Wechsel und Export

Die Datenverordnung (Verordnung (EU) 2023/2854) verlangt Angaben dazu, wie eine Agentur zu einem anderen Anbieter wechselt und ihre Daten exportiert (Art 26 und 28). Diese Seite macht sie für Mailingbid für Agenturen. Verbindlich sind die Nutzungsbedingungen, vor allem Punkt 16a; die Seite fasst sie zusammen.

Verfahren

Ein Inhaber Ihrer Agentur kann jederzeit in Textform an kontakt@mailingbid.com verlangen, dass die Agentur zu einem anderen Anbieter oder in eigene Systeme wechselt oder dass ihre exportierbaren Daten gelöscht werden (Wechselverlangen, Punkt 16a.1).

Die Kündigungsfrist beträgt einen Monat ab Zugang des Wechselverlangens. Bis zu ihrem Ende teilen Sie uns in Textform mit, ob Sie

zu einem anderen Anbieter wechseln, mit den Angaben zu diesem Anbieter, die für den Wechsel nötig sind,
in eigene Systeme wechseln oder
die Löschung Ihrer exportierbaren Daten wünschen.

Teilen Sie bis zum Ende der Kündigungsfrist nichts mit, gilt das als Wechsel in eigene Systeme.

In den Fällen a und b beginnt mit dem Ende der Kündigungsfrist ein Übergangszeitraum von 30 Kalendertagen (Punkt 16a.2). In dieser Zeit stellen wir Ihnen alle exportierbaren Daten unverzüglich als Export bereit, unterstützen Sie und von Ihnen benannte Dritte, etwa den neuen Anbieter, angemessen beim Wechsel, erbringen unsere Leistungen nach dem Nutzungsvertrag weiter und informieren über bekannte Risiken für die unterbrechungsfreie Erbringung. Auch bei Ihrer Ausstiegsstrategie unterstützen wir Sie, insbesondere mit allen Angaben, die Sie dafür brauchen.

Ist der Übergangszeitraum technisch nicht durchführbar, teilen wir Ihnen das binnen 14 Arbeitstagen nach Zugang des Wechselverlangens mit Begründung mit und nennen einen anderen Übergangszeitraum von höchstens sieben Monaten; unsere Leistungen laufen bis zu dessen Ende weiter. Sie können den Übergangszeitraum einmal um einen Zeitraum verlängern, den Sie für angemessen halten.

Während des gesamten Wechsels und des Abrufzeitraums sorgen wir für ein hohes Maß an Sicherheit, insbesondere bei der Übertragung der Daten.

Mit dem Ende des Übergangszeitraums oder mit dem früher vollzogenen Wechsel beginnt ein Abrufzeitraum von mindestens 30 Kalendertagen, in dem Sie Ihre exportierbaren Daten noch abrufen können (Punkt 16a.3).

Nutzungsvertrag und Abo enden mit dem vollzogenen Wechsel, spätestens mit dem Ende des Übergangszeitraums, im Fall c mit dem Ende der Kündigungsfrist; wir teilen Ihnen das Ende in Textform mit. Nach dem Abrufzeitraum, im Fall c nach dem Ende des Nutzungsvertrags, löschen wir binnen 30 Tagen alle exportierbaren Daten und die übrigen Daten Ihrer Agentur vollständig. Für gesetzliche Aufbewahrungspflichten, Rechtsansprüche und Datensicherungen gilt Punkt 16.5.

Den Export brauchen Sie nicht erst mit einem Wechselverlangen zu bestellen: Ein Inhaber kann ihn während des Nutzungsvertrags jederzeit anfordern (Punkt 16.4), wie unten beschrieben.

Formate und Datenstrukturen

Der Export besteht aus Dateien im Format JSON (UTF-8) und den gespeicherten Dateien im Original, zusammen als ZIP-Archiv. Zeitpunkte stehen im Format ISO 8601 in UTC. Kennungen (id, requestId, supplierId, userId und weitere) verbinden die Dateien untereinander: requestId ist die ID einer Ausschreibung in tenders.json, supplierId die eines Lieferanten in suppliers.json.

So fordern Sie den Export an

Im Arbeitsbereich: Ein Inhaber fordert den Export auf der Seite „Team“ an und lädt die fertige Datei dort herunter.
Über die Schnittstelle: Ein Organisationsschlüssel mit dem Recht eines Inhabers fordert den Export an, fragt seinen Zustand ab und lädt die ZIP-Datei herunter, sobald er fertig ist.

POST /api/agency/v1/exports
GET /api/agency/v1/exports
GET /api/agency/v1/exports/ID/download

Die Schnittstelle ist beschrieben in der OpenAPI-Beschreibung (OpenAPI 3.1, ohne Schlüssel lesbar) und in der Entwicklerdokumentation (im Arbeitsbereich, Anmeldung nötig).

Der Export ist kostenlos, braucht kein Abo und steht während des Nutzungsvertrags auch nach dem Ende des Abos zur Verfügung.

Bekannte Beschränkungen

Den Export fordern nur Inhaber an, über die Schnittstelle nur ein Organisationsschlüssel mit dem Recht eines Inhabers.
Der Export wird im Hintergrund erstellt. Sie sehen seinen Zustand (wartet, wird erstellt, fertig, fehlgeschlagen, abgelaufen) und laden die Datei herunter, sobald er fertig ist.
Je Organisation wird höchstens ein Export gleichzeitig erstellt, und in 24 Stunden lassen sich höchstens 5 Exporte anfordern.
Die fertige Datei steht 7 Tage zum Herunterladen bereit und wird dann gelöscht. Danach fordern Sie bei Bedarf einen neuen Export an.
Ein Archiv mit mehr als 60.000 Einträgen oder mehr als 3,5 GiB erstellt der Export nicht, weil das ZIP-Format, das wir schreiben, größere Archive nicht zuverlässig lesbar abbildet; er schlägt dann fehl. Schreiben Sie uns in diesem Fall an kontakt@mailingbid.com, damit wir die Daten auf einem anderen Weg bereitstellen.
Dateien, die die Datenbank nennt, die zum Zeitpunkt des Exports aber nicht mehr gespeichert waren, fehlen im Archiv. Sie stehen in manifest.json unter missingFiles; das ist kein Fehler.
Zustellungen von Webhooks und eingegangene E-Mails enthält der Export nur, solange sie gespeichert sind; E-Mails nur, soweit sie Ihrer Agentur zugeordnet sind und wir sie ihr übergeben haben.

Datenstrukturen

Das Archiv enthält diese Dateien. Die Datei README.txt im Archiv beschreibt den Aufbau auf Deutsch und Englisch.

manifest.json: Version des Formats, Zeitpunkt, Anzahl der Einträge je Datei und die Liste der Dateien, die zum Zeitpunkt des Exports nicht mehr gespeichert waren (missingFiles), falls es welche gibt.
README.txt: Beschreibung des Aufbaus auf Deutsch und Englisch.
organization.json: Die Agentur: Name, Art, Land, Sprache, Rechnungs-E-Mail-Adresse, gewählter Tarif und Zahlungsweise, gesperrt ja oder nein.
members.json: Mitglieder: Name, E-Mail-Adresse, Sprache, Rolle, Zeitpunkt des Beitritts (userId verweist auf Verfasser, Ersteller und Bestätiger anderswo).
team_invites.json: Einladungen ins Team: Adresse, Rolle, einladendes Mitglied, Ablauf, Annahme, Widerruf. Ohne Einladungslink.
suppliers.json: Der eigene Lieferantenpool mit allen Feldern, die die Agentur führt.
supplier_contacts.json: Kontakte der Lieferanten (supplierId): E-Mail-Adresse, Name, Telefonnummer, wie die Agentur sie führt.
tenders.json: Ausschreibungen mit allen Feldern: Titel, Status, Leistungsumfang, Angebotsfrist, Zahlungsziel, Hinweise, im Auftrag von, eigene Referenz.
tender_tranches.json: Länder mit Mengen, Terminen und Rücksendeadressen je Ausschreibung (requestId).
tender_positions.json: Die Teile des Mailings je Ausschreibung (requestId).
tender_files.json: Dateien der Ausschreibungen und Angebots-PDFs (kind). Das Feld file nennt den Pfad der Datei im Ordner files/attachments/.
tender_step_confirmations.json: Bestätigte Arbeitsschritte: Schritt, bestätigendes Mitglied, Zeitpunkt.
tender_send_rounds.json: Versandrunden je Ausschreibung.
invitations.json: Einladungen: eingeladener Lieferant (supplierId), freigegebene Hinweise und Dateien, einladendes Mitglied, Versand, erstes Öffnen, Absage mit Grund, Rückzug.
invitation_mails.json: Vermerke, welche E-Mail wann verschickt wurde (Einladung, Erinnerung, Ergebnis, Hinweise an das Team), mit Einladung und Kontakt, soweit bekannt.
offers.json: Angebote mit allen Feldern: Anbieter, Umfang, Preiszeilen, Summen, Porto, Währung, Termine, Bedingungen, Variante, Herkunft (source), Status (status).
decisions.json: Vergaben: gewählte Angebote (selectedOfferIds), vergebendes Mitglied, Zeitpunkt, interne Anmerkung.
comments.json: Kommentare des Teams zu Ausschreibungen: Text, Verfasser, Bezug auf einen Teil, Zeitpunkte.
comment_reads.json: Lesestand je Mitglied und Ausschreibung.
api_keys.json: Organisationsschlüssel: Bezeichnung, erste Zeichen, anlegendes Mitglied, Zeitpunkte. Nie der Schlüssel selbst.
webhook_endpoints.json: Webhook-Adressen mit allen Feldern. Ohne Signaturgeheimnis.
webhook_deliveries.json: Zustellungen und ihr Protokoll, soweit gespeichert.
subscription.json: Das Abo: Tarif, Zahlungsweise, Status, Testphase, Abrechnungszeitraum, Kündigung, Kennungen beim Zahlungsdienstleister. Die Rechnungen stehen im Kundenportal des Zahlungsdienstleisters.
inbound_messages.json: Eingegangene E-Mails, die unser Team geprüft und der Agentur als Angebot, Absage oder Weiterleitung übergeben hat: Absender, Betreff, Text, Eingang, Ergebnis der Absenderprüfung (senderCheck), Entwurf der automatischen Auslesung (extractionDraft), Vermerk zur Behandlung (status, handledAt).
inbound_attachments.json: Anhänge dieser E-Mails (inboundMessageId). Das Feld file nennt den Pfad im Ordner files/inbound_attachments/.
files/attachments/: Dateien der Ausschreibungen und Angebots-PDFs im Original, benannt nach ID und Dateiname.
files/inbound_attachments/: Anhänge der eingegangenen E-Mails im Original, benannt nach ID und Dateiname.

Die Version des Formats steht in manifest.json.

Was nicht exportiert wird

Nicht exportierbar sind abschließend die folgenden Daten (Punkt 16a.5), weil ihre Herausgabe die Sicherheit der Plattform, der Agentur oder Dritter gefährden würde, weil sie dem internen Betrieb unseres Dienstes dienen oder weil sie nicht der Agentur, sondern Dritten oder uns zuzurechnen sind:

Hashwerte, Prüfsummen und Geheimnisse sowie die Werte, aus denen Geheimnisse abgeleitet werden, insbesondere zu Zugangslinks von Einladungen und Ausschreibungen, Antwortadressen, Einladungslinks ins Team, Organisationsschlüsseln und Signaturgeheimnissen von Webhooks.
Die übrigen Konto-, Sitzungs- und Anmeldedaten der Mitglieder, weil ein Konto auch außerhalb der Agentur genutzt werden kann, sowie die Konten der Kontakte im Lieferantenportal samt Anmeldedaten, weil ein solches Konto für alle Lieferantenlisten gilt, in denen die Person steht.
Zähler gegen Missbrauch, Protokolle der Hintergrundarbeiten, Fehlerprotokolle, das Protokoll der Benachrichtigungen des Zahlungsdienstleisters und unsere internen Vermerke zum Abgleich des Abos mit ihm.
Eingegangene E-Mails, die der Agentur nicht zugeordnet sind, weil sie ihr nicht zuzurechnen sind; E-Mails, die wir noch nicht geprüft oder nicht übergeben, sondern verworfen haben, weil die Agentur sie nach Punkt 6.2 erst nach unserer Prüfung erhält; und die Angabe, welche Person unseres Büros eine eingegangene E-Mail bearbeitet hat.

Digitale Vermögenswerte im Sinne des Art 25 Abs 2 lit e der Datenverordnung gibt es darüber hinaus nicht.

Entgelte

Für den Wechsel, den Export und die Unterstützung beim Wechsel verlangen wir keine Entgelte (Punkt 16a.6). Die Schnittstelle steht für den Export und den Wechsel unentgeltlich zur Verfügung, auch ohne Abo und auch für übernehmende Anbieter, die Sie dafür benennen (Punkt 16a.7).

Das Entgelt für ein laufendes Abo bleibt bis zu dessen Ende geschuldet. Endet das Abo wegen des Wechsels vor dem Ende des Abrechnungszeitraums, werden bereits bezahlte Entgelte nicht anteilig erstattet (Punkt 11.5).

Gerichtsbarkeit der eingesetzten Infrastruktur

Die IKT-Infrastruktur, auf der Mailingbid für Agenturen läuft, steht in diesen Ländern und unterliegt deren Recht (Dienstleister und Orte der Verarbeitung nach Anlage 2 des Auftragsverarbeitungsvertrags):

Hetzner Online GmbH, Deutschland: Server im Rechenzentrum Nürnberg (Deutschland) und verschlüsselte Sicherungskopien im Rechenzentrum Helsinki (Finnland). Hier liegen alle Daten Ihrer Agentur.
Sendinblue SAS (Brevo), Paris, Frankreich: Versand der E-Mails der Plattform, in Rechenzentren in Frankreich und Belgien. Nach Angaben von Brevo sitzen einige seiner Unterauftragsverarbeiter außerhalb des EWR, insbesondere in den USA und in Indien.
Mistral AI SAS, Paris, Frankreich: Auslesung von Angeboten, die Lieferanten per E-Mail schicken, über einen Endpunkt in der EU; nach Angaben von Mistral in Rechenzentren in der EU und in EFTA-Staaten.
Proton AG, Schweiz: Empfang und Speicherung der E-Mails an unsere Adressen (Postfächer); Daten Ihrer Agentur nur fallweise, etwa in einer Nachricht an uns.

Welche Dienstleister ihrerseits Stellen in Drittländern einsetzen und worauf sie sich dabei stützen, steht in Anlage 2 des Auftragsverarbeitungsvertrags.

Schutz vor dem Zugriff von Behörden aus Drittstaaten

Verlangt eine Behörde eines Drittstaats Zugang zu Daten Ihrer Agentur, teilen wir Ihnen das vor der Erfüllung des Verlangens mit, soweit nicht ein Zweck der Strafverfolgung entgegensteht (Punkt 21.2, Art 32 Abs 5 Datenverordnung).

Die Plattform läuft auf einem Server in Nürnberg, ihre Sicherungskopien liegen in Helsinki. Beide Standorte liegen in der EU und gehören demselben Hoster, der Hetzner Online GmbH mit Sitz in Deutschland.

Die externen Sicherungskopien sind verschlüsselt und werden über eine verschlüsselte Verbindung (SFTP) übertragen. Alle Verbindungen zur Plattform laufen über HTTPS (TLS), ebenso die Verbindungen der Plattform zu den Diensten für E-Mail-Versand, Abruf von Anhängen und Auslesung.

Datenbank, Dateien und die Sicherungen auf dem Server selbst sind nicht gesondert verschlüsselt. Sie liegen im Dateisystem des Servers, das nur über die Zugänge erreichbar ist, die Anlage 1 des Auftragsverarbeitungsvertrags beschreibt.

Die Bedingungen im Wortlaut

Verbindlich sind die Nutzungsbedingungen und der Auftragsverarbeitungsvertrag. Die genannten Stellen: