitung eingegangener Mails sagen wir keine Frist zu. Die Agentur berücksichtigt das bei der Angebotsfrist. Ein Angebot erfassen wir nur, solange die Einladung nicht zurückgezogen, der Lieferant nicht deaktiviert, die Ausschreibung weder vergeben noch abgeschlossen und die Agentur bei uns nicht gesperrt ist und zur Einladung weniger als drei Angebote vorliegen.
6.5 Maßgeblich für den Inhalt eines Angebots ist die E-Mail des Lieferanten samt Anhängen. Wir schulden eine sorgfältige Erfassung; dass die Erfassung jede Angabe richtig und vollständig wiedergibt, ist nicht Teil unserer Leistung. Für Fehler bei der Erfassung haften wir nach Punkt 19. Die Agentur prüft ein per E-Mail eingegangenes Angebot vor der Vergabe anhand der beigefügten PDF-Dateien oder durch Rückfrage beim Lieferanten.
6.6 Ob eine Mail tatsächlich vom angegebenen Absender stammt, beurteilen wir anhand der technischen Angaben ihrer Zustellung. Eine weitergehende Prüfung der Identität des Absenders schulden wir nicht; für Fehler bei dieser Beurteilung haften wir nach Punkt 19. Leiten wir eine Nachricht weiter, deren Absender nicht bestätigt ist, sagt die Weiterleitung das.
7. Tarife und Grenzen
7.1 Es gibt drei Tarife. Sie enthalten alle Funktionen und unterscheiden sich nur darin, wie viele Ausschreibungen die Agentur in einem Abrechnungszeitraum verschicken kann:
| Tarif | Ausschreibungen bei monatlicher Zahlung | Ausschreibungen bei jährlicher Zahlung | Preis monatlich | Preis jährlich |
|---|---|---|---|---|
| Starter | 3 im Monat | 36 im Jahr | 150 € | 1.500 € |
| Team | 10 im Monat | 120 im Jahr | 250 € | 2.500 € |
| Pro | unbegrenzt | unbegrenzt | 500 € | 5.000 € |
Alle Preise sind netto in Euro (Punkt 9.1). Bei jährlicher Zahlung gilt die zwölffache Grenze eines Monats.
7.2 Gezählt wird beim Verschicken, im laufenden Abrechnungszeitraum des Abos, also von einem Abrechnungstag zum nächsten, nicht je Kalendermonat oder Kalenderjahr; mit jedem neuen Abrechnungszeitraum beginnt die Zählung von vorn. In der Testphase gilt die Grenze eines Monats für die ganze Testphase einschließlich einer Verlängerung. Wechselt die Agentur innerhalb eines Abrechnungszeitraums den Tarif, gilt die neue Grenze sofort und die Zählung läuft weiter; ein Wechsel der Zahlungsweise beginnt einen neuen Abrechnungszeitraum und damit eine neue Zählung. Eine Ausschreibung zählt, wenn sie zum ersten Mal an Lieferanten geht. Weitere Lieferanten einzuladen, eine Einladung erneut zu senden, ein Angebot zur Korrektur zurückzugeben oder die Frist zu verschieben, zählt nicht neu. Zieht die Agentur alle Einladungen einer Ausschreibung zurück und verschickt sie danach wieder, zählt das als weitere Ausschreibung, wenn sie inzwischen geändert wurde oder in der vorigen Runde ein Angebot eingegangen war; sonst nicht. Eine verschobene Angebotsfrist allein ist keine Änderung in diesem Sinn.
7.3 Ist die Grenze des Tarifs erreicht, lässt sich keine weitere Ausschreibung verschicken, bis der nächste Abrechnungszeitraum beginnt oder die Agentur in einen größeren Tarif wechselt. Alle anderen Funktionen bleiben nutzbar.
7.4 Zum Schutz des Betriebs begrenzen wir die Zahl bestimmter Vorgänge je Zeiteinheit, etwa neue Ausschreibungen, Änderungen, Dateiabrufe und Aufrufe der Schnittstelle. Diese Grenzen liegen weit über einer gewöhnlichen Nutzung; wir können sie anpassen.
8. Testphase
8.1 Das erste Abo einer Agentur beginnt mit einer Testphase von 30 Tagen. Das Zahlungsmittel wird zu Beginn hinterlegt; während der Testphase wird nichts abgebucht.
8.2 Abgebucht wird zum ersten Mal am Ende der Testphase, und nur, wenn die Agentur bis dahin mindestens eine Ausschreibung verschickt hat. Ab dann läuft das Abo als bezahltes Abo weiter (Punkt 11).
8.3 Hat die Agentur bis kurz vor dem Ende der Testphase keine Ausschreibung verschickt, verlängern wir die Testphase etwa einen Tag vor ihrem Ende einmalig um 30 Tage ab ihrem bisherigen Ende. Verschickt sie auch bis zum Ende der Verlängerung keine Ausschreibung, endet das Abo von selbst, ohne dass etwas abgebucht wird.
8.4 Vor dem Ende der Testphase erinnern wir die Inhaber und die hinterlegte Rechnungsadresse per E-Mail, in der Regel 7 Tage und 1 Tag vorher, und sagen dabei, ob und welcher Betrag abgebucht wird. Jede Erinnerung enthält einen Link zum Kündigen ohne Anmeldung (Punkt 11.3). Wird eine ungenutzte Testphase verlängert, tritt die Mitteilung über die Verlängerung an die Stelle der letzten Erinnerung. Bleibt eine Erinnerung aus, ändert das nichts an Punkt 8.2 und 8.3.
8.5 Eine Testphase gibt es nur beim ersten Abo einer Agentur. Ein neues Abo nach dem Ende eines früheren beginnt ohne Testphase; der erste Betrag wird beim Start abgebucht. Darauf weisen der Arbeitsbereich und die Seite des Zahlungsdienstleisters vor dem Abschluss hin.
9. Preise, Abrechnung und Zahlung
9.1 Alle Preise verstehen sich netto zuzüglich der gesetzlichen Umsatzsteuer. Für Agenturen in Österreich kommt die österreichische Umsatzsteuer hinzu. Für Agenturen in einem anderen Mitgliedstaat der EU, die eine gültige Umsatzsteuer-Identifikationsnummer angeben, geht die Steuerschuld auf die Agentur über (Reverse Charge). Die Steuer ermittelt unser Zahlungsdienstleister aus der Rechnungsadresse und der Umsatzsteuer-Identifikationsnummer, die die Agentur dort angibt. Die Agentur hält diese Angaben richtig und aktuell.
9.2 Das Entgelt ist für jeden Abrechnungszeitraum im Voraus fällig. Der erste Abrechnungszeitraum beginnt mit dem Ende der Testphase, bei einem Abo ohne Testphase mit dem Start.
9.3 Wir rechnen über den Zahlungsdienstleister Stripe ab. Möglich sind Karte und SEPA-Lastschrift. Die Agentur ermächtigt uns, fällige Beträge über das hinterlegte Zahlungsmittel einzuziehen, und hält es im Kundenportal des Zahlungsdienstleisters aktuell; dort findet sie auch ihre Rechnungen und ändert Rechnungsadresse und Umsatzsteuer-Identifikationsnummer.
9.4 Die Agentur stimmt zu, dass wir Rechnungen ausschließlich elektronisch ausstellen und übermitteln.
9.5 Beträge, die der Arbeitsbereich oder unsere E-Mails nennen, sind Nettopreise des Tarifs oder Schätzungen. Maßgeblich ist die Rechnung, die Rabatte, anteilige Beträge und Umsatzsteuer enthält.
9.6 Zahlungsausfall. Schlägt ein Einzug fehl, versucht der Zahlungsdienstleister ihn noch eine begrenzte Zeit erneut. Die Agentur kann in der Regel noch mindestens sieben Tage ab Beginn des unbezahlten Abrechnungszeitraums Ausschreibungen verschicken, danach erst wieder, wenn die Zahlung eingegangen ist.
- Gelingt der Einzug nicht, endet das Abo ohne Kündigung und ohne Mahnung, sobald der Zahlungsdienstleister die Versuche aufgibt. Wird eine SEPA-Lastschrift zurückgegeben, kann das Abo sofort enden. Der Nutzungsvertrag besteht weiter (Punkt 11.6).
- Für den unbezahlten Abrechnungszeitraum schuldet die Agentur das Entgelt nur anteilig bis zum Ende des Abos; über den Rest stellen wir eine Rechnungskorrektur aus.
- Dieser anteilige Betrag und andere offene Beträge bleiben auch nach dem Ende des Abos und nach einer Kündigung fällig; ein neues Abo begleicht sie nicht.
9.7 Bei Zahlungsverzug schuldet die Agentur Verzugszinsen von 9,2 Prozentpunkten über dem Basiszinssatz und einen Pauschalbetrag von 40 €; notwendige und zweckmäßige Betreibungskosten, die diesen Betrag übersteigen, ersetzt sie nach § 1333 Abs 2 ABGB. Kosten einer Rücklastschrift, die die Agentur zu vertreten hat, trägt sie.
9.8 Die Agentur kann nur mit Forderungen aufrechnen, die wir anerkannt haben oder die gerichtlich festgestellt sind.
10. Aktionscodes und Gründerrabatt
10.1 Einen Aktionscode löst die Agentur beim Abschluss des Abos auf der Seite des Zahlungsdienstleisters ein. Eine nachträgliche Einlösung, eine Barablöse und die Verbindung mehrerer Codes sind ausgeschlossen. Es gelten die Bedingungen, unter denen wir den Code ausgeben.
10.2 Mit dem Gründerrabatt, den wir als Aktionscode vergeben, ermäßigt sich die erste bezahlte Rechnung um 50 %: bei monatlicher Zahlung der erste Monat, bei jährlicher das erste Jahr. Folgende Rechnungen werden zum vollen Preis gestellt. Der Gründerrabatt gilt nur für das erste Abo einer Agentur und lässt sich nur beim Abschluss dieses ersten Abos einlösen, nicht später. Die Testphase verbraucht ihn nicht. Endet das erste Abo, ohne dass eine Rechnung bezahlt wurde, etwa nach einer ungenutzten Testphase, verfällt er; ein späteres Abo erhält ihn nicht. Er ist auf insgesamt 50 Einlösungen begrenzt; danach besteht kein Anspruch mehr.
11. Laufzeit, Verlängerung und Kündigung
11.1 Das Abo verlängert sich am Ende jedes Abrechnungszeitraums automatisch um einen weiteren Zeitraum derselben Länge, wenn es nicht vorher gekündigt wird.
11.2 Die Agentur kann das Abo jederzeit zum Ende des laufenden Abrechnungszeitraums kündigen, in der Testphase zu deren Ende. Kündigen kann ein Inhaber im Arbeitsbereich unter „Abo“ oder über den Link nach Punkt 11.3; ist der Zugang nach Punkt 13.2 gesperrt, auch in Textform an die Adresse in Punkt 23. Im Kundenportal des Zahlungsdienstleisters ist eine Kündigung nicht möglich. Die Kündigung aus wichtigem Grund (Punkt 13.1) und das Wechselverlangen nach Punkt 16a bleiben unberührt.
11.3 Die Mitteilung zur ersten Abbuchung und die Erinnerungen vor dem Ende der Testphase enthalten einen Link, über den sich das Abo ohne Anmeldung kündigen lässt; er gilt bis drei Tage nach dem Ende der Testphase, für die er ausgestellt wurde. Das Öffnen des Links kündigt nicht; erst eine Schaltfläche auf der Seite tut es. Eine Kündigung über diesen Link wird der Agentur nach Punkt 14.2 zugerechnet, auch wenn die E-Mail weitergeleitet wurde; ein Inhaber kann sie nach Punkt 11.4 zurücknehmen.
11.4 Wir bestätigen eine Kündigung per E-Mail an die Inhaber und die Rechnungsadresse, sobald sie beim Zahlungsdienstleister eingetragen ist. Bis zum Ende des Abos kann ein Inhaber die Kündigung im Arbeitsbereich zurücknehmen.
11.5 Wirkung der Kündigung: Bis zum Ende des Abrechnungszeitraums bleibt das Abo nutzbar, danach wird nichts mehr abgebucht. Bereits bezahlte Entgelte werden nicht anteilig erstattet, auch nicht, wenn das Abo nach Punkt 16a vor dem Ende des Abrechnungszeitraums endet; ausgenommen sind die Fälle der Punkte 13.3, 18.3 und 20.3 und eine Kündigung nach Ziffer 9.2 oder 9.3 des Auftragsverarbeitungsvertrags. Wird in der Testphase gekündigt, endet das Abo mit der Testphase ohne Abbuchung, auch wenn die Agentur danach noch eine Ausschreibung verschickt. Offene Beträge bleiben fällig (Punkt 9.6).
11.6 Nach dem Ende des Abos kann die Agentur keine Ausschreibungen mehr verschicken. Der Nutzungsvertrag besteht weiter: Ihre Daten bleiben im Arbeitsbereich lesbar und über die Schnittstelle abrufbar (Punkt 16.4), bis der Nutzungsvertrag endet (Punkt 16.5, 16a.3). Ein neues Abo kann ein Inhaber jederzeit abschließen (Punkt 8.5).
11.7 Wir können das Abo ordentlich in Textform kündigen, mit einer Frist von drei Monaten zum Ende eines Abrechnungszeitraums.
11.8 Die Agentur beendet den Nutzungsvertrag mit einem Wechselverlangen nach Punkt 16a; ein laufendes Abo endet mit ihm. Wir können den Nutzungsvertrag in Textform mit der Frist nach Punkt 11.7 kündigen, ohne laufendes Abo mit einer Frist von einem Monat. Was danach mit den Daten geschieht, regelt Punkt 16.5.
12. Tarifwechsel
12.1 Ein Inhaber kann den Tarif und die Zahlungsweise im Arbeitsbereich wechseln, solange das Abo läuft, nicht gekündigt ist und keine Zahlung offen ist. Im Kundenportal des Zahlungsdienstleisters ist ein Wechsel nicht möglich.
12.2 In der Testphase kostet ein Wechsel nichts; die Testphase endet zum selben Tag, und der neue Tarif wird mit der ersten Abbuchung berechnet.
12.3 Nach der Testphase gilt ein neuer Tarif mit gleicher Zahlungsweise sofort; der Unterschied für den laufenden Zeitraum wird anteilig mit der nächsten Rechnung verrechnet.
12.4 Wechselt die Zahlungsweise, beginnt sofort ein neuer Abrechnungszeitraum. Von monatlich auf jährlich wird der Jahrespreis sofort abgebucht, abzüglich des anteiligen Werts des ungenutzten Monats. Von jährlich auf monatlich bleibt der ungenutzte Rest des Jahres als Guthaben beim Zahlungsdienstleister und wird mit den folgenden Rechnungen verrechnet. Ein Guthaben, das beim Ende des Abos noch offen ist, zahlen wir auf Verlangen aus.
12.5 Maßgeblich für den Betrag eines Wechsels ist die Rechnung (Punkt 9.5).
12.6 Wechselt die Agentur in einen Tarif, dessen Grenze sie schon erreicht hat, gilt Punkt 7.3.
13. Sperre und außerordentliche Kündigung
13.1 Beide Seiten können den Nutzungsvertrag oder das Abo aus wichtigem Grund ohne Einhaltung einer Frist in Textform kündigen. Ein wichtiger Grund liegt für uns insbesondere vor, wenn die Agentur
- mit einer Zahlung trotz Mahnung mehr als 30 Tage in Verzug ist (das Ende des Abos nach Punkt 9.6 tritt davon unabhängig ein),
- über Mailingbid für Agenturen Inhalte speichert oder verschickt, die gegen Punkt 14.8 verstoßen, Personen ohne Berechtigung anschreibt oder die Plattform, die Schnittstelle oder andere Nutzer missbraucht oder angreift,
- bei der Registrierung falsch angegeben hat, Unternehmer zu sein,
- trotz Aufforderung erheblich gegen diese Nutzungsbedingungen verstößt.
13.2 Statt zu kündigen, können wir in diesen Fällen das Verschicken von Einladungen, einzelne Funktionen, Organisationsschlüssel oder Webhook-Adressen oder den Zugang der Agentur vorübergehend sperren. Wir wählen die mildeste geeignete Maßnahme und teilen sie der Agentur mit ihren Gründen in Textform mit, bei Maßnahmen wegen Inhalten mit einer Begründung nach Punkt 14.11. Eine Sperre, die die Agentur zu vertreten hat, lässt das Entgelt unberührt.
13.3 Kündigt die Agentur aus einem wichtigen Grund, den wir zu vertreten haben, erstatten wir bereits bezahlte Entgelte für die Zeit nach dem Ende des Abos anteilig.
14. Pflichten der Agentur, Inhalte und Meldungen
14.1 Die Agentur macht bei der Registrierung, im Abo und im Arbeitsbereich wahre Angaben und hält sie aktuell, insbesondere die Rechnungsangaben.
14.2 Die Anmeldung erfolgt über Links an die E-Mail-Adresse des Kontos. Die Agentur sorgt dafür, dass nur berechtigte Personen Zugang zu diesen Postfächern haben. Handlungen über die Konten ihrer Mitglieder, ihre Organisationsschlüssel und den Kündigungslink nach Punkt 11.3 werden der Agentur zugerechnet, es sei denn, sie weist nach, dass sie den Missbrauch nicht zu vertreten hat.
14.3 Inhaber verwalten das Abo, laden Mitglieder ein, entfernen sie, machen sie zu Inhabern und verwalten Webhooks und alle Organisationsschlüssel. Jedes Mitglied kann Ausschreibungen verschicken und vergeben. Die Agentur lädt nur Personen ein, die für sie handeln dürfen, und entfernt Mitglieder, die das nicht mehr dürfen, unverzüglich.
14.4 Lieferantenliste: Die Agentur bestimmt allein, welche Lieferanten und Kontakte sie einträgt und anschreibt. Sie trägt nur Kontakte ein, die sie zu diesem Zweck per E-Mail anschreiben darf, und ist für deren Daten verantwortlich, insbesondere für die Rechtsgrundlage und die Information der betroffenen Personen. Die Pflichten aus dem Auftragsverarbeitungsvertrag bleiben unberührt.
14.5 Inhalte: Ausschreibungen, Dateien, Nachrichten an Lieferanten, Kommentare, eigene Referenzen und Bezeichnungen dürfen keine Rechte Dritter und keine gesetzlichen Vorschriften verletzen. Die Agentur ist für diese Inhalte verantwortlich, auch für Angaben über ihre eigenen Auftraggeber.
14.6 Für eine Ausschreibung braucht Mailingbid für Agenturen keine personenbezogenen Daten von Empfängern eines Mailings, etwa Adressen von Spenderinnen und Spendern. Die Agentur lädt solche Daten nicht hoch und trägt sie nicht ein; sie übergibt sie, wenn nötig, direkt an den beauftragten Lieferanten.
14.7 In eigene Referenzen, die die Agentur an Ausschreibungen und Lieferanten vergibt, trägt sie keine personenbezogenen Daten ein; diese Referenzen gehen unverändert an ihre Webhook-Adressen.
14.8 Unzulässige Inhalte. Inhalte, die gegen Punkt 14.5 bis 14.7 oder gegen gesetzliche Vorschriften verstoßen, dürfen in Mailingbid für Agenturen weder gespeichert noch verschickt werden. Das gilt auch für Inhalte, die Lieferanten über das Lieferantenportal oder per E-Mail einbringen.
14.9 Moderation. Wir durchsuchen Inhalte nicht anlasslos. Wir werden tätig auf eine Meldung nach Punkt 14.10, auf eine behördliche Anordnung oder wenn wir bei der Prüfung eingegangener Mails (Punkt 6), im Betrieb oder bei der Fehlerbehebung auf einen Verstoß stoßen. Über eine Maßnahme entscheidet eine Person. Automatisierte Werkzeuge setzen wir dafür nicht ein, außer der Spam-Bewertung eingehender Mails und der technischen Prüfung von Dateityp und Größe beim Hochladen. Mögliche Maßnahmen sind, jeweils die mildeste geeignete: Inhalte sperren oder entfernen; das Verschicken, einzelne Funktionen, Organisationsschlüssel oder Webhook-Adressen sperren; den Zugang vorübergehend sperren (Punkt 13.2); den Nutzungsvertrag kündigen (Punkt 13.1). Wir entscheiden sorgfältig, objektiv und verhältnismäßig.
14.10 Meldungen. Jede Person kann uns Inhalte, die sie für rechtswidrig hält, per E-Mail an kontakt@mailingbid.com mit dem Betreff „Meldung rechtswidriger Inhalte“ melden. Die Meldung soll begründen, warum der Inhalt rechtswidrig ist, ihn so genau bezeichnen, dass wir ihn finden, Name und E-Mail-Adresse der meldenden Person nennen (außer bei Meldungen zu Straftaten nach Art 3 bis 7 der Richtlinie 2011/93/EU, Art 16 Abs 2 lit c der Verordnung (EU) 2022/2065) und erklären, dass die Angaben nach bestem Wissen richtig und vollständig sind. Wir bestätigen den Eingang, entscheiden zeitnah und sorgfältig und teilen der meldenden Person die Entscheidung mit einem Hinweis auf die möglichen Rechtsbehelfe mit.
14.11 Begründung und Widerspruch. Sperren oder entfernen wir Inhalte, beschränken wir die Nutzung nach Punkt 14.9 oder beenden wir wegen Inhalten den Dienst oder das Konto ganz oder teilweise, auch durch Kündigung nach Punkt 13.1, teilen wir der Agentur in Textform mit: Art, Umfang, räumlichen Geltungsbereich und Dauer der Maßnahme, die Tatsachen, auf die wir uns stützen, ob eine Meldung oder unsere eigene Prüfung der Anlass war, ob dabei automatisierte Mittel eingesetzt wurden, die Rechtsvorschrift oder die Bestimmung dieser Nutzungsbedingungen, gegen die der Inhalt verstößt, mit einer Erläuterung, warum der Inhalt sie verletzt, und die Rechtsbehelfe. Die Agentur kann der Maßnahme binnen sechs Monaten in Textform widersprechen; wir prüfen den Fall dann erneut. Der Rechtsweg steht ihr unabhängig davon offen.
14.12 Die Agentur hält uns schad- und klaglos, wenn Dritte, etwa Lieferanten, deren Kontakte oder Behörden, gegen uns Ansprüche erheben, weil die Agentur gegen Punkt 14 verstoßen hat, soweit sie den Verstoß zu vertreten hat. Wir informieren sie unverzüglich über solche Ansprüche und erkennen sie nicht ohne ihre Zustimmung an.
15. Schnittstelle und Webhooks
15.1 Mitglieder können Organisationsschlüssel anlegen, höchstens 20 gültige je Agentur. Ein Schlüssel wird nur einmal bei der Erstellung angezeigt und handelt als das Mitglied, das ihn angelegt hat. Verlässt dieses Mitglied die Agentur oder wird es entfernt, werden seine Schlüssel endgültig widerrufen.
15.2 Die Schnittstelle ist für Software auf Servern der Agentur bestimmt. Die Agentur hält Schlüssel geheim, verwendet sie nicht in Programmcode, den Dritte laden können, und widerruft einen Schlüssel sofort, wenn sie annimmt, dass ein Unbefugter ihn kennt.
15.3 Je Schlüssel sind höchstens 120 Aufrufe je Minute möglich; weitere Grenzen nennt die Dokumentation der Schnittstelle (Punkt 7.4).
15.4 Inhaber können Webhook-Adressen mit HTTPS eintragen. Wir senden dorthin signierte Nachrichten mit Kennungen und den eigenen Referenzen der Agentur, ohne Namen, Adressen, Preise oder Texte von Lieferanten. Adressen in privaten Netzen lehnen wir ab. Scheitert eine Zustellung, versuchen wir sie höchstens achtmal, verteilt auf etwa 24 Stunden; nach acht Fehlversuchen in Folge schalten wir die Adresse ab und benachrichtigen die Inhaber. Für die empfangenden Systeme und das, was sie mit den Nachrichten tun, ist die Agentur verantwortlich.
15.5 Webhooks ergänzen die Schnittstelle; die Zustellung jeder einzelnen Nachricht schulden wir nicht. Den verbindlichen Stand liefert die Schnittstelle.
16. Daten der Agentur
16.1 Die Lieferantenliste, Ausschreibungen, Dateien, Angebote, Kommentare und übrigen Inhalte, die die Agentur oder ihre Lieferanten in Mailingbid für Agenturen einbringen, bleiben Sache der Agentur und der jeweiligen Berechtigten. Die Agentur räumt uns daran nur die Rechte ein, die wir brauchen, um unsere Leistungen zu erbringen, also die Inhalte zu speichern, zu verarbeiten, als PDF aufzubereiten, an die eingeladenen Lieferanten zu übermitteln und eingegangene Mails nach Punkt 6 zu erfassen; für die Dauer des Nutzungsvertrags und danach bis zur Löschung nach Punkt 16.5 oder 16a.3.
16.2 Die Lieferantenliste bleibt die der Agentur. Keine andere Agentur und kein Kunde des Marktplatzes sieht sie. Wir nutzen sie nie für den Marktplatz, auch nicht, um die eingetragenen Lieferanten dafür anzusprechen, und geben sie nicht weiter. Ist ein Lieferant unabhängig davon auch Anbieter des Marktplatzes, bleibt das unberührt.
16.3 Unsere Verwaltung zeigt Lieferantenliste, Ausschreibungen und Kommentare der Agentur nicht an; ausgenommen ist die Prüfung eingegangener Mails nach Punkt 6. Auf gespeicherte Daten greifen wir nur zu, soweit es für Betrieb, Sicherheit, Fehlerbehebung, die Unterstützung der Agentur, die Ausführung ihrer Weisungen, Maßnahmen nach Punkt 14.9, einen Wechsel nach Punkt 16a, eine Löschung oder die Erfüllung gesetzlicher Pflichten erforderlich ist.
16.4 Während des Nutzungsvertrags, auch nach dem Ende eines Abos, kann die Agentur ihre Daten im Arbeitsbereich einsehen und über die Schnittstelle abrufen, auch als Export nach Punkt 16a.4.
16.5 Mit dem Ende des Abos löschen wir nichts. Ausschreibungen, die nie verschickt wurden, und Lieferanten, die nie eingeladen wurden, kann die Agentur selbst löschen; Kontakte kann sie entfernen. Endet der Nutzungsvertrag nach Punkt 16a, löschen wir nach Punkt 16a.3. Endet er auf andere Weise, kann ein Inhaber die exportierbaren Daten noch 30 Tage nach dem Ende als Export nach Punkt 16a.4 abrufen; danach löschen wir die Agentur mit allen Daten binnen 30 Tagen. Wir löschen nicht, soweit wir Daten aufgrund gesetzlicher Pflichten aufbewahren müssen oder zur Geltendmachung oder Abwehr von Rechtsansprüchen benötigen; Rechnungen und Buchungsbelege bewahren wir nach den steuerrechtlichen Vorschriften auf. Kopien in unseren Datensicherungen werden nicht gesondert gelöscht, sondern mit deren Ablauf überschrieben, spätestens nach sechs Monaten.
16.6 Wir sichern die gespeicherten Daten regelmäßig. Wichtige Unterlagen, etwa Angebote, auf die sich ein Auftrag stützt, bewahrt die Agentur zusätzlich selbst auf.
16.7 Auftragsverarbeitung. Soweit wir personenbezogene Daten im Auftrag der Agentur verarbeiten, gilt der Auftragsverarbeitungsvertrag in der Anlage, den die Agentur zusammen mit diesen Nutzungsbedingungen bei der Registrierung abschließt (Punkt 4.2). Das betrifft insbesondere die Lieferantenliste, Ausschreibungen samt Bereitstellung im Lieferantenportal, den Versand von Einladungen, Erinnerungen und Ergebnis-Mitteilungen, die Entgegennahme von Angeboten über das Formular, Vergaben, Daten Dritter in Kommentaren und Webhooks sowie Mails nach ihrer Übergabe an die Agentur. Als eigener Verantwortlicher verarbeiten wir die Daten der Mitglieder einschließlich der Angaben, die die Plattform zu ihren Handlungen festhält (etwa Verfasser, einladendes, bestätigendes oder vergebendes Mitglied), Konten und Anmeldung der Mitglieder, Daten für Abo und Abrechnung, Daten für Konten und Anmeldung der Kontakte im Lieferantenportal sowie Daten für die Entgegennahme und Prüfung eingegangener Mails bis zur Übergabe an die Agentur (Punkt 6.2); darüber informiert unsere Datenschutzerklärung.
16a. Wechsel und Datenexport
16a.1 Ein Inhaber kann jederzeit in Textform an die Adresse in Punkt 23 verlangen, dass die Agentur zu einem anderen Anbieter oder in eigene Systeme wechselt oder dass ihre exportierbaren Daten (Punkt 16a.4) gelöscht werden („Wechselverlangen“). Die Kündigungsfrist beträgt einen Monat ab Zugang des Wechselverlangens. Bis zu ihrem Ende teilt die Agentur uns in Textform mit, ob sie
a) zu einem anderen Anbieter wechselt, mit den Angaben zu diesem Anbieter, die für den Wechsel nötig sind,
b) in eigene Systeme wechselt oder
c) die Löschung ihrer exportierbaren Daten wünscht.
Teilt sie bis zum Ende der Kündigungsfrist nichts mit, gilt das als Wechsel in eigene Systeme.
16a.2 In den Fällen a) und b) beginnt mit dem Ende der Kündigungsfrist ein Übergangszeitraum von 30 Kalendertagen. In dieser Zeit stellen wir der Agentur alle exportierbaren Daten unverzüglich als Export bereit, unterstützen die Agentur und von ihr benannte Dritte, etwa den neuen Anbieter, angemessen beim Wechsel, erbringen unsere Leistungen nach dem Nutzungsvertrag weiter und informieren über bekannte Risiken für die unterbrechungsfreie Erbringung. Während des gesamten Wechsels und des Abrufzeitraums (Punkt 16a.3) sorgen wir für ein hohes Maß an Sicherheit, insbesondere bei der Übertragung der Daten. Die Agentur unterstützen wir auch bei ihrer Ausstiegsstrategie, insbesondere mit allen Angaben, die sie dafür braucht. Ist der Übergangszeitraum technisch nicht durchführbar, teilen wir das der Agentur binnen 14 Arbeitstagen nach Zugang des Wechselverlangens mit Begründung mit und nennen einen anderen Übergangszeitraum von höchstens sieben Monaten; unsere Leistungen laufen bis zu dessen Ende weiter. Die Agentur kann den Übergangszeitraum einmal um einen Zeitraum verlängern, den sie für angemessen hält.
16a.3 Mit dem Ende des Übergangszeitraums oder mit dem früher vollzogenen Wechsel beginnt ein Abrufzeitraum von mindestens 30 Kalendertagen, in dem die Agentur ihre exportierbaren Daten noch abrufen kann. Nutzungsvertrag und Abo enden mit dem vollzogenen Wechsel, spätestens mit dem Ende des Übergangszeitraums, im Fall c) mit dem Ende der Kündigungsfrist; wir teilen der Agentur das Ende in Textform mit. Nach dem Abrufzeitraum, im Fall c) nach dem Ende des Nutzungsvertrags, löschen wir binnen 30 Tagen alle exportierbaren Daten und die übrigen Daten der Agentur vollständig; für gesetzliche Aufbewahrungspflichten, Rechtsansprüche und Datensicherungen gilt Punkt 16.5.
16a.4 Exportierbar sind abschließend die folgenden Daten der Agentur, jeweils mit ihren Kennungen, Zeitstempeln und Verknüpfungen untereinander; was Punkt 16a.5 nennt, ist ausgenommen:
a) die Angaben zur Agentur: Name, Art, Land, Sprache, Rechnungs-E-Mail-Adresse, der bei der Registrierung gewählte Tarif samt Zahlungsweise und ob die Agentur bei uns gesperrt ist;
b) Mitglieder mit Name, E-Mail-Adresse, Sprache, Rolle und Zeitpunkt des Beitritts sowie Einladungen ins Team mit Adresse, Rolle, einladendem Mitglied und den Zeitpunkten von Einladung, Ablauf, Annahme und Widerruf;
c) Lieferanten mit allen Feldern, die die Agentur zu ihnen führt (unter anderem Name, Art, Land, Sprache, eigene Nummer, Notizen, Angabe zur ISO-27001-Zertifizierung, aktiv oder deaktiviert), und ihre Kontakte mit E-Mail-Adresse, Name und Telefonnummer, wie die Agentur sie führt;
d) Ausschreibungen mit allen Feldern (unter anderem Titel, Status, Teile, Länder mit Mengen, Terminen und Rücksendeadressen, Leistungsumfang, Angebotsfrist, Zahlungsziel, Hinweise, Angabe, in wessen Auftrag ausgeschrieben wird, eigene Referenz), mit ihren Dateien, den bestätigten Arbeitsschritten (Schritt, Name des bestätigenden Mitglieds, Zeitpunkt) und den Versandrunden;
e) Einladungen mit eingeladenem Lieferanten, freigegebenen Hinweisen und Dateien, einladendem Mitglied, den Zeitpunkten von Versand, erstem Öffnen im Lieferantenportal, Absage samt Grund und Rückzug sowie den Vermerken, welche E-Mail zu der Ausschreibung wann verschickt wurde, einschließlich Erinnerungen und Ergebnis-Mitteilungen;
f) Angebote mit allen Feldern (unter anderem Anbieter, Umfang, Preiszeilen, Summen und Porto, Währung und Kurs, Termine und Gültigkeit, Bedingungen, Abweichungen je Teil, Bezeichnung einer Variante), ihren PDF-Dateien, ihrer Herkunft (Lieferantenportal, E-Mail, Schnittstelle), ihrem Status (abgegeben oder zur Korrektur zurückgegeben) und ihren Zeitpunkten;
g) Vergaben mit den gewählten Angeboten, dem vergebenden Mitglied, dem Zeitpunkt und der internen Anmerkung;
h) Kommentare mit Text, Verfasser, Bezug auf einen Teil und den Zeitpunkten von Schreiben, Änderung und Löschung, dazu der Lesestand je Mitglied;
i) Organisationsschlüssel mit Bezeichnung, ersten Zeichen, anlegendem Mitglied und den Zeitpunkten von Erstellung, letzter Nutzung und Widerruf; Webhook-Adressen mit allen Feldern (unter anderem Adresse, Bezeichnung, abonnierte Ereignisse, Zustand, anlegendes Mitglied); die Zustellungen samt Protokoll, solange sie gespeichert sind (Punkt 15.4);
j) das Abo mit Tarif, Zahlungsweise, Status, Testphase samt Verlängerung und Zeitpunkt der ersten verschickten Ausschreibung, laufendem Abrechnungszeitraum, Kündigung und Ende sowie den Kennungen beim Zahlungsdienstleister; die Rechnungen stehen im Kundenportal des Zahlungsdienstleisters (Punkt 9.3);
k) eingegangene E-Mails, die der Agentur zugeordnet sind und die wir nach Punkt 6.2 geprüft und ihr als Angebot, Absage oder Weiterleitung übergeben haben, solange sie gespeichert sind, mit Absender, Betreff, Text, Anhängen, Zeitpunkt des Eingangs, Ergebnis der Absenderprüfung, dem Entwurf einer automatischen Auslesung, soweit vorhanden, und dem Vermerk, wie wir sie behandelt haben.
Digitale Vermögenswerte im Sinne des Art 25 Abs 2 lit e der Verordnung (EU) 2023/2854 gibt es darüber hinaus nicht. Der Export besteht aus Dateien im Format JSON und den gespeicherten Dateien im Original, zusammen als ZIP-Archiv. Die Datenstrukturen beschreiben wir unter der Adresse nach Punkt 16a.7.
16a.5 Nicht exportierbar sind abschließend die folgenden Daten, weil ihre Herausgabe die Sicherheit der Plattform, der Agentur oder Dritter gefährden würde, weil sie dem internen Betrieb unseres Dienstes dienen oder weil sie nicht der Agentur, sondern Dritten oder uns zuzurechnen sind:
a) Hashwerte, Prüfsummen und Geheimnisse sowie die Werte, aus denen Geheimnisse abgeleitet werden, insbesondere zu Zugangslinks von Einladungen und Ausschreibungen, Antwortadressen, Einladungslinks ins Team, Organisationsschlüsseln und Signaturgeheimnissen von Webhooks;
b) die übrigen Konto-, Sitzungs- und Anmeldedaten der Mitglieder, weil ein Konto auch außerhalb der Agentur genutzt werden kann, sowie die Konten der Kontakte im Lieferantenportal samt Anmeldedaten, weil ein solches Konto für alle Lieferantenlisten gilt, in denen die Person steht;
c) Zähler gegen Missbrauch, Protokolle der Hintergrundarbeiten, Fehlerprotokolle, das Protokoll der Benachrichtigungen des Zahlungsdienstleisters und unsere internen Vermerke zum Abgleich des Abos mit ihm;
d) eingegangene E-Mails, die der Agentur nicht zugeordnet sind, weil sie ihr nicht zuzurechnen sind; E-Mails, die wir noch nicht geprüft oder nicht übergeben, sondern verworfen haben, weil die Agentur sie nach Punkt 6.2 erst nach unserer Prüfung erhält; und die Angabe, welche Person unseres Büros eine eingegangene E-Mail bearbeitet hat.
16a.6 Für den Wechsel, den Export und die Unterstützung nach Punkt 16a.2 verlangen wir keine Entgelte. Das Entgelt für ein laufendes Abo bleibt bis zu dessen Ende geschuldet; endet das Abo nach Punkt 16a.3 vor dem Ende des Abrechnungszeitraums, gilt Punkt 11.5.
16a.7 Das Verfahren für Wechsel und Export, die Formate, bekannte Beschränkungen, die Datenstrukturen sowie die Angaben nach Art 28 der Verordnung (EU) 2023/2854 (Datenverordnung), also die Gerichtsbarkeit, der die eingesetzte IKT-Infrastruktur unterliegt, und unsere Maßnahmen gegen den Zugriff von Behörden aus Drittstaaten auf nicht-personenbezogene Daten, stehen unter https://mailingbid.com/agenturen/wechsel-und-export. Die Schnittstelle steht für den Export und den Wechsel unentgeltlich zur Verfügung, auch ohne Abo und auch für übernehmende Anbieter, die die Agentur dafür benennt.
17. Verfügbarkeit und Wartung
17.1 Wir schulden keine bestimmte Verfügbarkeit und, soweit diese Nutzungsbedingungen nichts anderes bestimmen, keine Reaktions-, Antwort- oder Wiederherstellungszeiten.
17.2 Wir dürfen den Betrieb für Wartung, Aktualisierungen und zur Abwehr von Gefahren unterbrechen.
17.3 Unsere Leistung endet an den Systemen außerhalb unseres Einflussbereichs, die wir nicht für unsere Leistung einsetzen, etwa den Mailservern und Spamfiltern der Lieferanten oder den Netzen und Systemen der Agentur. Wir schulden, Einladungen und Mitteilungen ordnungsgemäß zu versenden, nicht, dass sie in den Postfächern der Lieferanten ankommen. Störungen durch höhere Gewalt sind keine Verletzung unserer Pflichten. Für Dienstleister, die wir für unsere Leistung einsetzen, etwa für Hosting, E-Mail-Versand und Zahlungsabwicklung, haften wir nach Punkt 19 wie für eigenes Handeln.
18. Gewährleistung
18.1 Wir erbringen die Leistungen nach Punkt 5 im Wesentlichen wie beschrieben. Unerhebliche Abweichungen sind kein Mangel.
18.2 Die Agentur meldet Mängel in Textform mit einer nachvollziehbaren Beschreibung. Wir beheben sie in angemessener Frist; dazu genügt auch eine Umgehungslösung, die die Nutzung ohne erhebliche Einschränkung ermöglicht.
18.3 Beeinträchtigt ein Mangel die Nutzung erheblich, mindert sich das Entgelt für die Dauer der Beeinträchtigung angemessen. Gelingt die Behebung trotz einer angemessenen Nachfrist nicht, kann die Agentur das Abo nach Punkt 13.1 aus wichtigem Grund kündigen; bereits bezahlte Entgelte für die Zeit danach erstatten wir anteilig.
18.4 Nicht Teil unserer Leistung ist, dass Lieferanten Angebote abgeben, dass Angebote richtig, vollständig oder vergleichbar sind, dass Lieferanten geeignet sind oder Aufträge ausführen. Der Vergleich im Arbeitsbereich stellt die Angaben der Lieferanten nebeneinander; Hinweise wie „niedrigster Preis“ beruhen allein auf diesen Angaben.
19. Haftung
19.1 Wir haften nicht für Lieferanten, insbesondere nicht für ihre Angebote, ihre Leistungen und die Erfüllung von Verträgen zwischen Agentur und Lieferant.
19.2 Wir haften nur für Vorsatz und grobe Fahrlässigkeit. Die Haftung für leichte Fahrlässigkeit ist ausgeschlossen, außer für Personenschäden.
19.3 Bei grober Fahrlässigkeit ist unsere Haftung für alle Schadensfälle innerhalb von zwölf Monaten zusammen auf die Entgelte begrenzt, die die Agentur in den zwölf Monaten vor dem ersten dieser Schadensereignisse bezahlt hat, mindestens aber auf 5.000 €. Das gilt nicht bei Vorsatz, bei grober Fahrlässigkeit, die dem Vorsatz gleichkommt, bei Personenschäden und bei Verletzung unserer Pflichten im Umgang mit den Daten der Agentur (Punkte 16, 16a, 21 und Auftragsverarbeitungsvertrag).
19.4 Die Punkte 19.2 und 19.3 gelten auch für Ansprüche aus dem Auftragsverarbeitungsvertrag, soweit zwingendes Recht, insbesondere Art 82 DSGVO, nicht entgegensteht; die Ausnahmen in Punkt 19.3 Satz 2 gelten auch dort. Für Unterauftragsverarbeiter haften wir nach Art 28 Abs 4 DSGVO wie für eigenes Handeln.
20. Änderungen von Leistungen, Preisen und Bedingungen
20.1 Wir dürfen Mailingbid für Agenturen weiterentwickeln, Funktionen ändern, ersetzen oder einstellen, solange die Kernleistungen erhalten bleiben: Lieferantenliste, Ausschreibungen verschicken, Angebote per Formular, Vergleich und Vergabe. Eine Änderung, die die Nutzung für die Agentur wesentlich verschlechtert, auch eine Änderung der Schnittstelle, die bestehende Anbindungen unbrauchbar macht, teilen wir wie eine Änderung dieser Nutzungsbedingungen mit (Punkt 20.3), außer die Änderung ist aus Gründen der Sicherheit sofort nötig; dann teilen wir sie unverzüglich mit.
20.2 Preisänderungen teilen wir den Inhabern und der Rechnungsadresse mindestens vier Wochen vorher in Textform mit. Sie gelten frühestens ab dem ersten Abrechnungszeitraum, der nach Ablauf dieser Frist beginnt. Bis dahin kann die Agentur das Abo nach Punkt 11.2 zum Ende des laufenden Zeitraums kündigen; darauf weisen wir in der Mitteilung hin.
20.3 Wir können diese Nutzungsbedingungen ändern, soweit das nötig ist wegen einer Änderung von Gesetzen oder Rechtsprechung, einer behördlichen Anordnung, einer Änderung von Funktionen nach Punkt 20.1, der Sicherheit des Betriebs oder geänderter Bedingungen der Dienstleister, die wir für unsere Leistung einsetzen, oder um Unklarheiten zu beseitigen. Entgelte, Tarifgrenzen (Punkt 7.1) und die Kernleistungen nach Punkt 20.1 ändern wir auf diesem Weg nicht; für Entgelte gelten die Punkte 20.2 und 20.4. Änderungen teilen wir den Inhabern mindestens vier Wochen vor ihrem Inkrafttreten in Textform mit. Widerspricht die Agentur nicht bis zum Inkrafttreten, gelten die Änderungen als angenommen; darauf weisen wir in der Mitteilung ausdrücklich hin. Widerspricht sie, können beide Seiten den Nutzungsvertrag und das Abo zum Inkrafttreten kündigen; bis zum Ende gilt die bisherige Fassung, und bereits bezahlte Entgelte für die Zeit danach erstatten wir anteilig. Wir können stattdessen auch eine ausdrückliche Zustimmung im Arbeitsbereich verlangen.
20.4 Wertsicherung. Die Entgelte sind wertgesichert nach dem von der Statistik Austria verlautbarten Verbraucherpreisindex 2020 oder dem an seine Stelle tretenden Index. Ausgangsbasis ist die Indexzahl für den Monat, in dem diese Nutzungsbedingungen in Kraft treten (Punkt 25). Wir dürfen die Entgelte einmal je Kalenderjahr im Ausmaß der seit der Ausgangsbasis oder der letzten Anpassung eingetretenen Veränderung des Index anpassen, erstmals für Abrechnungszeiträume, die mehr als zwölf Monate nach dem Inkrafttreten beginnen. Eine Anpassung nach diesem Punkt teilen wir den Inhabern und der Rechnungsadresse mindestens vier Wochen vorher in Textform mit; sie ist keine Preisänderung nach Punkt 20.2 und löst das dortige Kündigungsrecht nicht aus. Sinkt der Index, senken wir die Entgelte auf Verlangen der Agentur im selben Ausmaß.
21. Vertraulichkeit
21.1 Wir behandeln die Inhalte der Agentur vertraulich, insbesondere ihre Lieferantenliste, Ausschreibungen, Angebote und Preise und Angaben über ihre Auftraggeber. Wir geben sie nur an die von der Agentur eingeladenen Lieferanten im vorgesehenen Umfang und an Auftragsverarbeiter weiter, die wir entsprechend verpflichtet haben, oder wenn wir gesetzlich dazu verpflichtet sind.
21.2 Verlangt eine Behörde eines Drittstaats Zugang zu Daten der Agentur, teilen wir der Agentur das vor der Erfüllung des Verlangens mit, soweit nicht ein Zweck der Strafverfolgung entgegensteht (Art 32 Abs 5 Datenverordnung).
21.3 Die Pflichten aus Punkt 21 gelten auch nach dem Ende des Nutzungsvertrags.
22. Übertragung des Vertrags
Erwirbt ein anderer unser Unternehmen und führt er Mailingbid für Agenturen fort, insbesondere eine von uns gegründete Gesellschaft, gehen der Nutzungsvertrag samt Abo und der Auftragsverarbeitungsvertrag nach § 38 UGB auf ihn über. Wir oder der Erwerber teilen der Agentur den Übergang in Textform mit und weisen dabei auf ihr Widerspruchsrecht hin. Die Agentur kann dem Übergang binnen drei Monaten nach Zugang dieser Mitteilung widersprechen; dann wird das Vertragsverhältnis mit uns fortgesetzt (§ 38 Abs 2 UGB).
23. Kontakt, Mitteilungen und Kontaktstellen
23.1 Für alle Erklärungen und Anliegen zu Mailingbid für Agenturen erreichen Sie uns unter kontakt@mailingbid.com. Erklärungen der Agentur zu Nutzungsvertrag und Abo gibt ein Inhaber ab, im Arbeitsbereich, soweit er dafür eine Funktion bietet, sonst in Textform an diese Adresse; das Abo kündigt die Agentur nach Punkt 11.2. Wir schreiben an die E-Mail-Adressen der Inhaber, für Abrechnung und Kündigung zusätzlich an die hinterlegte Rechnungsadresse, zu einzelnen Ausschreibungen an die beteiligten Mitglieder.
23.2 Zentrale Kontaktstelle nach Art 11 und 12 der Verordnung (EU) 2022/2065 für Nutzerinnen und Nutzer sowie für die Behörden der Mitgliedstaaten, die Europäische Kommission und das Europäische Gremium für digitale Dienste ist kontakt@mailingbid.com. Sie ist per E-Mail auf Deutsch und Englisch erreichbar; es antwortet ein Mensch.
24. Schlussbestimmungen
24.1 Es gilt österreichisches Recht unter Ausschluss der Verweisungsnormen des internationalen Privatrechts und des UN-Kaufrechts.
24.2 Gerichtsstand für alle Streitigkeiten aus dem Nutzungsvertrag und dem Abo ist das für Wien Innere Stadt sachlich zuständige Gericht. Wir können auch am allgemeinen Gerichtsstand der Agentur klagen.
24.3 Verbindlich ist die deutsche Fassung dieser Nutzungsbedingungen. Übersetzungen dienen dem Verständnis; bei Abweichungen gilt die deutsche Fassung.
24.4 § 9 Abs 1 und 2 sowie § 10 Abs 1 und 2 E-Commerce-Gesetz finden keine Anwendung.
24.5 Mündliche Nebenabreden bestehen nicht. Änderungen und Ergänzungen bedürfen der Textform.
24.6 Sollte eine Bestimmung dieser Nutzungsbedingungen unwirksam sein, bleiben die übrigen wirksam. An die Stelle der unwirksamen Bestimmung tritt eine wirksame, die ihrem Zweck am nächsten kommt.
25. Inkrafttreten
Diese Nutzungsbedingungen gelten ab 03.11.2026 für jede Agentur, die sich ab diesem Tag registriert.
Anlage: Auftragsverarbeitungsvertrag nach Punkt 16.7.
Auftragsverarbeitungsvertrag
Vertrag über die Verarbeitung personenbezogener Daten im Auftrag nach Art 28 DSGVO
zwischen
der Organisation, die Mailingbid für Agenturen nutzt, wie bei der Registrierung angegeben
– im Folgenden „Verantwortlicher“ –
und
Christoph Salat, Einzelunternehmer, handelnd unter der Marke Mailingbid,
Sieveringer Straße 94/10, 1190 Wien, Österreich, UID ATU72024025,
E-Mail für die Plattform: kontakt@mailingbid.com, E-Mail des Betreibers: kontakt@salat.tech
– im Folgenden „Auftragsverarbeiter“ –
gemeinsam die „Parteien“.
1. Gegenstand und Verhältnis zu den Nutzungsbedingungen
1.1 Der Auftragsverarbeiter stellt dem Verantwortlichen Mailingbid für Agenturen nach den Nutzungsbedingungen für Mailingbid für Agenturen (im Folgenden „Nutzungsbedingungen“) bereit. Die Begriffe „Nutzungsvertrag“ (Vertrag über die Nutzung des Arbeitsbereichs) und „Abo“ haben die Bedeutung, die ihnen die Nutzungsbedingungen geben. Dieser Vertrag regelt die Pflichten der Parteien für die personenbezogenen Daten, die der Auftragsverarbeiter dabei im Auftrag des Verantwortlichen verarbeitet (im Folgenden „Auftragsdaten“).
1.2 Dieser Vertrag ist Anlage und Bestandteil der Nutzungsbedingungen (NB 1.4, 16.7). Er wird mit der Zustimmung zu den Nutzungsbedingungen bei der Registrierung geschlossen (NB 4.2).
1.3 Begriffe wie „personenbezogene Daten“, „Verarbeitung“, „Verantwortlicher“, „Auftragsverarbeiter“, „Verletzung des Schutzes personenbezogener Daten“ und „Drittland“ haben die Bedeutung, die ihnen die Verordnung (EU) 2016/679 („DSGVO“) gibt.
1.4 Mitglieder des Verantwortlichen im Sinne dieses Vertrags sind die Personen, die der Verantwortliche als Mitglieder seiner Organisation auf der Plattform führt; Inhaber sind die Mitglieder mit der Rolle „Inhaber“.
2. Art, Zweck und Umfang der Verarbeitung
2.1 Zweck. Der Auftragsverarbeiter verarbeitet Auftragsdaten ausschließlich, um dem Verantwortlichen die Funktionen von Mailingbid für Agenturen bereitzustellen: eine eigene Lieferantenliste führen, Ausschreibungen für Mailings ausarbeiten, die eigenen Lieferanten dazu einladen, deren Angebote und Absagen entgegennehmen, im Team besprechen, vergleichen und vergeben, jeweils auch über die Programmierschnittstelle (API) und Webhooks.
2.2 Verarbeitungen im Auftrag. Im Auftrag des Verantwortlichen verarbeitet der Auftragsverarbeiter:
a) die Lieferantenliste des Verantwortlichen samt Kontaktpersonen bei den Lieferanten (Anlegen, auch per CSV-Import, Speichern, Ändern, Deaktivieren, Entfernen);
b) Ausschreibungen samt Dateien, Teilen und Ländern, einschließlich der Erzeugung der Ausschreibung als PDF;
c) den Versand von E-Mails an die Kontaktpersonen der eingeladenen Lieferanten im Namen des Verantwortlichen: Einladungen, erneute Einladungen, Mitteilungen über einen neuen Zugangslink, Rückgaben eines Angebots zur Korrektur, Erinnerungen vor der Angebotsfrist, die Bitte, ein vom Auftragsverarbeiter aus einer E-Mail erfasstes Angebot zu prüfen (Ziffer 2.4), und Mitteilungen über das Ergebnis der Vergabe, samt den Vermerken, welche E-Mail an welche Kontaktperson verschickt wurde;
d) die Bereitstellung der Ausschreibung für die eingeladenen Kontaktpersonen im Lieferantenportal und die Entgegennahme ihrer Angebote und Absagen samt Anhängen;
e) Vergaben (gewählte Angebote, Zeitpunkt) und interne Anmerkungen zur Vergabe, soweit diese Daten Dritter enthalten;
f) Daten Dritter, die Mitglieder in Kommentare zu Ausschreibungen schreiben;
g) die Übermittlung von Ereignissen an die vom Verantwortlichen eingetragenen Webhook-Adressen samt Zustellprotokoll;
h) Daten, die der Verantwortliche über die API sendet oder abruft, im selben Umfang wie bei Eingaben im Arbeitsbereich, und den Export nach NB 16a.4;
i) Antworten von Lieferanten aus dem Mail-Eingang ab ihrer Übergabe an den Verantwortlichen nach Ziffer 2.4;
j) E-Mails an Mitglieder des Verantwortlichen, soweit sie Auftragsdaten enthalten (etwa Mitteilungen über eingegangene Angebote, Absagen oder das Erreichen der Frist).
2.3 Art der Verarbeitung. Erheben, Erfassen, Ordnen, Speichern, Anpassen, Abfragen, Verwenden, Übermitteln an die vom Verantwortlichen bestimmten Empfänger, Bereitstellen zum Export, Einschränken, Löschen.
2.4 Antworten per E-Mail. Jede Einladung trägt eine eigene Antwortadresse des Auftragsverarbeiters. Der Auftragsverarbeiter nimmt Antworten an diese Adressen entgegen, prüft sie und übergibt dem Verantwortlichen erst geprüfte Inhalte: als erfasstes Angebot, als vermerkte Absage oder als weitergeleitete E-Mail. Bis zu dieser Übergabe verarbeitet der Auftragsverarbeiter die Antworten nach seiner Datenschutzerklärung in eigener Verantwortung; mit der Übergabe werden die übergebenen Inhalte Auftragsdaten. Mit dem Export nach NB 16a.4 lit k gelten auch die exportierten E-Mails als übergeben. Angaben aus Ausschreibungen des Verantwortlichen verwendet der Auftragsverarbeiter dabei nur, soweit es für die Zuordnung und Auslesung der Antworten erforderlich ist, und nur in dessen Auftrag; hierzu erteilt der Verantwortliche mit diesem Vertrag die Weisung.
2.5 Eigene Verarbeitungen des Auftragsverarbeiters. Nicht Gegenstand dieses Vertrags sind Verarbeitungen, für die der Auftragsverarbeiter selbst Verantwortlicher ist und über die er in seiner Datenschutzerklärung informiert, insbesondere:
a) Konten, Anmeldung und Sitzungen der Mitglieder, die Organisation selbst, die Rollen im Team und Einladungen ins Team, sowie die Angaben zu Mitgliedern, die die Plattform bei deren Handlungen festhält oder verwendet (etwa anlegendes, einladendes, bestätigendes und vergebendes Mitglied, Verfasser und Lesestand von Kommentaren, Bestätigungen der Arbeitsschritte, Name und E-Mail-Adresse des einladenden Mitglieds in Einladungen);
b) Abo, Abrechnung und Zahlungsabwicklung einschließlich der Übermittlung an den Zahlungsdienstleister;
c) Konto und Anmeldung der Kontaktpersonen der Lieferanten im Lieferantenportal; eine Person, die in mehreren Lieferantenlisten steht, hat dort ein gemeinsames Konto;
d) die Entgegennahme, Prüfung und Auslesung von Antworten im Mail-Eingang bis zur Übergabe nach Ziffer 2.4, einschließlich der Hinweise an das Büro des Auftragsverarbeiters über neu eingegangene Antworten;
e) Organisationsschlüssel für die API, Protokolle der Hintergrundarbeiten, Zähler gegen Missbrauch, Fehlerprotokolle sowie Meldungen an das Büro des Auftragsverarbeiters;
f) die Statistik über die Nutzung der öffentlichen Website (der Arbeitsbereich der Agenturen wird dabei nicht erfasst).
2.6 Keine Verwendung für eigene Zwecke. Der Auftragsverarbeiter verwendet Auftragsdaten nicht für eigene Zwecke. Insbesondere nutzt er die Lieferantenliste des Verantwortlichen nicht für seinen Marktplatz und gibt sie keinem anderen Kunden bekannt.
3. Art der Daten und Kategorien betroffener Personen
3.1 Datenarten, Kategorien betroffener Personen und die jeweilige Speicherdauer ergeben sich aus Anlage 3.
3.2 Die Plattform ist nicht dafür bestimmt, Adressdaten der Empfängerinnen und Empfänger von Mailings (etwa Spenderinnen und Spender), besondere Kategorien personenbezogener Daten (Art 9 DSGVO) oder Daten über strafrechtliche Verurteilungen (Art 10 DSGVO) zu verarbeiten. Der Verantwortliche lädt solche Daten weder als Datei noch in Freitextfeldern hoch. Der Auftragsverarbeiter trifft für solche Daten keine über Anlage 1 hinausgehenden Schutzmaßnahmen.
4. Dauer
4.1 Dieser Vertrag beginnt mit seinem Abschluss nach Ziffer 1.2. Er gilt bis zum Abschluss der Löschung der Auftragsdaten nach Ziffer 14 fort, auch über das Ende eines Abos und des Nutzungsvertrags hinaus.
4.2 Das Recht beider Parteien, den Nutzungsvertrag aus wichtigem Grund zu kündigen (NB 13.1), bleibt unberührt.
5. Weisungen
5.1 Der Auftragsverarbeiter verarbeitet Auftragsdaten nur auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf die Übermittlung in ein Drittland, sofern er nicht durch das Recht der Union oder Österreichs zur Verarbeitung verpflichtet ist. In einem solchen Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art 28 Abs 3 lit a DSGVO).
5.2 Dokumentierte Weisungen sind die Nutzungsbedingungen, dieser Vertrag und jede Handlung, die ein Mitglied des Verantwortlichen mit den Funktionen der Plattform auslöst, im Arbeitsbereich oder über die API: etwa einen Kontakt anlegen oder entfernen, eine Ausschreibung verschicken, eine Frist verschieben, einen Kommentar löschen, eine Webhook-Adresse eintragen, einen Export abrufen. Löschungen nach Ziffer 14 führt der Auftragsverarbeiter auf Weisung dieses Vertrags aus. Meldungen nach Art 16 und Begründungen nach Art 17 der Verordnung (EU) 2022/2065 bearbeitet der Auftragsverarbeiter, weil das Unionsrecht ihn dazu verpflichtet (Ziffer 5.1). Sperrt oder entfernt er Inhalte nach NB 14.9, beschränkt er die Verarbeitung auf das Erforderliche (Sperren, Sicherung zu Beweiszwecken, Löschen) und unterrichtet den Verantwortlichen nach NB 14.11.
5.3 Weisungen außerhalb der Funktionen der Plattform erteilen Inhaber in Textform an kontakt@mailingbid.com. Der Auftragsverarbeiter führt sie aus, soweit sie ihm technisch und organisatorisch zumutbar sind. Den Aufwand für Weisungen und Unterstützungsleistungen außerhalb der Funktionen der Plattform kann er nach vorheriger Mitteilung in angemessener Höhe verrechnen, außer der Aufwand beruht auf einem Verstoß des Auftragsverarbeiters gegen diesen Vertrag oder die DSGVO; ausgenommen sind Wechsel, Export und Unterstützung nach NB 16a (NB 16a.6).
5.4 Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, informiert er den Verantwortlichen unverzüglich (Art 28 Abs 3 UAbs 2 DSGVO). Er darf die Ausführung der Weisung aussetzen, bis der Verantwortliche sie bestätigt oder ändert.
6. Pflichten des Verantwortlichen
6.1 Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung der Auftragsdaten verantwortlich, insbesondere dafür, dass er die Kontaktdaten seiner Lieferanten und die Inhalte seiner Ausschreibungen, Kommentare und Anmerkungen verarbeiten und an die von ihm gewählten Lieferanten übermitteln darf.
6.2 Der Verantwortliche informiert die betroffenen Personen, insbesondere die Kontaktpersonen seiner Lieferanten, nach Art 13 und 14 DSGVO. Der Auftragsverarbeiter unterstützt ihn dabei, indem jede Einladung den Verantwortlichen als für die Kontaktdaten verantwortlich nennt, auf dessen Datenschutzinformation verweist, wenn der Verantwortliche im Arbeitsbereich einen Link dazu hinterlegt hat, und jede E-Mail der Plattform in der Fußzeile auf die Datenschutzerklärung von Mailingbid verweist. Diese Unterstützung ersetzt die Information durch den Verantwortlichen nicht.
6.3 Der Verantwortliche gibt in Freitextfelder (Notizen, Hinweise, Bezeichnungen von Teilen, eigene Referenzen, Kommentare, Nachrichten an Lieferanten) nur die für den jeweiligen Zweck erforderlichen personenbezogenen Daten ein. Ihm ist bekannt, dass
a) eigene Referenzen zu Ausschreibungen und Lieferanten unverändert an seine Webhook-Adressen übermittelt werden,
b) die Bezeichnungen von Teilen und die übrigen Angaben zum Aufbau einer Ausschreibung den eingeladenen Lieferanten angezeigt und für die Auslesung von Antworten verwendet werden.
6.4 Wohin Ereignisse an Webhook-Adressen gehen, bestimmt allein der Verantwortliche. Für die empfangenden Systeme, ihren Standort und eine damit verbundene Übermittlung in ein Drittland ist er verantwortlich.
6.5 Der Verantwortliche hält die Zugänge seiner Mitglieder und seine API-Schlüssel geheim, entfernt ausscheidende Mitglieder aus der Organisation und widerruft nicht mehr benötigte Schlüssel.
6.6 Stellt der Verantwortliche Fehler oder Unregelmäßigkeiten bei der Verarbeitung der Auftragsdaten fest, informiert er den Auftragsverarbeiter unverzüglich.
7. Vertraulichkeit und Zugriff durch den Auftragsverarbeiter
7.1 Der Auftragsverarbeiter gewährleistet, dass sich alle Personen, die Zugang zu Auftragsdaten haben, zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art 28 Abs 3 lit b DSGVO, § 6 DSG). Diese Verpflichtung gilt über das Ende ihrer Tätigkeit hinaus.
7.2 Die Verwaltungsoberfläche des Auftragsverarbeiters zeigt Lieferantenlisten, Ausschreibungen und Kommentare des Verantwortlichen nicht an. Ausgenommen sind die Prüfung eingegangener Antworten nach Ziffer 2.4 und die Suche über nicht widerrufene Einladungen, mit der das Büro eine nicht zuordenbare Antwort einer Einladung zuordnet (Anlage 1, Ziffer 1.3). Technisch kann der Auftragsverarbeiter auf die gespeicherten Daten zugreifen. Er tut dies nur, soweit es für Betrieb, Sicherheit, Fehlerbehebung, die Unterstützung des Verantwortlichen, die Ausführung einer Weisung, Maßnahmen nach NB 14.9, einen Wechsel nach NB 16a oder Löschungen nach Ziffer 14 erforderlich ist.
8. Technische und organisatorische Maßnahmen
8.1 Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen nach Art 32 DSGVO. Der Verantwortliche kann Anlage 1 vor Vertragsschluss einsehen; die Beurteilung der Angemessenheit für seine Verarbeitung obliegt ihm (Art 28 Abs 1, Art 32 DSGVO).
8.2 Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie durch gleichwertige oder bessere Maßnahmen ersetzen; das Schutzniveau darf dabei nicht sinken. Wesentliche Änderungen dokumentiert er in Anlage 1; die geltende Fassung stellt er auf Anfrage zur Verfügung.
9. Unterauftragsverarbeiter
9.1 Der Verantwortliche erteilt die allgemeine Genehmigung, weitere Auftragsverarbeiter („Unterauftragsverarbeiter“) einzusetzen (Art 28 Abs 2 DSGVO). Die bei Vertragsschluss eingesetzten und vorgesehenen Unterauftragsverarbeiter nennt Anlage 2; sie gelten als genehmigt.
9.2 Beabsichtigt der Auftragsverarbeiter, einen Unterauftragsverarbeiter hinzuzunehmen oder zu ersetzen oder einen in Anlage 2 als „vorgesehen“ bezeichneten erstmals einzusetzen, teilt er dies den Inhabern mindestens 30 Tage vorher per E-Mail mit (Name, Sitz, Tätigkeit, Ort der Verarbeitung). Der Verantwortliche kann innerhalb von 14 Tagen nach Zugang der Mitteilung aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Hält der Auftragsverarbeiter an dem Einsatz fest, kann der Verantwortliche das Abo und den Nutzungsvertrag zum Zeitpunkt des geplanten Einsatzes kündigen; bereits bezahlte Entgelte für die Zeit danach werden anteilig erstattet (Ausnahme zu NB 11.5).
9.3 Muss der Auftragsverarbeiter einen Unterauftragsverarbeiter dringend ersetzen, etwa weil dieser seine Leistung unerwartet einstellt oder die Sicherheit es erfordert, teilt er dies den Inhabern vor dem Einsatz so früh wie möglich mit Begründung der Dringlichkeit mit. Der Verantwortliche kann binnen 14 Tagen nach Zugang der Mitteilung widersprechen und dann den Nutzungsvertrag und das Abo mit sofortiger Wirkung kündigen; im Übrigen gilt Ziffer 9.2.
9.4 Der Auftragsverarbeiter setzt nur Unterauftragsverarbeiter ein, denen durch Vertrag nach Art 28 Abs 4 DSGVO im Wesentlichen dieselben Datenschutzpflichten auferlegt sind wie ihm nach diesem Vertrag, prüft dies vor dem Einsatz und stellt die maßgeblichen Verträge auf Anfrage zur Verfügung. Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter dem Verantwortlichen dafür nach Art 28 Abs 4 DSGVO wie für eigenes Handeln (Ziffer 16).
9.5 Keine Unterauftragsverarbeitung im Sinne dieses Vertrags sind:
a) Leistungen, bei denen der Dritte keinen Zugang zu Auftragsdaten erhält, etwa Netz- und Transportdienste oder die Bereitstellung von Software-Quellcode und Auslieferungswerkzeugen;
b) Übermittlungen an Empfänger, die der Verantwortliche selbst bestimmt, insbesondere an die eingeladenen Lieferanten und an seine Webhook-Adressen;
c) Dienste, die der Auftragsverarbeiter für eigene Verarbeitungen nach Ziffer 2.5 einsetzt, insbesondere den Zahlungsdienstleister für das Abo sowie Empfang, Prüfung und Auslesung eingehender Antworten bis zur Übergabe, soweit dabei keine Angaben aus Ausschreibungen des Verantwortlichen übermittelt werden (Anlage 2).
10. Ort der Verarbeitung und Übermittlung in Drittländer
10.1 Der Auftragsverarbeiter verarbeitet Auftragsdaten in der EU bzw. im EWR sowie in der Schweiz (Angemessenheitsbeschluss), siehe Anlage 2. Er übermittelt sie nur dann in ein Drittland oder an eine internationale Organisation, wenn die Voraussetzungen der Art 44 bis 49 DSGVO erfüllt sind. Welche Unterauftragsverarbeiter ihrerseits Stellen in Drittländern einsetzen und worauf sie sich dabei stützen, steht in Anlage 2.
10.2 Lädt der Verantwortliche Lieferanten mit Sitz außerhalb des Europäischen Wirtschaftsraums ein oder trägt er Webhook-Adressen ein, deren Systeme außerhalb stehen, erfolgt die Übermittlung dorthin auf seine Weisung. Ob sie zulässig ist, prüft der Verantwortliche.
11. Unterstützung bei den Rechten betroffener Personen
11.1 Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen nach Kapitel III der DSGVO zu beantworten (Art 28 Abs 3 lit e DSGVO). Die Plattform erlaubt dem Verantwortlichen selbst, Kontakte zu berichtigen und zu entfernen, Lieferanten zu deaktivieren, Kommentare zu löschen, nie verschickte Ausschreibungen zu löschen und gespeicherte Daten im Arbeitsbereich, über die API und als Export abzurufen.
11.2 Wendet sich eine betroffene Person mit einem Anliegen zu Auftragsdaten an den Auftragsverarbeiter, leitet dieser es unverzüglich an die Inhaber des Verantwortlichen weiter und beantwortet es nicht selbst, außer auf Weisung des Verantwortlichen.
11.3 Was der Verantwortliche nicht selbst mit den Funktionen der Plattform erledigen kann, etwa das Löschen bereits verschickter Ausschreibungen, eingegangener Angebote oder einzelner Angaben darin, führt der Auftragsverarbeiter auf Weisung in Textform aus; Ziffer 5.3 gilt.
12. Unterstützung bei Sicherheit, Meldungen und Folgenabschätzung
12.1 Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art 32 bis 36 DSGVO (Sicherheit, Meldung und Benachrichtigung bei Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation), insbesondere durch Auskünfte zu Anlage 1 und Anlage 2 und zu den Abläufen der Plattform.
12.2 Die Bereitstellung vorhandener Unterlagen und Auskünfte ist unentgeltlich. Darüber hinausgehenden Aufwand kann der Auftragsverarbeiter nach Ziffer 5.3 verrechnen.
13. Verletzungen des Schutzes von Auftragsdaten
13.1 Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes von Auftragsdaten unverzüglich, nachdem sie ihm bekannt geworden ist, möglichst innerhalb von 48 Stunden (Art 33 Abs 2 DSGVO). Die Meldung geht per E-Mail an die Inhaber des Verantwortlichen.
13.2 Die Meldung enthält, soweit bekannt, die Angaben nach Art 33 Abs 3 DSGVO: Art der Verletzung, soweit möglich Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen und ergriffene oder vorgeschlagene Maßnahmen, dazu eine Kontaktstelle. Was noch nicht bekannt ist, liefert der Auftragsverarbeiter ohne unangemessene weitere Verzögerung nach.
13.3 Der Auftragsverarbeiter ergreift unverzüglich die Maßnahmen, die zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen erforderlich sind. Die Meldung an die Aufsichtsbehörde und die Benachrichtigung betroffener Personen obliegen dem Verantwortlichen; der Auftragsverarbeiter unterstützt ihn dabei nach Ziffer 12.
14. Rückgabe und Löschung
14.1 Während des Nutzungsvertrags kann der Verantwortliche die Auftragsdaten im Arbeitsbereich und über die API abrufen, auch als Export nach NB 16a.4 und auch nach dem Ende eines Abos (NB 16.4). Das Verschicken neuer Ausschreibungen setzt ein laufendes Abo voraus, das Lesen nicht.
14.2 Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle Auftragsdaten oder gibt sie ihm zurück und löscht die vorhandenen Kopien, sofern nicht nach dem Recht der Union oder Österreichs eine Pflicht zur Speicherung besteht (Art 28 Abs 3 lit g DSGVO). Die Rückgabe erfolgt durch den Export nach NB 16a.4, den der Verantwortliche abrufen kann
a) nach einem Wechselverlangen mit Wechsel zu einem anderen Anbieter oder in eigene Systeme (NB 16a.1 lit a und b) während des Übergangszeitraums und des Abrufzeitraums (NB 16a.2, 16a.3); danach löscht der Auftragsverarbeiter die Auftragsdaten binnen 30 Tagen;
b) nach einem Wechselverlangen mit Wahl der Löschung (NB 16a.1 lit c) bis zum Ende der Kündigungsfrist; einen Übergangs- und einen Abrufzeitraum gibt es dann nicht, und der Auftragsverarbeiter löscht die Auftragsdaten binnen 30 Tagen nach dem Ende des Nutzungsvertrags (NB 16a.3);
c) wenn der Nutzungsvertrag auf andere Weise endet, noch 30 Tage nach dem Ende; danach löscht der Auftragsverarbeiter die Auftragsdaten binnen 30 Tagen (NB 16.5).
14.3 Auftragsdaten in Datensicherungen werden nicht gesondert gelöscht. Sie werden mit dem Ablauf der Aufbewahrung der Sicherungen überschrieben (Anlage 1, Ziffer 3), und der Auftragsverarbeiter verwendet Sicherungen bis dahin nur zur Wiederherstellung nach einem Ausfall.
14.4 Kopien von E-Mails und Versandprotokolle beim Versanddienstleister löscht dieser nach seinen eigenen Fristen (Anlage 2).
15. Nachweise und Überprüfungen
15.1 Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art 28 DSGVO zur Verfügung (Art 28 Abs 3 lit h DSGVO). Als Nachweis dienen in erster Linie dieser Vertrag mit seinen Anlagen und schriftliche Auskünfte des Auftragsverarbeiters auf konkrete Fragen.
15.2 Hält der Verantwortliche diese Nachweise im Einzelfall nicht für ausreichend, ermöglicht der Auftragsverarbeiter Überprüfungen einschließlich Inspektionen durch den Verantwortlichen oder einen von ihm beauftragten Prüfer. Überprüfungen sind mindestens 30 Tage vorher in Textform anzukündigen, finden während der üblichen Geschäftszeiten statt und dürfen den Betrieb nicht unverhältnismäßig stören; sie finden höchstens einmal im Kalenderjahr statt, außer bei Anzeichen für eine Nichteinhaltung, nach einer Verletzung des Schutzes von Auftragsdaten oder auf Anordnung einer Aufsichtsbehörde. Ein Prüfer muss zur Verschwiegenheit verpflichtet sein. Einem Prüfer, der im Wettbewerb mit dem Auftragsverarbeiter steht, kann dieser aus wichtigem Grund widersprechen.
15.3 Der Auftragsverarbeiter betreibt keine eigenen Rechenzentren; die Server stehen bei dem in Anlage 2 genannten Hosting-Anbieter. Überprüfungen dort beschränken sich auf die Nachweise, die dieser Anbieter zur Verfügung stellt.
15.4 Jede Partei trägt ihre eigenen Kosten einer Überprüfung. Den Aufwand des Auftragsverarbeiters für eine Überprüfung nach Ziffer 15.2 kann dieser nach Ziffer 5.3 verrechnen, außer die Überprüfung ergibt einen wesentlichen Verstoß des Auftragsverarbeiters gegen diesen Vertrag oder die DSGVO.
16. Haftung
16.1 Für die Haftung gegenüber betroffenen Personen gilt Art 82 DSGVO.
16.2 Im Verhältnis der Parteien gilt NB 19. Nach NB 19.4 gelten NB 19.2 und 19.3 auch für Ansprüche aus diesem Vertrag, soweit Art 82 DSGVO oder anderes zwingendes Recht nicht entgegensteht; der Höchstbetrag nach NB 19.3 gilt nicht für die Verletzung der Pflichten im Umgang mit den Daten des Verantwortlichen, für grobe Fahrlässigkeit, die dem Vorsatz gleichkommt, und für Vorsatz. Für Unterauftragsverarbeiter haftet der Auftragsverarbeiter nach Art 28 Abs 4 DSGVO wie für eigenes Handeln.
17. Rangfolge
17.1 Bei Widersprüchen geht dieser Vertrag in Fragen der Verarbeitung personenbezogener Daten im Auftrag den Nutzungsbedingungen vor (NB 1.4). Die Anlagen sind Bestandteil dieses Vertrags.
17.2 Die Datenschutzerklärung von Mailingbid informiert betroffene Personen; sie ist nicht Bestandteil dieses Vertrags.
18. Schlussbestimmungen
18.1 Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Anpassungen der Anlagen 1 und 2 richten sich nach Ziffer 8.2 und Ziffer 9.
18.2 Ändern sich zwingende Vorschriften des Datenschutzrechts, passen die Parteien diesen Vertrag entsprechend an.
18.3 Sollte eine Bestimmung dieses Vertrags unwirksam sein oder werden, bleiben die übrigen Bestimmungen wirksam. An die Stelle der unwirksamen Bestimmung tritt eine wirksame Regelung, die ihrem Zweck am nächsten kommt; im Zweifel gelten die Vorgaben des Art 28 DSGVO.
18.4 Es gilt österreichisches Recht unter Ausschluss der Verweisungsnormen. Für den Gerichtsstand gilt NB 24.2 (das für Wien Innere Stadt sachlich zuständige Gericht).
18.5 Dieser Vertrag ist in deutscher Sprache abgefasst. Übersetzungen dienen nur der Information.
Anlage 1 – Technische und organisatorische Maßnahmen (Art 32 DSGVO)
Stand bei Inkrafttreten dieses Vertrags. Wo eine Maßnahme Grenzen hat, ist das gesagt.
1. Vertraulichkeit (Art 32 Abs 1 lit b DSGVO)
1.1 Zutrittskontrolle
- Der Auftragsverarbeiter betreibt keine eigenen Serverräume. Die Plattform läuft auf einem Server der Hetzner Online GmbH im Rechenzentrumsstandort Nürnberg, Sicherungskopien liegen bei Hetzner am Standort Helsinki (Anlage 2). Den physischen Zutritt zu den Rechenzentren regelt Hetzner.
1.2 Zugangskontrolle (Systeme)
- Anmeldung am Server nur mit SSH-Schlüssel; Anmeldung mit Passwort ist abgeschaltet. Schlüssel bestehen für den Betreiber und für die automatisierte Auslieferung neuer Programmversionen.
- Wiederholte fehlgeschlagene Anmeldeversuche am Server werden automatisch gesperrt (fail2ban).
- Eine vorgeschaltete Firewall lässt nur SSH, HTTP, HTTPS und ICMP zu. Die Anwendung selbst ist nicht direkt aus dem Internet erreichbar, sondern nur über den Webserver, der die Verschlüsselung übernimmt.
- Sicherheitsupdates des Betriebssystems werden automatisch eingespielt.
- Die Anmeldung an der Plattform erfolgt ohne Passwort über Anmeldelinks per E-Mail. Ein Link ist 30 Minuten gültig und nur einmal verwendbar; gespeichert wird nur ein Hashwert. Die Seite zum Einlösen löst erst nach einem Klick ein.
- Die Sitzung liegt in einem verschlüsselten Cookie, das für Skripte der Seite nicht lesbar ist und höchstens 30 Tage gilt. Jede Sitzung trägt eine Version, die mit dem Konto gespeichert ist; eine erhöhte Version beendet bestehende Sitzungen serverseitig.
- Schreibende Anfragen von fremden Websites werden abgelehnt (Schutz gegen Cross-Site-Request-Forgery).
- API-Schlüssel werden nur einmal bei der Erstellung angezeigt; gespeichert werden ein Hashwert (SHA-256) und die ersten Zeichen. Schlüssel lassen sich widerrufen; verlässt ein Mitglied die Organisation oder wird es entfernt, werden die von ihm angelegten Organisationsschlüssel endgültig widerrufen.
1.3 Zugriffskontrolle und Mandantentrennung
- Jede Ausschreibung, jeder Lieferant der Liste und jeder Organisationsschlüssel gehört genau einer Organisation. Zugriff hat nur, wer aktives Mitglied dieser Organisation ist; die Mitgliedschaft wird bei jeder Anfrage aus der Datenbank gelesen, das Entfernen eines Mitglieds oder das Abschalten einer Organisation wirkt mit der nächsten Anfrage.
- Rollen: Inhaber und Mitglied. Das Team, die Webhook-Adressen und das Abo ändern nur Inhaber.
- Für Daten einer anderen Organisation erhält ein Mitglied dieselbe Antwort wie für Daten, die es nicht gibt; die Existenz fremder Daten lässt sich so nicht ablesen.
- Die Funktionen des Marktplatzes von Mailingbid verweigern den Zugriff auf Daten von Mailingbid für Agenturen für jeden Benutzer, auch für Verwaltungskonten.
- Verwaltungskonten des Auftragsverarbeiters sind nie Mitglied einer Organisation. Die Verwaltungsoberfläche zeigt Lieferantenlisten, Ausschreibungen und Kommentare der Organisationen nicht an; der Mail-Eingang ist nur für Verwaltungskonten erreichbar. Ausnahme: Um eine nicht zuordenbare Antwort einer Einladung zuzuordnen, kann das Büro die nicht widerrufenen Einladungen aller Organisationen nach Nummer der Ausschreibung oder Namen des Lieferanten durchsuchen; angezeigt werden dabei Name der Organisation, Name des Lieferanten, Nummer der Ausschreibung, Versandzeitpunkt, eine Absage und die Zahl der Angebote.
- Kontaktpersonen der Lieferanten erreichen nur die Einladungen ihres Lieferanten.
- Entfernt der Verantwortliche eine Kontaktperson, verliert sie den Zugriff auf die Einladungen dieses Lieferanten sofort; die Zugangslinks aller nicht widerrufenen Einladungen dieses Lieferanten werden dabei erneuert, die alten verlieren ihre Gültigkeit. Verbliebene Kontaktpersonen, die die Einladung schon per E-Mail erhalten hatten, bekommen bei offenen Ausschreibungen den neuen Link per E-Mail, soweit die Versandgrenzen es zulassen.
- Deaktiviert der Verantwortliche einen Lieferanten, verlieren dessen Kontaktpersonen den Zugriff auf seine Einladungen sofort. Die Zugangslinks werden dabei nicht erneuert: Wird der Lieferant wieder aktiviert, sind die bisherigen Einladungen mit den alten Links wieder erreichbar.
- Zugangslinks zu Einladungen, Team-Einladungen und Antwortadressen werden nicht im Klartext gespeichert, sondern als Hashwert oder werden aus einem gespeicherten Zufallswert mit einem Serverschlüssel abgeleitet.
- Ungeprüfte Anhänge eingegangener E-Mails werden getrennt von den Dateien der Ausschreibungen verwaltet und sind nur über den Mail-Eingang der Verwaltung erreichbar. Dateien liegen auf dem Server unter zufälligen Namen.
1.4 Trennung von anderen Anwendungen
- Die Plattform läuft in einem eigenen Container mit eigenem Datenspeicher. Der Server wird auch für weitere Anwendungen des Auftragsverarbeiters genutzt; diese laufen in eigenen Containern, und der Datenspeicher der Plattform ist nur in deren Container eingebunden.
1.5 Verschlüsselung und Pseudonymisierung (Art 32 Abs 1 lit a DSGVO)
- Alle Verbindungen zur Plattform laufen über HTTPS mit automatisch erneuerten Zertifikaten; der Webserver weist Browser an, die Domain samt Subdomains nur verschlüsselt aufzurufen (HSTS).
- Die Plattform spricht die Dienste für E-Mail-Versand, Abruf von Anhängen und Auslesung nur über HTTPS an; die Sicherungskopien werden über eine verschlüsselte Verbindung (SFTP) übertragen.
- Webhook-Adressen müssen HTTPS verwenden; jedes Ereignis ist mit einem Geheimnis signiert, das nicht gespeichert, sondern bei Bedarf abgeleitet wird.
- Die externen Sicherungskopien sind verschlüsselt. Datenbank, Dateien und die Sicherungen auf dem Server selbst sind nicht gesondert verschlüsselt; sie liegen im Dateisystem des Servers, das nur über die Zugänge nach Ziffer 1.2 erreichbar ist.
- Zähler gegen Missbrauch verwenden IP-Adressen nur im Arbeitsspeicher und speichern sie nicht.
2. Integrität (Art 32 Abs 1 lit b DSGVO)
2.1 Weitergabekontrolle
- Übermittlungen erfolgen nur an die in Anlage 2 genannten Unterauftragsverarbeiter und an die vom Verantwortlichen bestimmten Empfänger (eingeladene Lieferanten, Webhook-Adressen).
- Webhooks werden nicht an Adressen in privaten oder eigenen Netzen zugestellt; die aufgelöste Zieladresse wird geprüft.
- Webhook-Ereignisse enthalten nur Kennungen und die eigenen Referenzen des Verantwortlichen, keine Namen, Adressen, Preise oder Texte von Lieferanten.
- Der Versanddienstleister übergibt eingehende E-Mails nur über eine geschützte, authentifizierte Schnittstelle.
- Die Plattform kann Ergebnisse der Absenderprüfung (SPF, DKIM, DMARC) aus der Zustellung auswerten. Diese Auswertung ist derzeit bewusst nicht eingeschaltet, und der Versanddienstleister liefert solche Ergebnisse nicht mit. Jeder Absender einer eingehenden E-Mail gilt deshalb höchstens als „nicht bestätigt“; eine Mail mit einem fehlgeschlagenen Prüfergebnis in einer ihrer Kopfzeilen oder mit hohem Spam-Wert gilt als „verdächtig“. Eine an den Verantwortlichen weitergeleitete E-Mail nennt deshalb keinen Kontakt als Absender, sondern die Absenderadresse als nicht bestätigte Angabe.
2.2 Eingabekontrolle
- Die Plattform hält jeweils fest, welches Mitglied eine Ausschreibung angelegt, zuletzt Lieferanten eingeladen, einen Arbeitsschritt zuletzt bestätigt und vergeben hat, wer einen Kommentar verfasst hat und welche Person des Auftragsverarbeiters eine eingegangene E-Mail zuletzt bearbeitet hat, jeweils mit Zeitpunkt. Ein über die API ausgelöster Vorgang wird dem Mitglied zugeordnet, das den Schlüssel angelegt hat.
- Ein Änderungsprotokoll gibt es nicht. Frühere Handelnde werden überschrieben, und nicht festgehalten wird, wer Kontakte entfernt, Fristen verschiebt oder Inhalte ändert. Konten von Mitgliedern löscht die Plattform nicht; die Verweise bleiben bestehen, auch wenn ein Mitglied die Organisation verlässt.
- Ein abgegebenes Angebot ist endgültig; Änderungen erfolgen nur nach Rückgabe zur Korrektur durch den Verantwortlichen.
- Hochgeladene Dateien werden nach Dateityp und Endung geprüft (PDF, PNG, JPEG, WebP); Archive werden nicht angenommen; Anhänge eingegangener E-Mails werden nach ihrem Inhalt erkannt, Office-Dokumente und ausführbare Dateien werden nicht übernommen.
3. Verfügbarkeit, Belastbarkeit und Wiederherstellung (Art 32 Abs 1 lit b und c DSGVO)
- Täglich wird eine konsistente Kopie der Datenbank gezogen und auf Unversehrtheit geprüft; zusammen mit allen gespeicherten Dateien wird sie als Archiv abgelegt. Die Dateien selbst werden dabei nicht gesondert geprüft.
- Auf dem Server bleiben rund 15 Tagesstände. Täglich werden sie verschlüsselt auf einen Speicher bei Hetzner an einem anderen Standort (Helsinki) übertragen; dort hält der Server 7 tägliche, 4 wöchentliche und 6 monatliche Stände und löscht ältere selbst. Der Speicher ist nur aus dem Netz von Hetzner erreichbar und als Ganzes gegen versehentliches Löschen gesperrt. Gegen Löschen durch einen kompromittierten Server schützen nur die Schnappschüsse der letzten zehn Tage, die der Speicher selbst anlegt und die der Server nicht löschen kann.
- Zusätzlich ist die Sicherungsfunktion der Hetzner Cloud für den gesamten Server eingeschaltet.
- Die Wiederherstellung der Plattform aus der externen Sicherung wird regelmäßig erprobt; Datum und Ergebnis werden festgehalten.
- Die Anwendung wird bei einem Absturz automatisch neu gestartet und laufend auf ihre Funktion geprüft. Beim Beenden wartet sie auf laufende Vorgänge, damit begonnene E-Mails nicht verloren gehen.
- Ratenbegrenzungen und Größengrenzen (Uploads, gespeicherte E-Mails je Einladung und Organisation, Abrufe von Anhängen) schützen vor Überlastung und Missbrauch. Hintergrundarbeiten werden bei Fehlern wiederholt; endgültig gescheiterte melden sich beim Auftragsverarbeiter.
- Protokolle: Die Anwendung schreibt in ihre Protokolle nur den Pfad einer Anfrage, nicht deren Parameter, und entfernt geheime Werte vor dem Schreiben. Der Webserver führt kein Zugriffsprotokoll; bei Warnungen und Fehlern schreibt er Zeitpunkt, IP-Adresse und den Pfad der Anfrage in sein Protokoll, nicht deren Parameter und keine Kopfzeilen, die Zugangsdaten enthalten können. Die Protokolle von Anwendung und Webserver sind auf je drei Dateien zu 10 MB begrenzt und werden rotierend überschrieben.
4. Verfahren zur regelmäßigen Überprüfung (Art 32 Abs 1 lit d DSGVO)
- Jede neue Programmversion durchläuft vor der Auslieferung automatisierte Tests; diese prüfen unter anderem für jede Schnittstelle die Trennung der Organisationen, die Zugriffsregeln und dass die Datenschutzerklärung mit dem Verhalten der Plattform übereinstimmt.
- Änderungen an Anmeldung, Zugriffsprüfung, Mandantentrennung, Versand und Eingang von E-Mails, Webhooks und Abrechnung werden vor der Auslieferung zusätzlich von einer zweiten, unabhängigen Prüfung durchgesehen; Prüfung und Ergebnis werden beim Änderungsvorschlag festgehalten.
- Diese Anlage wird bei wesentlichen Änderungen der Plattform überprüft und angepasst.
5. Datenschutz durch Technikgestaltung und Voreinstellungen (Art 25 DSGVO)
- Eingeladene Lieferanten sehen nicht den Titel einer Ausschreibung, die Angabe, in wessen Auftrag ausgeschrieben wird, die eigene Referenz, die Codes der Länderzeilen und Rücksendeadressen; Hinweise und Dateien nur, soweit der Verantwortliche sie freigibt.
- Die Lieferantenliste eines Verantwortlichen ist für keinen anderen Kunden sichtbar und wird nicht für den Marktplatz verwendet.
- Eine importierte CSV-Datei wird nur für Vorschau und Import gelesen und nicht gespeichert.
- Nachricht des Mitglieds und PDF der Ausschreibung in einer Einladung werden nur für den Versand erzeugt und nicht gesondert gespeichert.
- Von eingehenden E-Mails wird kein HTML gespeichert; Anhänge nicht zuordenbarer E-Mails werden nicht abgerufen.
- Automatische Löschfristen nach Anlage 3.
- Der Arbeitsbereich der Agenturen wird in der Website-Statistik nicht erfasst.
6. Organisatorische Maßnahmen
- Der Auftragsverarbeiter ist ein Einzelunternehmen; der Betreiber betreibt die Plattform selbst. Personen mit Zugang zu Auftragsdaten sind nach Ziffer 7.1 des Vertrags zur Vertraulichkeit verpflichtet.
- Unterauftragsverarbeiter werden nur nach Ziffer 9 des Vertrags eingesetzt.
- Werkzeuge und Assistenten, die der Betreiber bei der Wartung des Servers einsetzt, erhalten keinen Zugriff auf Datenbankinhalte, hochgeladene Dateien und Sicherungskopien; solche Zugriffe nimmt der Betreiber selbst vor.
Anlage 2 – Unterauftragsverarbeiter
Stand bei Inkrafttreten dieses Vertrags.
| Unterauftragsverarbeiter | Sitz | Tätigkeit im Auftrag | Betroffene Auftragsdaten | Ort der Verarbeitung, Drittlandbezug | Stand |
|---|---|---|---|---|---|
| Hetzner Online GmbH | Gunzenhausen, Deutschland | Betrieb des Servers (Rechenzentrum Nürnberg); Speicher für verschlüsselte Sicherungskopien (Helsinki, Finnland); Sicherungsfunktion der Hetzner Cloud | alle Auftragsdaten | Deutschland und Finnland (EU) | eingesetzt |
| Sendinblue SAS (Brevo) | Paris, Frankreich | Versand der E-Mails der Plattform an Kontaktpersonen der Lieferanten und an Mitglieder; Aufbewahrung von Versandprotokollen und Kopien der E-Mails nach eigenen Fristen | Name und E-Mail-Adresse der Empfänger, Inhalt der E-Mails samt Nachricht des Mitglieds und PDF der Ausschreibung | Rechenzentren in Frankreich und Belgien. Nach Angaben von Brevo sitzen einige seiner Unterauftragsverarbeiter außerhalb des EWR, insbesondere in den USA und in Indien; Grundlage: Angemessenheitsbeschluss zum EU-US Data Privacy Framework oder Standardvertragsklauseln (Art 46 Abs 2 lit c DSGVO) | eingesetzt |
| Mistral AI SAS | Paris, Frankreich | KI-gestützte Auslesung von Antworten der Lieferanten; Unterauftragsverarbeiter nur, soweit dabei Angaben aus Ausschreibungen des Verantwortlichen übermittelt werden | Aufbau der Ausschreibung: je Land Menge und Auflieferdatum, je Teil Typ, Bezeichnung (bis 120 Zeichen), Format, Stückzahl und ob das Teil beigestellt wird, Leistungsumfang, interne Nummern der Länder und Teile | EU-Endpunkt; nach Angaben von Mistral Verarbeitung in Rechenzentren in der EU und in EFTA-Staaten | eingesetzt seit 20.10.2026; Auftragsverarbeitungsvertrag mit Mistral angenommen, Verwendung zum Training abgeschaltet |
| Proton AG | Plan-les-Ouates, Schweiz | Empfang und Speicherung der E-Mails an die Adressen des Auftragsverarbeiters auf den Domains mailingbid.com und salat.tech | nur fallweise: Nachrichten des Verantwortlichen (etwa Weisungen nach Ziffer 5.3) und Anliegen betroffener Personen (Ziffer 11.2), soweit sie Auftragsdaten enthalten | Schweiz; Angemessenheitsbeschluss der Europäischen Kommission (Art 45 DSGVO) | eingesetzt |
Unterauftragsverarbeiter der zweiten Stufe. Die weiteren Auftragsverarbeiter, die die genannten Dienstleister einsetzen, ergeben sich aus deren Listen in der jeweils geltenden Fassung:
- Hetzner Online GmbH: Anhang 3 „Approved Subcontractors“ des Data Protection Agreement, https://www.hetzner.com/AV/DPA_en.pdf (DPA Fassung 1.2 vom 17.02.2026, Anhang Fassung 1.0 vom 08.08.2024; abgerufen am 03.11.2026)
- Sendinblue SAS (Brevo): Anhang 2 „List of Sub-Processors“ des Data Processing Agreement in den Brevo Terms of Service, https://www.brevo.com/legal/termsofuse/ (Fassung vom 01.10.2025; abgerufen am 03.11.2026)
- Mistral AI SAS: https://trust.mistral.ai/subprocessors (Trust Center, ohne Standdatum; verwiesen aus dem Data Processing Addendum https://legal.mistral.ai/terms/data-processing-addendum, Fassung vom 27.07.2026; abgerufen am 03.11.2026)
- Proton AG: Abschnitt „Data processors“ der Datenschutzerklärung, https://proton.me/legal/privacy (Fassung vom 12.05.2026; verwiesen aus dem DPA https://proton.me/legal/dpa; abgerufen am 03.11.2026)
Unterlagen zu Übermittlungen in Drittländer (etwa Standardvertragsklauseln) stellt der Auftragsverarbeiter auf Anfrage zur Verfügung.
Dienste, die Auftragsdaten berühren, aber nicht als Unterauftragsverarbeiter dieses Vertrags tätig sind (Ziffer 9.5):
- Brevo empfängt die Antworten an der Antwort-Domain und hält deren Anhänge zum Abruf bereit, und Mistral liest die Antworten selbst aus (Text, Anhänge). Beide handeln dabei als Auftragsverarbeiter von Mailingbid für dessen eigene Verarbeitung bis zur Übergabe (Ziffer 2.4, Ziffer 2.5 lit d). Ebenso empfängt Proton die Hinweise an das Büro des Auftragsverarbeiters über neu eingegangene Antworten in diesem Rahmen.
- Stripe (Stripe Payments Europe, Limited, Irland): wickelt das Abo des Verantwortlichen ab. Der Auftragsverarbeiter verarbeitet dafür eigene Vertragsdaten (Ziffer 2.5 lit b); Auftragsdaten gehen nicht an Stripe.
- Eingeladene Lieferanten und Systeme hinter Webhook-Adressen: Empfänger, die der Verantwortliche bestimmt (Ziffer 9.5 lit b).
- Dienste für Quellcode und Auslieferung der Software: Sie erhalten keine Auftragsdaten (Ziffer 9.5 lit a).
- Die Website-Statistik betreibt der Auftragsverarbeiter selbst auf dem Server nach Zeile 1; sie erfasst den Arbeitsbereich nicht.
Anlage 3 – Datenarten, betroffene Personen und Speicherdauer
Die Speicherdauer beschreibt, wie lange die Plattform Auftragsdaten während des Nutzungsvertrags speichert. Für alle Zeilen gilt zusätzlich: Kopien in Datensicherungen werden mit deren Ablauf überschrieben (rund 15 Tage auf dem Server, bis zu sechs Monate im externen Speicher, Anlage 1 Ziffer 3); Rückgabe und Löschung nach einem Wechselverlangen oder nach dem Ende des Nutzungsvertrags regelt Ziffer 14.
Angaben zu Mitgliedern des Verantwortlichen (anlegendes, einladendes, bestätigendes und vergebendes Mitglied, Verfasser und Lesestand von Kommentaren, Bestätigungen der Arbeitsschritte) verarbeitet der Auftragsverarbeiter in eigener Verantwortung (Ziffer 2.5 lit a); sie stehen deshalb nicht in dieser Tabelle.
| Nr. | Bereich | Kategorien betroffener Personen | Datenarten | Speicherdauer während des Nutzungsvertrags |
|---|---|---|---|---|
| 1 | Lieferantenliste | Kontaktpersonen bei Lieferanten; Lieferanten, soweit natürliche Personen (etwa Einzelunternehmen) | je Lieferant: Name, Art (Lettershop, Druckerei), Land, Sprache, eigene Nummer, interne Notizen, Angabe zur ISO-27001-Zertifizierung; je Kontaktperson (höchstens zehn je Lieferant): E-Mail-Adresse, optional Name und Telefonnummer, wie der Verantwortliche sie führt | solange der Verantwortliche den Kontakt führt. Entfernen löscht die Zuordnung zur Liste sofort. Ein Lieferant, der nie eingeladen wurde, lässt sich löschen; ein eingeladener nur deaktivieren, seine Kontakte bleiben dann bis zum Entfernen gespeichert |
| 2 | Ausschreibungen | Personen, die der Verantwortliche in Inhalten nennt (etwa Ansprechpersonen eines Auftraggebers, Absender in Rücksendeadressen) | Titel, Teile und Länder (Mengen, Termine, Formate, Ausführung, Bezeichnungen, Codes der Länderzeilen), Leistungsumfang, Angebotsfrist, Zahlungsziel, Hinweise, Rücksendeadressen, Dateien, eigene Referenz, Angabe, in wessen Auftrag ausgeschrieben wird | solange die Organisation besteht; keine automatische Löschung. Eine nie verschickte Ausschreibung kann der Verantwortliche samt Dateien löschen |
| 3 | Einladungen und E-Mails an Lieferanten | Kontaktpersonen bei Lieferanten | gespeichert: eingeladener Lieferant, Zugangslink (nur als Zufallswert oder Hashwert), Antwortadresse (nur als Hashwert), Zeitpunkte von Versand, erstem Öffnen im Lieferantenportal, Absage und Widerruf, Vermerke darüber, welche E-Mail an welche Kontaktperson verschickt wurde. Nicht gespeichert, nur im Inhalt der versandten E-Mails: Nachricht des Mitglieds, PDF der Ausschreibung | gespeicherte Angaben solange die Organisation besteht; keine automatische Löschung. Inhalte der E-Mails nur in den Kopien beim Versanddienstleister nach dessen Fristen |
| 4 | Angebote und Absagen | Kontaktpersonen bei Lieferanten | Preise, Bedingungen, Kommentar, PDF-Dateien, Absagegrund, Herkunft (Portal, E-Mail), Zeitpunkte, Rückgaben zur Korrektur | solange die Organisation besteht; keine automatische Löschung |
| 5 | Vergabe und Ergebnis | Kontaktpersonen bei Lieferanten (als Empfänger der Ergebnis-E-Mail); Dritte, die in der internen Anmerkung genannt werden | gewählte Angebote, Zeitpunkt, interne Anmerkung | solange die Organisation besteht; keine automatische Löschung |
| 6 | Kommentare im Team | Dritte, die in Kommentaren genannt werden | Daten Dritter im Text eines Kommentars | so lange wie die Ausschreibung. Ein gelöschter Kommentar wird geleert |
| 7 | Übergebene Antworten aus dem Mail-Eingang (Ziffer 2.4) | Kontaktpersonen bei Lieferanten und andere Absender; Personen, die in E-Mails genannt werden | erfasstes Angebot mit den dafür gewählten PDF-Anhängen, vermerkte Absage mit Grund; bei einer Weiterleitung Betreff, Text und ausgewählte Anhänge in einer E-Mail an die Mitglieder | Angebote und Absagen wie Nr. 4; weitergeleitete E-Mails liegen in den Postfächern der Mitglieder. Die eingegangene E-Mail selbst ist bis zu einem Export kein Auftragsdatum: Der Auftragsverarbeiter verarbeitet sie in eigener Verantwortung (Ziffer 2.4, 2.5 lit d) nach seiner Datenschutzerklärung. E-Mails, aus denen er ein Angebot erfasst, eine Absage vermerkt oder die er weitergeleitet hat, erhält der Verantwortliche samt Anhängen mit dem Export nach NB 16a.4 lit k; mit dem Export gelten sie als übergeben (Ziffer 2.4) |
| 8 | Webhooks | Personen, auf die sich Kennungen und eigene Referenzen mittelbar beziehen | Adresse, Bezeichnung, abonnierte Ereignisse, Zustand; je Zustellung Inhalt des Ereignisses (Kennungen, eigene Referenzen), Versuche, Zeitpunkte, Statuscode, Fehlerklasse, Auszug einer nicht erfolgreichen Antwort (höchstens 200 Zeichen) | Zustellungen 30 Tage nach dem Ereignis automatisch gelöscht; die Adresse, bis ein Inhaber sie löscht |
| 9 | Daten über die API und Export | wie Nr. 1 bis 8 | wie Nr. 1 bis 8 | wie Nr. 1 bis 8 |
Zentrale Kontaktstelle nach dem Gesetz über digitale Dienste
Zentrale Kontaktstelle nach Art 11 und 12 der Verordnung (EU) 2022/2065 (Gesetz über digitale Dienste) für Nutzerinnen und Nutzer sowie für die Behörden der Mitgliedstaaten, die Europäische Kommission und das Europäische Gremium für digitale Dienste ist der Betreiber der Plattform, Christoph Salat (salat.tech).
E-Mail: kontakt@mailingbid.com
Sprachen: Deutsch und Englisch
Die Kontaktstelle ist per E-Mail erreichbar; es antwortet ein Mensch.