Datenschutzerklärung

Stand: 05.11.2026

Verantwortlicher

Christoph Salat, Sieveringer Straße 94/10, 1190 Wien, Österreich
E-Mail: kontakt@salat.tech
Anfragen zur Plattform: kontakt@mailingbid.com

Aufruf der Website

Beim Aufruf der Website übermittelt Ihr Browser technisch bedingt Daten an unseren Server, insbesondere IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Browsertyp und Spracheinstellung. Wir verarbeiten sie, um die Website auszuliefern und vor Missbrauch zu schützen: Beim Stellen einer Anfrage, beim Anfordern eines Anmeldelinks und bei der Prüfung einer E-Mail-Adresse zählen wir die Versuche je IP-Adresse und je E-Mail-Adresse; ebenso zählen wir fehlgeschlagene Versuche, einen Anmelde- oder Einladungslink zu öffnen oder einzulösen (je IP-Adresse), Einladungen ins Team (je Organisation, eingeladener Adresse und IP-Adresse), das Annehmen von Einladungen und das Kündigen eines Abonnements über einen Link (je IP-Adresse) sowie Aufrufe von Einladungsseiten und der Kündigungsseite, deren Link nicht gilt (je IP-Adresse), Abgaben von Angeboten (je IP-Adresse und Einladung) und Abrufe von Dateien durch Lieferanten (je Einladung), fehlgeschlagene Anmeldungen an der Schnittstelle (je IP-Adresse), Aufrufe der Schnittstelle (je Schlüssel), eingegangene Antworten (je Einladung) und Änderungen im Arbeitsbereich (je Organisation, Mitglied, Ausschreibung, Lieferant oder Webhook-Adresse, jeweils nach unserer internen Nummer). Diese Zähler liegen nur im Arbeitsspeicher des Servers, verlieren nach höchstens 24 Stunden ihre Wirkung und werden spätestens beim nächsten Neustart der Anwendung verworfen. Bei Fehlern protokollieren die Anwendung und der vorgeschaltete Webserver Zeitpunkt, Fehler und aufgerufene Adresse; dabei können auch die IP-Adresse und Angaben aus der fehlgeschlagenen Anfrage enthalten sein. Diese Protokolle bewahren wir auf, solange sie zur Fehlerbehebung nötig sind. Von der Datenbank und den Dateien der Plattform legen wir Sicherungskopien an: Auf dem Server liegen rund 15 Tagesstände, auf einem Speicher von Hetzner in Helsinki (verschlüsselt) 7 tägliche, 4 wöchentliche und 6 monatliche Stände; dazu ist die Sicherungsfunktion der Hetzner Cloud für den Server eingeschaltet. Gelöschte Daten bleiben in diesen Kopien, bis sie ablaufen und überschrieben werden, also bis zu etwa sechs Monate. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und stabilen Betrieb der Website (Art 6 Abs 1 lit f DSGVO).

Tritt auf dem Server ein unerwarteter Fehler auf (ein Fehler der Anwendung oder eine Antwort mit Statuscode 500 oder höher, nicht aber die Antwort auf eine falsche Eingabe wie 400 oder 404) oder scheitert ein Hintergrundauftrag, melden wir ihn an eine Fehlerüberwachung (Glitchtip), die wir selbst auf demselben Server bei Hetzner in Nürnberg betreiben. Es gibt dafür keine weitere Stelle, die die Berichte erhält, und keine Übermittlung in ein Drittland; der Absender der Berichte ist der Server selbst. Ein Bericht enthält die Fehlermeldung, den technischen Ablauf (Dateien und Zeilen des Programms), den Zeitpunkt, die Methode und den Pfad der aufgerufenen Adresse ohne alles hinter dem Fragezeichen, bei einem Hintergrundauftrag dessen Art, Nummer und Versuch. Cookies, Kopfzeilen und Inhalte der Anfrage, Formulareingaben, Kennungen von Konten und Ihre IP-Adresse gehören nicht dazu. Aus den Texten entfernen wir vor dem Senden Links mit Geheimnissen, E-Mail-Adressen und die Werte von Datenbankabfragen. Weil Fehlermeldungen frei formuliert sein können, lässt sich nicht ausschließen, dass darin in seltenen Fällen ein Stück Text aus der fehlgeschlagenen Anfrage steht. Wir verarbeiten die Berichte, um Fehler zu erkennen und zu beheben und den Betrieb sicher zu halten (Art 6 Abs 1 lit f DSGVO), und löschen sie nach 90 Tagen automatisch.

Webanalyse (Umami)

Um zu verstehen, wie die Website genutzt wird, verwenden wir die Open-Source-Software Umami, die wir selbst auf unserem Server bei Hetzner in Nürnberg betreiben (Abruf über stats.mailingbid.com); außer Hetzner als Hoster erhält niemand diese Daten. Umami setzt keine Cookies und legt nichts auf Ihrem Endgerät ab; das Skript prüft lediglich, ob Sie Umami in Ihrem Browser selbst abgeschaltet haben (Eintrag „umami.disabled“ im lokalen Speicher des Browsers). Erfasst werden die aufgerufenen Seiten, die verweisende Seite (Referrer), Browser, Betriebssystem, Gerätetyp, Bildschirmgröße und Sprache, Land, Region und Stadt, die Umami aus der IP-Adresse ableitet, sowie ohne jeden Inhalt, dass eine Anfrage abgeschickt, Details gespeichert oder ein Angebot vergeben wurde, sowie dass der Papiergewicht-Rechner verwendet oder von dort eine Anfrage begonnen wurde. Beim QR-Code-Generator erfassen wir ohne Zieladresse oder andere Eingaben, dass ein Code erzeugt, eine SVG- oder PNG-Datei heruntergeladen oder eine Druckanfrage begonnen wurde. Bevor etwas gesendet wird, kürzen wir die Adressen: Die Nummer einer Anfrage wird durch einen Platzhalter ersetzt, Zugangs- und Anmeldelinks werden ohne ihren Schlüssel und der interne Verwaltungsbereich gar nicht erfasst; von den Parametern einer Adresse bleiben nur Kampagnenangaben (utm_source, utm_medium, utm_campaign, utm_content, utm_term) erhalten, von einer fremden verweisenden Seite nur ihre Domain. Die IP-Adresse wird nicht gespeichert, sondern nur flüchtig verarbeitet: Umami verrechnet sie mit der Kennung Ihres Browsers (User-Agent) und einem geheimen, monatlich wechselnden Wert zu einer Sitzungskennung, dazu kommt eine stündlich wechselnde Kennung zur Abgrenzung einzelner Besuche. Besuche lassen sich deshalb über den jeweiligen Kalendermonat hinaus nicht miteinander verknüpfen, und einzelne Besucherinnen und Besucher können wir nicht identifizieren. Die Statistikdaten bewahren wir in dieser Form unbegrenzt auf. Rechtsgrundlage ist unser berechtigtes Interesse (Art 6 Abs 1 lit f DSGVO), die Nutzung der Website statistisch auszuwerten, um Inhalte und Formulare zu verbessern und zu sehen, über welche Kanäle Besucherinnen und Besucher zu uns finden.

Anfrage stellen

Wenn Sie eine Anfrage stellen, verarbeiten wir Ihre Kontaktdaten (Name, E-Mail-Adresse, optional Organisation und Telefonnummer), die Angaben zu Ihrem Mailing (Titel, Teile des Mailings mit Format und Ausführung, Länder mit Code, Menge, Termin, Grafikvarianten, Postprodukt und Rücksendeadresse (dasselbe Land kann mehrfach vorkommen), Leistungsumfang, Angebotsfrist, Hinweise), ob Sie als Organisation oder als Agentur anfragen und gegebenenfalls in wessen Auftrag, ein gewünschtes Zahlungsziel und die Dateien, die Sie hochladen. Zweck ist, Angebote für Ihre Anfrage einzuholen und Ihnen bereitzustellen. Rechtsgrundlage ist die Durchführung vorvertraglicher Maßnahmen auf Ihre Anfrage (Art 6 Abs 1 lit b DSGVO); stellen Sie die Anfrage für eine Organisation, stützen wir die Verarbeitung Ihrer Kontaktdaten auf unser berechtigtes Interesse, Anfragen von Organisationen zu bearbeiten (Art 6 Abs 1 lit f DSGVO). Die Angabe von Name und E-Mail-Adresse ist für eine Anfrage erforderlich; ohne sie können wir keine Angebote einholen und Ihnen zustellen.

Anfragen samt Dateien, Angebote und Ihre Auswahl speichern wir, solange Ihre Anfrage bearbeitet wird oder Ihr Konto besteht, und darüber hinaus nur, soweit gesetzliche Aufbewahrungspflichten bestehen oder wir sie zur Geltendmachung oder Abwehr von Rechtsansprüchen benötigen (Art 6 Abs 1 lit f DSGVO).

Angebote einholen und vergeben

Für die Kalkulation geben wir die dafür nötigen Angaben zu Ihrer Anfrage an ausgewählte Druckereien und Lettershops weiter: Teile des Mailings, Länder mit Mengen, Terminen und Postprodukten, Grafikvarianten, Leistungsumfang, Angebotsfrist, Zahlungsziel, Hinweise zu Format und Ausführung sowie Dateien, soweit sie für die Kalkulation nötig sind. Die Anbieter sehen diese Angaben in unserem Lieferantenportal, über einen persönlichen Link oder mit ihrem Konto; Ihre Anmerkungen zur Anfrage geben wir nur nach Prüfung weiter. Ihren Namen, Ihre Kontaktdaten, die Organisation, in deren Auftrag Sie anfragen, sowie die Codes, die Sie den einzelnen Zeilen der Länderliste geben, und Rücksendeadressen erhalten diese Anbieter nicht; zeigen Dateien Ihre Organisation, ist sie für sie jedoch erkennbar. Wählen Sie Angebote verbindlich aus, speichern wir Ihre Auswahl samt Kommentar und übermitteln sie den gewählten Anbietern. Dazu geben wir Ihren Namen, Ihre Organisation, Ihre Kontaktdaten und gegebenenfalls die auftraggebende Organisation, die Codes, die Sie den einzelnen Zeilen der Länderliste geben, und Rücksendeadressen an die gewählten Anbieter weiter, damit der Auftrag geschlossen und abgewickelt werden kann. Das geschieht automatisch per E-Mail an die Kontaktpersonen des Anbieters (jede Person erhält eine eigene E-Mail); den Versand übernimmt Brevo als Auftragsverarbeiter. Hat ein Anbieter keine erreichbare Kontaktperson, übermittelt unser Büro die Angaben von Hand. Welche Kontaktperson wir für welches Angebot benachrichtigt haben, halten wir fest, damit niemand doppelt benachrichtigt oder vergessen wird. Rechtsgrundlage ist Art 6 Abs 1 lit b DSGVO. Für die Speicherdauer gilt dasselbe wie für Anfragen. Von Ansprechpersonen bei Druckereien und Lettershops verarbeiten wir für das Lieferantenportal die E-Mail-Adresse, optional den Namen, die Zeitpunkte der Kontoaktivierung und der letzten Anmeldung sowie Anmeldelinks (nur als Hashwert, 30 Minuten gültig, einmal verwendbar) und das unten beschriebene Sitzungs-Cookie; Rechtsgrundlage ist Art 6 Abs 1 lit b und f DSGVO (Einholen und Abwickeln von Aufträgen). Wir speichern diese Daten, solange die Person als Kontakt des Anbieters hinterlegt ist.

Anbieter des Marktplatzes: Zustimmung zu den AGB und Rechnungsangaben

Bevor ein Anbieter zu einer Einladung des Marktplatzes ein Angebot abgibt, stimmt eine angemeldete Kontaktperson für ihn den AGB des Marktplatzes zu, bestätigt, dass der Anbieter ein Unternehmen ist und sie ihn vertreten darf, und gibt die Rechnungsangaben des Anbieters an: Firmenname, Anschrift, Umsatzsteuer-Identifikationsnummer und eine E-Mail-Adresse für Rechnungen. Wir speichern diese Angaben beim Anbieter, dazu die Fassung der AGB, den Zeitpunkt der Zustimmung und die Kontaktperson, die zugestimmt hat. Die Zustimmung gilt für den Anbieter und alle seine Kontaktpersonen. Unser Büro sieht diese Angaben in der Lieferantenverwaltung; Auftraggebern und anderen Anbietern zeigen wir sie nicht, und bei Einladungen von Agenturen werden sie nie erhoben. Wir verarbeiten sie, um die Erfolgsprovision in Rechnung zu stellen und den Vertragsabschluss nachzuweisen; Rechtsgrundlage ist Art 6 Abs 1 lit b und c DSGVO.

Wir speichern diese Angaben, solange der Anbieter im Marktplatz geführt wird, und löschen sie mit dem Anbieter, soweit keine gesetzliche Aufbewahrungspflicht besteht. Für Rechnungen und die zugehörigen Unterlagen beträgt sie sieben Jahre (§ 132 BAO). Wird das Konto der Kontaktperson gelöscht, bleibt die Zustimmung ohne Verweis auf die Person bestehen.

Marktplatz: Abrechnung der Erfolgsprovision

Nach einer Vergabe stellen wir dem gewählten Anbieter die Erfolgsprovision auf Grundlage des angenommenen Angebots in Rechnung, wie es auf der Plattform gespeichert ist, ausgestellt auf seine Rechnungsangaben und geschickt an seine E-Mail-Adresse für Rechnungen. Ändert sich der Netto-Auftragswert um mehr als 10 % oder kommt ein Auftrag zu einer Anfrage außerhalb der Plattform zustande, teilt uns der Anbieter das per E-Mail mit dem Netto-Auftragswert mit; auf Verlangen weist er den finalen Netto-Auftragswert durch Auftragsbestätigung und Rechnung an den Auftraggeber nach und schwärzt dabei die Daten von Empfängern. Wir verarbeiten dafür den Auftragswert, diese Mitteilungen und Unterlagen samt den darin enthaltenen Angaben zum Auftraggeber sowie unsere Rechnungen und Gutschriften, um die Provision zu berechnen, in Rechnung zu stellen und zu berichtigen. Rechtsgrundlage gegenüber dem Anbieter und seinen Kontaktpersonen ist Art 6 Abs 1 lit b und c DSGVO, für die Angaben zum Auftraggeber in diesen Unterlagen unser berechtigtes Interesse, die Provision richtig abzurechnen (Art 6 Abs 1 lit f DSGVO).

Wir dürfen den Auftraggeber fragen, ob und zu welchem Wert ein Auftrag zustande gekommen ist. Dafür verwenden wir die Kontaktdaten aus seiner Anfrage oder seinem Konto und verarbeiten seine Antwort; Rechtsgrundlage ist unser berechtigtes Interesse, die Provision richtig abzurechnen und die Angaben der Anbieter zu prüfen (Art 6 Abs 1 lit f DSGVO). Eine Antwort ist freiwillig.

Diese E-Mails, also Mitteilungen und Nachweise der Anbieter, unsere Rückfragen, die Antworten der Auftraggeber sowie Rechnungen und Gutschriften, laufen über unser Postfach bei der Proton AG als Auftragsverarbeiter (siehe unten bei Kontakt per E-Mail); andere Empfänger als unser Büro und der jeweilige Anbieter als Empfänger seiner Rechnung gibt es nicht. Rechnungen und die zugehörigen Unterlagen, dazu zählen die Mitteilungen, Nachweise und Antworten zum Auftragswert, bewahren wir sieben Jahre auf (§ 132 BAO).

Marktplatz: Meldungen rechtswidriger Inhalte

Melden Sie uns per E-Mail an unsere Kontaktadresse (siehe oben) einen Inhalt des Marktplatzes, etwa eine Anfrage, eine Datei oder ein Angebot, den Sie für rechtswidrig halten (Art 16 der Verordnung (EU) 2022/2065), verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse und den Inhalt Ihrer Meldung samt Anhängen, um die Meldung zu prüfen, Ihnen den Eingang zu bestätigen und Ihnen unsere Entscheidung mit den möglichen Rechtsbehelfen mitzuteilen. Rechtsgrundlage ist Art 6 Abs 1 lit c DSGVO in Verbindung mit Art 16 der Verordnung (EU) 2022/2065. Bei Meldungen zu Straftaten nach Art 3 bis 7 der Richtlinie 2011/93/EU müssen Sie weder Namen noch E-Mail-Adresse nennen, dann können wir Ihnen allerdings nicht antworten.

E-Mails an diese Adresse empfängt und speichert die Proton AG als Auftragsverarbeiter (siehe unten bei Kontakt per E-Mail). Leiten wir daraufhin eine Anfrage, Anmerkungen oder Dateien nicht weiter, geben wir ein Angebot nicht frei, ziehen wir eine Einladung zurück oder sperren wir einen Nutzer, teilen wir dem betroffenen Auftraggeber oder Anbieter die Gründe per E-Mail mit (Art 17 der Verordnung (EU) 2022/2065): die Maßnahme, die Tatsachen, auf die wir uns stützen, ob eine Meldung der Anlass war und die möglichen Rechtsbehelfe; Ihren Namen und Ihre E-Mail-Adresse nennen wir ihm nicht.

Ihre Meldung, unsere Antworten, die Begründung an den Betroffenen und den Schriftverkehr zur Sache bewahren wir im Postfach auf, solange die Sache offen ist, und danach höchstens drei Jahre, weil wir sie zur Geltendmachung oder Abwehr von Rechtsansprüchen benötigen (Art 6 Abs 1 lit f DSGVO).

Konto und Anmeldung

Ein Konto legen wir an, wenn Sie zum ersten Mal ein Angebot verbindlich auswählen oder selbst eines anlegen, etwa für den API-Zugang; auch dann entsteht es erst, wenn Sie den Link in unserer E-Mail öffnen. Dafür verarbeiten wir Ihre E-Mail-Adresse, Ihren Namen, optional Organisation und Telefonnummer, Ihre Spracheinstellung sowie die Zeitpunkte der Kontoanlage, der Bestätigung Ihrer E-Mail-Adresse und Ihrer Bestätigung, diese Datenschutzerklärung zur Kenntnis genommen zu haben. Den AGB des Marktplatzes stimmen Sie bei der ersten Auswahl eines Angebots zu, bei der nächsten Auswahl, solange Ihr Konto der geltenden Fassung noch nicht zugestimmt hat, und beim Anlegen eines Kontos für den API-Zugang; dann speichern wir zusätzlich Ihre Bestätigung, für ein Unternehmen oder eine Organisation zu handeln, die Fassung der AGB und den Zeitpunkt Ihrer Zustimmung am Konto; Rechtsgrundlage ist Art 6 Abs 1 lit b DSGVO. Angemeldet wird ohne Passwort über Links, die wir Ihnen per E-Mail schicken; ein Link ist 30 Minuten gültig und nur einmal verwendbar, gespeichert wird davon nur ein Hashwert. Zusammen mit dem Link speichern wir die E-Mail-Adresse und, wenn Sie damit eine Auswahl bestätigen, die Auswahl samt Kommentar und gegebenenfalls Ihre Angaben für das neue Konto sowie, wenn Sie den AGB des Marktplatzes zugestimmt haben, diese Zustimmung (Fassung und Bestätigung, für ein Unternehmen zu handeln); diese Angaben bewahren wir so lange auf wie die zugehörige Anfrage bzw. Ihre Kontodaten. Rechtsgrundlage ist Art 6 Abs 1 lit b DSGVO. Übernimmt ein Konto eine Anfrage, deren Kontakt-E-Mail-Adresse eine andere ist, teilen wir dieser Kontaktadresse Name und E-Mail-Adresse des Kontos mit; Rechtsgrundlage ist unser berechtigtes Interesse, eine Übernahme über einen weitergeleiteten Zugangslink für die ursprüngliche Kontaktperson erkennbar zu machen (Art 6 Abs 1 lit f DSGVO). Erzeugen Sie API-Schlüssel, speichern wir je Schlüssel seinen Namen, seine ersten Zeichen, einen Hashwert des Schlüssels sowie die Zeitpunkte der Erstellung, der letzten Nutzung und eines Widerrufs; Anfragen über die API verarbeiten wir wie Anfragen über das Formular. Kontodaten speichern wir, solange Ihr Konto besteht; danach gilt dasselbe wie für Anfragen. Ohne Konto ist keine verbindliche Auswahl eines Angebots möglich.

E-Mails

Wir schicken Ihnen die E-Mails, die für Ihre Anfrage und Ihr Konto nötig sind: die Eingangsbestätigung mit Ihrem Zugangslink, die Nachricht über vorliegende Angebote, Anmeldelinks sowie Bestätigungen und Hinweise zu Ihrer Auswahl. Ihre Auswahl senden wir zudem, wie unten beschrieben, an die gewählten Anbieter. Dabei verarbeiten wir Ihre E-Mail-Adresse, Ihren Namen und den Inhalt der E-Mail. Rechtsgrundlage ist Art 6 Abs 1 lit b DSGVO. Den Versand übernimmt Brevo als Auftragsverarbeiter; Brevo bewahrt Versandprotokolle und Kopien der E-Mails in unserem Auftrag auf, solange sie für den Nachweis der Zustellung benötigt werden.

Kontakt per E-Mail

Schreiben Sie uns an kontakt@mailingbid.com, verarbeiten wir Ihre E-Mail-Adresse, Ihren Namen, falls angegeben, und den Inhalt Ihrer Nachricht samt Anhängen, um Ihr Anliegen zu bearbeiten. Rechtsgrundlage ist Art 6 Abs 1 lit b DSGVO, soweit es um eine Anfrage, ein Angebot oder einen Vertrag geht, sonst unser berechtigtes Interesse, Nachrichten zu beantworten (Art 6 Abs 1 lit f DSGVO). E-Mails an diese Adresse empfängt und speichert die Proton AG (Route de la Galaise 32, 1228 Plan-les-Ouates, Schweiz) als Auftragsverarbeiter. Wir bewahren die Nachrichten auf, bis Ihr Anliegen erledigt ist, und darüber hinaus nur, soweit gesetzliche Aufbewahrungspflichten bestehen oder wir sie zur Geltendmachung oder Abwehr von Rechtsansprüchen benötigen.

Ansprache von Unternehmen per Brief

Wir schreiben Unternehmen in Deutschland und Österreich, die als Agenturen, Druckereien oder Lettershops in Frage kommen, per Post an und informieren sie über Mailingbid. Dafür verarbeiten wir den Firmennamen, die geschäftliche Postadresse, Namen und Funktion einer Ansprechperson (etwa Geschäftsführung, Inhaberin oder Inhaber, Produktionsleitung), soweit das Unternehmen sie öffentlich nennt, die Website des Unternehmens, wo wir es gefunden haben, das Datum der Erfassung, ob und wann wir einen Brief geschickt haben, sowie Antworten und Widersprüche. Private Adressen und besondere Kategorien von Daten verarbeiten wir nicht; wir erstellen keine Profile, treffen keine automatisierten Entscheidungen und kaufen keine Daten bei Adresshändlern zu. Per E-Mail oder Telefon sprechen wir Unternehmen nur an, wenn sie vorher zugestimmt haben.

Die Angaben stammen von der Website des Unternehmens (Impressum, Team- und Kontaktseiten) und aus öffentlichen Verzeichnissen: Mitglieder- und Dienstleisterverzeichnissen von Branchenverbänden, der Liste zertifizierter Servicepartner der Österreichischen Post und Firmenverzeichnissen. Im Brief nennen wir die Quelle (das Impressum Ihrer Website) und den Monat der Erfassung.

Rechtsgrundlage ist unser berechtigtes Interesse, Unternehmen per Post über unser Angebot zu informieren (Art 6 Abs 1 lit f DSGVO, Erwägungsgrund 47). Die Briefe drucken und versenden wir selbst; keine Druckerei und kein Lettershop erhält die Adressen.

Das Verzeichnis führen wir in Notion (Notion Labs, Inc., USA) als Auftragsverarbeiter und als Tabelle auf unserem eigenen Rechner. Es liegt nicht in der Datenbank der Plattform und ist für Nutzerinnen und Nutzer der Plattform nicht sichtbar. Zur Übermittlung in die USA siehe „Empfänger“.

Wir speichern die Angaben bis zu einem Widerspruch und sonst, solange wir Ihr Unternehmen ansprechen wollen. Antwortet ein Unternehmen nicht, löschen wir seinen Eintrag 24 Monate nach dem letzten Brief. Nach einem Widerspruch schreiben wir Ihr Unternehmen nicht mehr an und behalten nur, was nötig ist, um den Widerspruch zu beachten: Unternehmen, Anschrift und Datum des Widerspruchs.

Ihre übrigen Rechte und das Beschwerderecht finden Sie unter „Ihre Rechte“.

Widerspruch gegen Briefe: Sie können der Verarbeitung Ihrer Daten für diese Briefe jederzeit ohne Angabe von Gründen widersprechen (Art 21 Abs 2 und 3 DSGVO), per E-Mail an kontakt@mailingbid.com oder per Post an die Anschrift unter „Verantwortlicher“. Wir schreiben Ihr Unternehmen dann nicht mehr an.

Agentur-Plattform: Konto, Organisation und Team

Registriert sich eine Agentur, verarbeiten wir den Namen der Agentur, Ihren Namen, Ihre E-Mail-Adresse, das Land der Agentur, die gewählte Sprache, den gewählten Tarif samt Zahlungsweise, Ihre Bestätigung, ein Unternehmen zu registrieren, die Fassung der Nutzungsbedingungen, der Sie zustimmen, und, wenn Sie sie angeben, Ihre UID-, Firmenbuch- oder ZVR-Nummer. Diese Angaben reisen wie bei jedem Konto im Anmeldelink mit (gespeichert wird vom Link nur ein Hashwert, er gilt 30 Minuten und lässt sich einmal verwenden); erst das Öffnen des Links legt Konto und Organisation an. Zur Organisation speichern wir ihren Namen, ihr Land, die Sprache für E-Mails in ihrem Namen, bis ein Abonnement besteht den bei der Registrierung gewählten Tarif samt Zahlungsweise (als Vorauswahl auf der Abo-Seite), auf Wunsch eine E-Mail-Adresse für Rechnungen und die Kennung ihres Kunden bei Stripe (siehe unten), zu jedem Mitglied die Rolle (Inhaber oder Mitglied) und den Zeitpunkt des Beitritts. Alle Mitglieder einer Organisation sehen Namen, E-Mail-Adressen und Rollen der übrigen Mitglieder. Als Nachweis des Vertrags speichern wir bei der Organisation außerdem die Bestätigung, für ein Unternehmen zu handeln und es vertreten zu dürfen, die Fassung der Nutzungsbedingungen und des Auftragsverarbeitungsvertrags, der zugestimmt wurde, den Zeitpunkt der Zustimmung (das Öffnen des Anmeldelinks), die zustimmende Person und, wenn sie angegeben wird, die UID-, Firmenbuch- oder ZVR-Nummer, solange die Organisation besteht; Rechtsgrundlage dafür ist Art 6 Abs 1 lit b und f DSGVO (unser Interesse, den Vertrag belegen zu können). Für die übrigen Angaben ist Rechtsgrundlage Art 6 Abs 1 lit b DSGVO.

Inhaber einer Organisation können Kolleginnen und Kollegen per E-Mail ins Team einladen. Dafür speichern wir die eingeladene E-Mail-Adresse, den einladenden Inhaber, die Zeitpunkte von Einladung, Ablauf (nach 7 Tagen), Annahme und Widerruf sowie nur einen Hashwert des Einladungslinks, und zwar bevor die eingeladene Person selbst etwas getan hat und auch dann, wenn sie noch kein Konto besitzt; an die Adresse geht eine E-Mail mit dem Namen der Agentur und dem des Einladenden. Die Einladungsseite zeigt die Adresse nur teilweise verdeckt (erster Buchstabe und Domain). Wer die Einladung annimmt, bekommt einen Anmeldelink an die eingeladene Adresse; erst dessen Öffnen macht ihn zum Mitglied. Rechtsgrundlage für die Daten der eingeladenen Person ist bis zum Beitritt unser berechtigtes Interesse, Agenturen die Zusammenarbeit im Team zu ermöglichen (Art 6 Abs 1 lit f DSGVO), danach Art 6 Abs 1 lit b DSGVO. Wird ein Mitglied entfernt oder verlässt es das Team, entfällt seine Mitgliedschaft und die Organisationsschlüssel, die es angelegt hat, werden widerrufen; sein Konto bleibt bestehen, die von ihm angelegten Ausschreibungen bleiben bei der Organisation.

Wir speichern die Daten der Organisation, ihrer Mitglieder und ihrer Einladungen, auch abgelaufener und widerrufener, solange die Organisation besteht. Nach dem Ende des Nutzungsvertrags können die Inhaber die Daten noch mindestens 30 Tage lang exportieren; danach löschen wir die Organisation mit diesen Daten innerhalb von 30 Tagen. Hat die Agentur die Löschung verlangt, löschen wir innerhalb von 30 Tagen nach dem Ende des Nutzungsvertrags. Das gilt, soweit keine gesetzliche Aufbewahrungspflicht besteht und wir sie nicht zur Geltendmachung oder Abwehr von Rechtsansprüchen benötigen (Art 6 Abs 1 lit f DSGVO); davor löschen wir auf Ihre Aufforderung. Die Konten der Personen bleiben davon unberührt. Mit der Organisation löschen wir auch die Anmeldelinks, die auf eine Einladung dieser Organisation warten. Übrige Anmeldelinks, auch abgelaufene und verbrauchte, bleiben mit der E-Mail-Adresse, den Zeitpunkten und bei einer Registrierung den mitgereisten Angaben gespeichert, bis wir sie auf Ihre Aufforderung löschen. Teilen wir den Inhabern etwas mit, das der Vertrag ihnen zusagt (einen neuen Unterauftragsverarbeiter, eine Änderung der Bedingungen oder der Preise), halten wir fest, welche Mitteilung wann an welche E-Mail-Adresse ging (Inhaber und, bei Preisen, die Rechnungsadresse), mit dem Zeitpunkt und dem Ergebnis des Versands. Wir können damit belegen, dass wir die Fristen eingehalten haben (Art 6 Abs 1 lit b und f DSGVO), und bewahren diesen Nachweis auf, solange die Organisation besteht.

Agentur-Plattform: Lieferantenliste einer Agentur

Jede Agentur führt ihre eigene Liste von Lettershops und Druckereien. Sie trägt dafür einzeln oder per CSV-Datei den Namen des Lieferanten, die Lieferantenart, das Land, die Sprache, eine eigene Nummer, interne Notizen, die Angabe, ob der Lieferant nach ISO 27001 zertifiziert ist, und die Kontakte beim Lieferanten ein: E-Mail-Adresse, optional Name und Telefonnummer, höchstens zehn je Lieferant. Eine CSV-Datei lesen wir nur für die Vorschau und den Import ein und speichern sie nicht; gespeichert wird, was die Agentur nach der Vorschau übernimmt. Welche Personen die Agentur einträgt, bestimmt sie allein; sie ist für diese Kontaktdaten verantwortlich (insbesondere für die Rechtsgrundlage und die Information der betroffenen Personen). Wir verarbeiten sie in ihrem Auftrag, um Ausschreibungen an diese Kontakte zu verschicken und ihnen den Zugang zum Lieferantenportal zu geben.

Die Liste ist für keine andere Agentur sichtbar, wird nicht für den Marktplatz verwendet und erscheint nicht in der Lieferantenverwaltung unseres Büros; als Betreiber können wir technisch auf die gespeicherten Daten zugreifen, soweit Betrieb oder Fehlerbehebung es erfordern. Dieselbe Person kann in mehreren Listen stehen (in der des Marktplatzes und in denen mehrerer Agenturen). Sie hat dann ein gemeinsames Konto für das Lieferantenportal, in das sie sich per Link an ihre E-Mail-Adresse anmeldet; Name und Telefonnummer behält jede Liste für sich, und keine Liste erfährt von einer anderen. Für dieses Konto und die Anmeldung sind wir selbst verantwortlich (Art 6 Abs 1 lit b und f DSGVO); in unserer Verwaltung sehen wir bei Kontakten des Marktplatzes, wann das Konto aktiviert wurde und wann sich die Person zuletzt angemeldet hat, auch wenn die Anmeldung wegen der Ausschreibung einer Agentur erfolgte; was die Person dort tut, zeigt unsere Verwaltung nicht.

Wir speichern einen Kontakt, solange die Agentur ihn in ihrer Liste führt. Entfernt die Agentur den Kontakt, löschen wir die Verknüpfung; war es die letzte Liste der Person, löschen wir auch ihr Konto samt Anmeldelinks. Einen Lieferanten, der schon eingeladen wurde, kann die Agentur nur deaktivieren; seine Kontakte bleiben dann gespeichert, bis die Agentur sie entfernt oder wir die Organisation nach dem Ende des Nutzungsvertrags löschen.

Stehen Ihre Daten in der Lieferantenliste einer Agentur oder haben Sie als Lieferant eine Einladung einer Agentur oder eine Antwortadresse von uns erhalten, können Sie sich mit Anliegen zu Ihren Rechten an kontakt@salat.tech wenden. Wir leiten sie an die Agentur weiter, soweit diese verantwortlich ist.

Agentur-Plattform: Ausschreibungen, Einladungen und Angebote

Eine Agentur legt Ausschreibungen an: Titel, Teile und Länder des Mailings (Mengen, Termine, Formate, Ausführung), Leistungsumfang, Angebotsfrist, Zahlungsziel, Hinweise, Dateien und freiwillig eine eigene Referenz und die Angabe, in wessen Auftrag sie ausschreibt. Dazu speichern wir den Namen und die E-Mail-Adresse des Mitglieds, das die Ausschreibung angelegt hat, und den Namen der Organisation. Verschickt die Agentur die Ausschreibung, geht an jeden Kontakt der gewählten Lieferanten eine eigene E-Mail (Versand über Brevo als Auftragsverarbeiter, Absenderadresse ist die unserer Plattform, im Text steht der Name der Agentur). Sie nennt Namen und E-Mail-Adresse des einladenden Mitglieds für Rückfragen, die Angebotsfrist und einen persönlichen Link ins Lieferantenportal, kann eine Nachricht des Mitglieds enthalten und trägt die Ausschreibung als PDF. Antworten auf diese E-Mail gehen an eine nur für diese Einladung vergebene Antwortadresse, die Brevo für uns entgegennimmt (siehe unten); ist sie nicht eingerichtet, gehen sie an das einladende Mitglied. Sendet die Agentur eine Einladung erneut oder gibt sie ein Angebot zur Korrektur zurück, geht dazu jeweils eine weitere E-Mail an die Kontakte des Lieferanten. Zwei Werktage vor der Angebotsfrist erinnern wir die Kontakte, die noch kein Angebot abgegeben haben, per E-Mail; ist die Frist erreicht, melden wir den einladenden Mitgliedern, wie viele Angebote eingegangen sind.

Eine Ausschreibung wird in Schritten ausgearbeitet (Teile, Länder, Leistungen, Dateien, Zusammenfassung), und jedes Mitglied der Organisation kann einen Schritt bestätigen, auch indem es ihn speichert. Dazu speichern wir je Schritt, welches Mitglied ihn bestätigt hat, dessen Namen zum Zeitpunkt der Bestätigung (er bleibt auch dann stehen, wenn das Konto später entfällt), den Zeitpunkt und einen Fingerabdruck (Hashwert) des Inhalts, an dem sich zeigt, ob der Schritt seither geändert wurde. Das sehen nur die Mitglieder der Organisation (auch über die Schnittstelle), kein Lieferant, keine E-Mail, kein PDF und kein Webhook; es bleibt so lange gespeichert wie die Ausschreibung, und die Bestätigung eines entfernten Teils entfällt mit dem Teil.

Anders als bei Anfragen über den Marktplatz erfahren die eingeladenen Lieferanten hier, wer anfragt: E-Mail, PDF und Lieferantenportal nennen den Namen der Agentur sowie Name und E-Mail-Adresse des einladenden Mitglieds. Titel, die Angabe, in wessen Auftrag ausgeschrieben wird, die eigene Referenz der Agentur, die Codes der einzelnen Zeilen der Länderliste und Rücksendeadressen sehen sie nicht; Hinweise und Dateien der Ausschreibung nur, soweit die Agentur sie freigibt. Ihr Angebot (Preise, Bedingungen, PDF-Dateien, Kommentar) oder ihre Absage geben die Lieferanten im Portal ab. Ein abgegebenes Angebot geht sofort und direkt an die Agentur, ohne Prüfung durch uns; die einladenden Mitglieder erhalten eine E-Mail darüber. Jede E-Mail an Kontaktpersonen des Lieferanten (Einladung, Erinnerung, erneuerter Link, zurückgegebenes und erfasstes Angebot, Ergebnis) nennt die Agentur als Verantwortliche für die Kontaktdaten (Art 14 DSGVO) und verlinkt, wenn die Agentur in den Einstellungen des Arbeitsbereichs einen Link zu ihrer eigenen Datenschutzinformation hinterlegt hat, diese Datenschutzinformation; den Link speichern wir bei der Organisation. Der Verweis auf diese Datenschutzerklärung bleibt.

Vergibt ein Mitglied die Ausschreibung, speichern wir die gewählten Angebote, das vergebende Mitglied, den Zeitpunkt und eine freiwillige interne Anmerkung. Danach erhält jeder eingeladene Lieferant, dessen Einladung nicht zurückgezogen wurde, je Kontakt eine E-Mail mit dem Ergebnis: ausgewählt (mit Angabe, wofür, und dem Hinweis, dass sich die Agentur meldet), nicht ausgewählt oder, wenn der Lieferant kein Angebot abgegeben hat, dass die Anfrage abgeschlossen ist. Die E-Mail nennt die Nummer der Anfrage und nichts über andere Lieferanten, Angebote oder Preise; Antworten darauf gehen an die Ansprechperson der Agentur.

Für die Lieferantenliste samt Kontaktdaten, die Inhalte und Dateien der Ausschreibungen, die Einladungen, Erinnerungen und Ergebnis-Mitteilungen, die eingegangenen Angebote und Vergaben, die Daten, die über die Schnittstelle und die Webhooks der Agentur gelesen oder geschrieben werden (im selben Umfang wie Eingaben im Arbeitsbereich), sowie die Angaben über Dritte in Kommentaren handeln wir im Auftrag der Agentur, die dafür verantwortlich ist (Art 28 DSGVO). Die Daten der Mitglieder verarbeiten wir nach Art 6 Abs 1 lit b DSGVO. Ausschreibungen, Einladungen und Angebote bewahren wir auf, solange die Organisation besteht. Nach dem Ende des Nutzungsvertrags können die Inhaber die Daten noch mindestens 30 Tage lang exportieren; danach löschen wir die Organisation mit ihren Ausschreibungen samt Dateien, Einladungen, Angeboten, Kommentaren, Lieferantenlisten, eingegangenen Mails samt Anhängen, Webhooks und Schlüsseln innerhalb von 30 Tagen; hat die Agentur die Löschung verlangt, innerhalb von 30 Tagen nach dem Ende des Nutzungsvertrags. Das gilt, soweit keine gesetzliche Aufbewahrungspflicht besteht. Eine Ausschreibung, die nie verschickt wurde, kann die Agentur selbst löschen; im Übrigen löschen wir auf Aufforderung, soweit keine gesetzliche Aufbewahrungspflicht besteht und wir die Daten nicht zur Geltendmachung oder Abwehr von Rechtsansprüchen benötigen. Gelöschte Daten bleiben in Sicherungskopien, bis diese ablaufen und überschrieben werden, bis zu etwa sechs Monate (siehe oben zu den Sicherungskopien).

Agentur-Plattform: Kommentare im Team

Die Mitglieder einer Organisation können zu einer Ausschreibung einander Kommentare schreiben. Wir speichern den Text, den Namen des Verfassers zum Zeitpunkt des Schreibens, die Zeitpunkte des Schreibens, einer Änderung (nur durch den Verfasser, in den ersten 15 Minuten) und des Löschens, auf Wunsch den Bezug auf einen Teil des Mailings (Nummer und Bezeichnung des Teils zum Zeitpunkt des Schreibens) sowie je Mitglied und Ausschreibung den Zeitpunkt, bis zu dem das Mitglied den Verlauf gelesen hat. Der Verlauf wird geladen, sobald ein Mitglied die Seite der Ausschreibung öffnet, und bei sichtbarem Fenster alle 20 Sekunden aktualisiert; die Lesemarke setzen wir erst, wenn der Abschnitt mit den Kommentaren kurz im Sichtfeld war, nicht schon beim Laden. Sie dient dem Zähler ungelesener Kommentare in der Oberfläche, eine E-Mail dazu gibt es nicht. Schreibt ein Mitglied über einen API-Schlüssel, erscheint der Kommentar unter dem Namen dessen, der den Schlüssel angelegt hat. Rechtsgrundlage ist Art 6 Abs 1 lit b DSGVO. Was in Kommentaren steht, bestimmen die Mitglieder; enthalten sie Daten Dritter, etwa von Kontakten bei Lieferanten, ist dafür die Agentur verantwortlich, und wir verarbeiten sie in ihrem Auftrag.

Einen Kommentar sehen nur die aktuellen Mitglieder der Organisation, zu der die Ausschreibung gehört. Kein Lieferant, keine E-Mail, kein PDF, kein Webhook und keine Seite unserer Verwaltung zeigt ihn; als Betreiber können wir technisch auf die gespeicherten Daten zugreifen, soweit Betrieb oder Fehlerbehebung es erfordern. Wer entfernt wird oder das Team verlässt, kann nichts mehr lesen oder schreiben; die Kommentare, die das Mitglied geschrieben hat, bleiben für das Team mit dem gespeicherten Namen lesbar.

Kommentare bleiben so lange gespeichert wie die Ausschreibung, zu der sie gehören, und werden mit ihr gelöscht (eine Ausschreibung, die nie verschickt wurde, kann die Agentur löschen). Löscht der Verfasser oder ein Inhaber einen Kommentar, wird der Text geleert; Verfasser, Zeitpunkte und Bezug bleiben als Platzhalter im Verlauf stehen. Die Lesemarke eines entfernten Mitglieds bleibt bis zur Löschung der Ausschreibung oder seines Kontos bestehen. Eine darüber hinausgehende automatische Löschung gibt es nicht.

Agentur-Plattform: Abonnement und Zahlung (Stripe)

Das Abonnement einer Agentur wird über Stripe abgewickelt. Zum Bezahlen und zum Verwalten von Zahlungsmittel, Rechnungen und Rechnungsangaben leiten wir Sie auf Seiten weiter, die Stripe betreibt (Stripe Checkout und Kundenportal). Gekündigt wird auf unserer Abo-Seite oder über den Link in unseren E-Mails, nicht bei Stripe. Der Checkout nennt die Nutzungsbedingungen für Agenturen mit ihrer Adresse und kann, wenn wir das eingeschaltet haben, Ihre Zustimmung dazu einholen; die Zustimmung nimmt Stripe entgegen und meldet uns, ob sie erteilt wurde. Auf unseren eigenen Seiten laden wir keine Skripte von Stripe, und Zahlungsdaten gelangen nie auf unseren Server: Zahlungsmittel (Karte oder SEPA-Lastschrift), Rechnungsadresse und gegebenenfalls Steuernummer erhebt Stripe selbst. Wir legen bei Stripe einen Kunden an und übermitteln dafür den Namen der Organisation, die Rechnungs-E-Mail-Adresse (ist keine hinterlegt, die E-Mail-Adresse des Inhabers, der das Abonnement abschließt), das Land und die Sprache der Organisation, unsere interne Nummer der Organisation sowie Tarif, Zahlungsweise und Preis. Rechtsgrundlage ist Art 6 Abs 1 lit b DSGVO.

Bei uns gespeichert werden die Kennungen des Stripe-Kunden und des Abonnements, Tarif, Zahlungsweise, Status, Ende der Testphase, Beginn und Ende des laufenden Zeitraums, ein vorgemerkter Tarifwechsel (Tarif, Zahlungsweise und Zeitpunkt), der Zeitpunkt einer Verlängerung der Testphase, der Zeitpunkt der ersten verschickten Ausschreibung (davon hängt ab, ob abgebucht wird), Zeitpunkte und Vermerke einer Kündigung und des Endes des Abonnements, ein Vermerk mit Zeitpunkt, wenn sich der Stand bei Stripe nicht bestätigen ließ, sowie ein Protokoll der Benachrichtigungen, die Stripe an uns schickt (Kennung, Art, Zeitpunkt und gegebenenfalls ein Fehlertext). Aus den Benachrichtigungen übernehmen wir Kennungen und fragen den Stand bei Stripe ab; bei einer bezahlten Rechnung lesen wir zusätzlich Rechnungskennung, Betrag, Währung und den Zeitpunkt, zu dem die Rechnung erstellt wurde, bei einer angefochtenen Zahlung Betrag und Grund, damit unser Büro informiert werden kann. Rechnungen selbst speichern wir nicht, wir fragen sie bei Stripe ab, wenn wir sie brauchen, etwa um vor einer Mail über ein ungenutzt beendetes Abonnement zu prüfen, ob etwas bezahlt wurde, oder wenn unser Büro in seiner internen Übersicht die letzten Rechnungen einer Organisation ansieht (Datum, Kennung, Nummer, Status, Betrag, Steuer, Währung und die Links zur Rechnung bei Stripe); auch dabei wird nichts davon bei uns gespeichert. Drei Ausnahmen, jeweils in einer Meldung an unser Büro: Wird für eine Organisation, die nie eine Ausschreibung verschickt hat, eine Rechnung über einen Betrag bezahlt, oder wird eine Rechnung über einen Betrag bezahlt, die erst nach einer Kündigung erstellt wurde, halten wir Namen und Nummer der Organisation, die Kennungen von Kunde, Abonnement, Rechnung und Benachrichtigung, den Status des Abonnements sowie Betrag und Währung fest, damit der Betrag erstattet werden kann; ist eine Rechnung noch offen, als Stripe das Abonnement beendet, halten wir dieselben Angaben ohne die Kennung einer Benachrichtigung fest, damit unser Büro entscheiden kann, ob es nachfragt. Ist eine dieser Meldungen verschickt, löschen wir den dazu gespeicherten Eintrag 90 Tage danach; die Mail an unser Büro bleibt in dessen Postfach. Wurde die Zustimmung zu den Nutzungsbedingungen im Checkout eingeholt, speichern wir bei der Organisation den Zeitpunkt, zu dem uns Stripe sie gemeldet hat, und die Fassung der Nutzungsbedingungen, die dabei galt. Karten- und Kontodaten, Rechnungsadresse und Steuernummer liegen ausschließlich bei Stripe. Die Daten des Abonnements speichern wir, solange die Organisation besteht; das Protokoll der Benachrichtigungen enthält keine Angaben zu Personen und wird nicht automatisch gelöscht. Unser Büro kann für eine Organisation die Höchstzahl der Ausschreibungen im laufenden Zeitraum abweichend vom Tarif festlegen; sie gilt höchstens bis zum Ende dieses Zeitraums. Dafür speichern wir die Höchstzahl, für welchen Zeitraum, welchen Tarif und welche Zahlungsweise sie gilt, eine Notiz mit dem Grund, welches Konto des Büros sie festgelegt oder aufgehoben hat und wann. Diese Einträge bleiben als Verlauf gespeichert, solange die Organisation besteht, und werden mit ihr gelöscht; wird ein Konto gelöscht, das einen Eintrag festgelegt oder aufgehoben hat, entfernen wir nur den Verweis auf dieses Konto. Rechtsgrundlage ist Art 6 Abs 1 lit b DSGVO, für den Verlauf auch unser berechtigtes Interesse, Ausnahmen nachvollziehbar festzuhalten (Art 6 Abs 1 lit f DSGVO).

Ist die automatische Steuerberechnung eingeschaltet (Stripe Tax), berechnet Stripe die Umsatzsteuer aus der Rechnungsadresse und der Steuernummer (USt-IdNr.), die Sie auf der Seite von Stripe eingeben, und weist sie auf der Rechnung aus. Wir übermitteln dafür nichts zusätzlich an Stripe, denn Rechnungsadresse und Steuernummer fragt die Seite von Stripe in jedem Fall ab, und wir speichern weder die eingegebene Adresse noch die Steuernummer. Der Satz, den wir auf der Seite von Stripe neben der Schaltfläche anzeigen, ist ein fester Text zur Abbuchung, der außerdem die Nutzungsbedingungen mit ihrer Adresse nennt, und enthält keine personenbezogenen Daten. Rechtsgrundlage ist Art 6 Abs 1 lit b DSGVO, für die Ausweisung der Steuer auf der Rechnung auch Art 6 Abs 1 lit c DSGVO; auch dafür ist Stripe unser Auftragsverarbeiter (siehe unten).

Stripe ist für diese Verarbeitung unser Auftragsverarbeiter; für eigene Zwecke (etwa Betrugsprävention und gesetzliche Pflichten) verarbeitet Stripe Daten als eigener Verantwortlicher, siehe die Datenschutzerklärung von Stripe (stripe.com/at/privacy). Vertragspartner ist nach den Angaben von Stripe für Kunden im EWR die Stripe Payments Europe, Limited (Irland). Zur Erbringung der Leistung werden Daten auch an die Stripe, LLC in den USA übermittelt; Grundlage dafür sind die im Auftragsverarbeitungsvertrag mit Stripe vereinbarten Übermittlungsinstrumente (EU-US Data Privacy Framework oder Standardvertragsklauseln).

Zum Abonnement schicken wir den Inhabern der Organisation und, wenn eine andere Rechnungs-E-Mail-Adresse hinterlegt ist, auch dieser Adresse jeweils eine eigene E-Mail (Versand über Brevo als Auftragsverarbeiter, in der Sprache des Kontos bzw. der Organisation): zu Beginn der Testphase mit Tarif, Preis und Ende der Testphase; nach der ersten verschickten Ausschreibung mit Tag und Betrag der ersten Abbuchung; als Erinnerung vor dem Ende der Testphase, in der Regel 7 Tage und 1 Tag davor (auch dann, wenn nichts abgebucht wird, weil keine Ausschreibung verschickt wurde); wenn eine ungenutzte Testphase einmal verlängert wird; wenn ein Abonnement ohne Abbuchung endet; und als Bestätigung, wenn das Abonnement gekündigt wurde. Wir schicken sie nur, solange der Stand des Abonnements bei Stripe bestätigt ist. Rechtsgrundlage ist Art 6 Abs 1 lit b DSGVO, für eine Rechnungs-E-Mail-Adresse, die keinem Inhaber gehört, unser und das berechtigte Interesse der Agentur, Mitteilungen zu Abbuchung und Kündigung dorthin zu schicken (Art 6 Abs 1 lit f DSGVO).

Die Mitteilung zur ersten Abbuchung und die Erinnerungen enthalten einen Link zum Kündigen ohne Anmeldung. Der Link ist ein von uns signierter Wert aus Nummer der Organisation, Kennung des Abonnements und Ablaufzeitpunkt, der nirgends gespeichert wird; er gilt bis drei Tage nach dem Ende der Testphase, für die er ausgestellt wurde. Wer den Link öffnet, sieht zuerst, was eine Kündigung bewirken würde: den Namen der Organisation, den Tarif, die Termine (Ende des Abonnements, Abbuchung) und den Betrag; ist das Abonnement schon beendet, weil eine Zahlung nicht eingezogen werden konnte, steht dort das und der Betrag noch offener Rechnungen. Das Öffnen kündigt nie; erst eine Schaltfläche auf der Seite tut es. Wer die E-Mail oder den Link hat, auch nach einer Weiterleitung, kann diese Angaben sehen und das Abonnement kündigen. Beim Öffnen lesen wir den Stand bei Stripe nur und ändern nichts; erst beim Klick gleichen wir ihn mit Stripe ab. Gespeichert wird die Kündigung mit ihrem Zeitpunkt, nicht, wer sie ausgelöst hat; die Bestätigung geht an die Inhaber und die Rechnungs-E-Mail-Adresse. Die Seite wird nicht in der Statistik (Umami) erfasst.

Treten bei der Abrechnung Probleme auf, etwa eine Kündigung, die Stripe nicht erreicht hat, ein Abonnement, dessen Stand sich nicht bestätigen lässt, ein Tarif, ein Termin oder ein Enddatum bei Stripe, das bei uns niemand veranlasst hat, ein zweites Abonnement derselben Organisation, eine angefochtene Zahlung, eine Abbuchung nach einer Kündigung, eine Abbuchung ohne verschickte Ausschreibung oder eine Rechnung, die noch offen war, als Stripe das Abonnement beendet hat, schicken wir eine Meldung an die Büro-Adresse der Plattform (eine Adresse auf unserer Domain mailingbid.com, die wie die Kontaktadresse die Proton AG empfängt). Sie nennt Name und Nummer der Organisation, die Kennungen bei Stripe und je nach Fall Status, Tarif, Termine, Rechnungskennung, Betrag und Währung, Grund oder Fehlertext, aber keine Zahlungsmittel und keine Inhalte von Ausschreibungen. Eine Rechnung, die nach dem Ende eines Abonnements offen geblieben ist, markieren wir bei Stripe außerdem als uneinbringlich: Stripe versucht dann nicht mehr, sie einzuziehen; sie bleibt sichtbar und kann weiter bezahlt werden. Die meisten dieser Meldungen speichern wir mit diesen Angaben zusätzlich im Protokoll der Hintergrundarbeiten, damit sie unser Büro auch dann erreichen, wenn der Mailversand in diesem Moment ausfällt; ist eine solche Meldung verschickt, löschen wir den Eintrag 90 Tage danach. Nicht dort gespeichert, sondern nur verschickt werden die Meldungen über einen Zustand, den eine spätere Prüfung wieder findet: ein ungenutztes Abonnement in der Testphase, dessen Ende bei Stripe nicht eingetragen ist, eine Kündigung, die Stripe nicht erreicht hat, ein Stand, der sich nicht bestätigen lässt, ein Preis bei Stripe, den wir nicht kennen, eine Benachrichtigung von Stripe, die wir nicht verarbeiten konnten, und ein Abonnement, das bei Stripe einem anderen Kunden gehört, sofern das nicht durch eine Benachrichtigung von Stripe auffällt, sondern bei einer anderen Prüfung.

Agentur-Plattform: API-Schlüssel und Webhooks

Mitglieder einer Organisation können Organisationsschlüssel anlegen, mit denen die eigene Software der Agentur die Schnittstelle (API) der Plattform nutzt. Je Schlüssel speichern wir seinen Namen, seine ersten Zeichen, einen Hashwert des Schlüssels (der Schlüssel selbst wird nur einmal bei der Erstellung angezeigt), das Mitglied, das ihn angelegt hat, und die Zeitpunkte der Erstellung, der letzten Nutzung (höchstens einmal je Minute aktualisiert) und eines Widerrufs. Ein Schlüssel handelt als dieses Mitglied: Eine über die Schnittstelle angelegte Ausschreibung, eine Einladung, ein Kommentar, die Bestätigung eines Schritts oder eine Vergabe trägt dessen Namen und Adresse so, als hätte es sie im Arbeitsbereich selbst ausgelöst. Was über die Schnittstelle gesendet oder abgerufen wird, verarbeiten wir wie Eingaben im Arbeitsbereich. Verlässt das Mitglied die Organisation oder wird es entfernt, werden seine Schlüssel dieser Organisation widerrufen und gelten auch bei einem späteren Wiedereintritt nicht mehr. Rechtsgrundlage ist Art 6 Abs 1 lit b DSGVO. Wir speichern die Schlüssel, auch widerrufene, solange die Organisation besteht; eine automatische Löschung gibt es nicht.

Inhaber einer Organisation können Webhook-Adressen (HTTPS) für die eigene Software der Agentur eintragen. Wir speichern die Adresse, eine freiwillige Bezeichnung, die abonnierten Ereignisse, den Zustand, das Mitglied, das sie angelegt hat, und einen Zufallswert, aus dem das Signaturgeheimnis abgeleitet wird; das Geheimnis selbst speichern wir nicht. Ändert sich etwas an einer Ausschreibung (erste Versendung, Angebot eingegangen, Absage, Frist erreicht, Vergabe), oder fordert ein Inhaber ein Testereignis an, senden wir ein signiertes JSON an diese Adressen. Es enthält nur die Kennung und den Typ des Ereignisses, den Zeitpunkt, unsere Nummer der Organisation, die Nummern der betroffenen Ausschreibung, Einladung, des Angebots, des Lieferanten oder der Vergabe sowie die eigenen Referenzen, die die Agentur an Ausschreibung und Lieferant vergeben hat; keine Namen, Adressen, Preise oder Texte von Lieferanten. Wohin die Ereignisse gehen, bestimmt allein die Agentur; für die empfangenden Systeme ist sie verantwortlich, und wir senden in ihrem Auftrag. Rechtsgrundlage ist Art 6 Abs 1 lit b DSGVO.

Zu jeder Zustellung halten wir den Inhalt des Ereignisses, den Zustand, die Zahl der Versuche, die Zeitpunkte, den Statuscode der letzten Antwort und bei einem Fehler dessen Klasse (etwa Zeitüberschreitung) fest sowie, wenn die Antwort des Empfängers kein Erfolg war, einen Auszug der Antwort (höchstens 200 Zeichen, nur Text); die Mitglieder der Organisation sehen das im Arbeitsbereich. Von der Antwort des Empfängers speichern wir sonst nichts. Eine Zustellung wird bei Fehlern höchstens achtmal versucht, verteilt auf etwa 24 Stunden; nach acht Fehlversuchen in Folge an einer Adresse schalten wir diese ab und schicken den Inhabern eine E-Mail mit dem Namen der Organisation, dem Hostnamen der Adresse (ohne Pfad), der Bezeichnung und der Zahl der Fehlversuche. Zustellungen mit ihrem Protokoll löschen wir automatisch 30 Tage nach dem Ereignis, gleich in welchem Zustand; die Adresse selbst bleibt gespeichert, bis ein Inhaber sie löscht oder die Organisation gelöscht wird.

Agentur-Plattform: Antworten der Lieferanten per E-Mail

Jede Einladung hat eine eigene Antwortadresse auf unserer Antwort-Domain. Antwortet ein Lieferant auf die Einladung, empfängt Brevo die E-Mail als unser Auftragsverarbeiter und übergibt sie über eine geschützte Schnittstelle an unseren Server. Wir speichern Absenderadresse und -name, die Adresse, an die die Mail ging (unsere Antwortadresse dabei und im Inhalt der Mail ohne ihren geheimen Teil), Betreff und Text der Mail (hat sie nur einen HTML-Teil, den daraus gewonnenen Text; das HTML selbst speichern wir nicht), technische Angaben (Nachrichten-Kennung, Datum, Spam-Wert und, soweit die Zustellung sie enthält, die Ergebnisse der Absenderprüfung des empfangenden Mailservers nach SPF, DKIM und DMARC) und die Anhänge (PDF, Bilder, Textdateien); die Anhänge laden wir bei Brevo ab und legen sie getrennt von den Dateien der Ausschreibung ab. Aus Spam-Wert und Absenderprüfung leiten wir ab, ob der Absender als bestätigt, nicht bestätigt oder verdächtig gilt. Mails, die sich keiner Einladung zuordnen lassen, speichern wir ebenfalls, weil jeder an diese Adressen schreiben kann, aber ohne ihre Anhänge: Von diesen halten wir nur Namen, angegebenen Dateityp und angegebene Größe fest sowie die Kennung, mit der sich die Datei bei Brevo abrufen lässt. Erst wenn wir eine solche Mail von Hand einer Einladung zuordnen, laden wir ihre Anhänge bei Brevo ab. Ebenso laden wir die Anhänge nicht ab, wenn die Einladung zurückgezogen ist oder wenn an einem Tag mehr Mails mit Anhängen eingehen, als unser Tageskontingent vorsieht; auch dann halten wir von ihnen nur diese Angaben fest. Gehen mehr Mails ein, als wir speichern (je Einladung 50 in 24 Stunden und 100 unbearbeitete, je Organisation 500 in 24 Stunden, ohne Zuordnung 100 in 24 Stunden; für Mails eines hinterlegten Kontakts, dessen Absender der empfangende Mailserver bestätigt hat, halten wir darüber hinaus Plätze frei: je Einladung bis 100 in 24 Stunden und 150 unbearbeitete; die Grenze je Organisation gilt für diese Mails nicht), speichern wir die weiteren nicht und halten nur fest, wie viele es je Einladung und Tag waren und wie viele davon von einem solchen Kontakt kamen.

Eine eingegangene Mail sehen zunächst nur wir (Personen des Büros mit Zugang zur Verwaltung); die Agentur sieht sie nicht, bevor wir sie geprüft haben. Wir erhalten dazu einen Hinweis, der nur die Nummer der Ausschreibung und den Namen des Lieferanteneintrags nennt, nichts aus der Mail; über nicht gespeicherte Mails erhalten wir je Einladung höchstens einen Hinweis am Tag, der zusätzlich ihre Zahl nennt. Erst nach unserer Prüfung gelangt der Inhalt einer Antwort an die Agentur, so wie im nächsten Absatz beschrieben. Rechtsgrundlage ist unser berechtigtes Interesse, Antworten von Lieferanten entgegenzunehmen, zu prüfen und der Agentur zur Verfügung zu stellen und dabei Missbrauch zu begrenzen (Art 6 Abs 1 lit f DSGVO).

Bei der Prüfung sehen wir Absender, Empfänger, Betreff, Text und Anhänge der Mail und das Ergebnis der Absenderprüfung neben dem Entwurf der Auslesung und entscheiden, was die Mail ist. Ein Angebot erfassen wir selbst im Formular des Lieferantenportals (Preise, Bedingungen, ausgewählte PDF-Anhänge, die wir als Kopie an das Angebot hängen); die Agentur sieht es als per E-Mail eingegangenes Angebot, die einladenden Mitglieder erhalten eine E-Mail darüber, und an jeden hinterlegten Kontakt des Lieferanten geht eine E-Mail mit der Bitte, die Erfassung zu prüfen, samt Link ins Portal. Eine Absage vermerken wir mit dem Grund; die Agentur erhält eine E-Mail darüber. Rückfragen und alles andere leiten wir als E-Mail an die Mitglieder der Agentur weiter, an die auch die übrigen E-Mails dieser Ausschreibung gehen (das einladende Mitglied, sonst die Inhaber): Sie enthält Betreff und Text der Mail als Zitat und die von uns gewählten Anhänge. Als Absender nennt diese E-Mail einen Kontakt des Lieferanten nur, wenn die Absenderadresse als Kontakt hinterlegt ist und der empfangende Mailserver sie bestätigt hat. Sonst sagt sie nur, dass an der Antwortadresse eine Nachricht eingegangen ist, deren Absender nicht bestätigt ist, und nennt die Adresse als zitierte Zeile ohne Link, denn sie kann gefälscht sein. Eine Mail, die wir keiner Einladung zuordnen konnten, ordnen wir bei Bedarf von Hand einer Einladung zu; eine Mail ohne Bedeutung verwerfen wir mit Grund (Spam, Duplikat, Sonstiges) und einer kurzen Notiz, ohne dass jemand benachrichtigt wird. Welche Person des Büros eine Mail wann bearbeitet hat, halten wir bei der Mail fest.

Mails, die sich keiner Einladung zuordnen ließen, löschen wir samt Anhängen 30 Tage nach ihrem Eingang, von uns verworfene Mails samt Grund und Notiz 90 Tage nach dem Verwerfen. Eine Mail, die zu einer Ausschreibung gehört, auch eine von uns von Hand zugeordnete, als Angebot erfasste oder weitergeleitete, bleibt samt Anhängen bei dieser Ausschreibung, solange die Organisation besteht, und wird mit ihr gelöscht, wenn wir die Organisation nach dem Ende des Nutzungsvertrags löschen. Brevo führt darüber hinaus Ereignisprotokolle zu eingegangenen Mails nach eigenen Fristen.

Agentur-Plattform: Auslesung von Antworten mit KI (Mistral)

Um Preise aus den Antworten zu erfassen, setzen wir, wenn wir die Funktion eingeschaltet haben, den KI-Dienst von Mistral AI (Mistral AI SAS, Paris, Frankreich) als Auftragsverarbeiter ein. Dorthin gehen nur Mails, die einer Einladung zu einer Ausschreibung einer Agentur zugeordnet sind, und nur, solange die Einladung nicht zurückgezogen, der Lieferant nicht deaktiviert, die Ausschreibung weder abgeschlossen noch vergeben und die Agentur bei uns nicht abgeschaltet ist. Hat der Lieferant zuvor abgesagt, lesen wir seine Mail trotzdem aus, weil er noch ein Angebot abgeben kann. Eine Mail zu einer Anfrage des Marktplatzes geht nie dorthin, und eine nicht zuordenbare Mail nie, auch nicht, wenn wir sie später von Hand zuordnen, es sei denn, wir lösen die Auslesung danach ausdrücklich aus. Gesendet werden Betreff und Text der Mail einschließlich Signatur und zitierter früherer Nachrichten (damit auch Namen, Telefonnummern und E-Mail-Adressen, die darin stehen), PDF-Dateien und Bilder zur Texterkennung sowie Textanhänge, dazu die Dateinamen dieser Anhänge. Aus der Ausschreibung senden wir nur den Aufbau (je Land Menge und Auflieferdatum, je Teil Typ, die frei vergebene Bezeichnung im Wortlaut bis 120 Zeichen, Format und Stückzahl sowie die Angabe, ob das Teil beigestellt wird, dazu den Leistungsumfang und zu jedem Land und jedem Teil unsere interne Nummer); Namen und Kontaktdaten von Agentur, Auftraggeber und Mitgliedern, Titel, Notizen, Rücksendeadressen, die Codes der einzelnen Zeilen der Länderliste, die Dateien der Ausschreibung und die Absenderadresse der Mail senden wir nicht mit. Die Bezeichnung eines Teils brauchen wir, um Preise dem richtigen Teil zuzuordnen; steht dort ein Name, etwa der einer Kampagne oder eines Auftraggebers, geht er als Teil der Bezeichnung mit. Die Anfragen gehen standardmäßig an den EU-Endpunkt von Mistral, der die Verarbeitung laut Mistral in Rechenzentren in der EU und in EFTA-Staaten vorsieht. Das Ergebnis (Entwurf eines Angebots und der erkannte Text der Anhänge) speichern wir bei der Mail.

Das Ergebnis ist nur ein Entwurf: Wir prüfen ihn anhand der Original-Mail und der Anhänge, bevor daraus ein Angebot für die Agentur wird. Eine ausschließlich automatisierte Entscheidung im Sinn von Art 22 DSGVO findet nicht statt. Rechtsgrundlage ist unser berechtigtes Interesse, Antworten effizient und fehlerarm zu erfassen (Art 6 Abs 1 lit f DSGVO). Mistral verarbeitet die Inhalte als Auftragsverarbeiter auf Grundlage eines Auftragsverarbeitungsvertrags.

Agentur-Plattform: Meldungen rechtswidriger Inhalte

Melden Sie uns per E-Mail an unsere Kontaktadresse (siehe oben) einen Inhalt der Agentur-Plattform, den Sie für rechtswidrig halten (Art 16 der Verordnung (EU) 2022/2065), verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse und den Inhalt Ihrer Meldung samt Anhängen, um die Meldung zu prüfen, Ihnen den Eingang zu bestätigen und Ihnen unsere Entscheidung mit den möglichen Rechtsbehelfen mitzuteilen. Rechtsgrundlage ist Art 6 Abs 1 lit c DSGVO in Verbindung mit Art 16 der Verordnung (EU) 2022/2065. Bei Meldungen zu Straftaten nach Art 3 bis 7 der Richtlinie 2011/93/EU müssen Sie weder Namen noch E-Mail-Adresse nennen, dann können wir Ihnen allerdings nicht antworten.

E-Mails an diese Adresse empfängt und speichert die Proton AG als Auftragsverarbeiter (siehe oben bei Kontakt per E-Mail). Sperren wir daraufhin eine Ausschreibung oder eine Datei, erfährt die betroffene Agentur die Begründung der Sperre und die Tatsachen, auf die wir uns stützen; Ihren Namen und Ihre E-Mail-Adresse nennen wir ihr nicht. Die Begründung speichern wir bei der gesperrten Ausschreibung oder Datei, solange die Sperre besteht; mit der Aufhebung der Sperre löschen wir sie; Lieferanten sehen sie nicht. Jede Sperre und ihre Aufhebung halten wir im Protokoll des Servers mit Zeitpunkt und Kennung der entscheidenden Person fest, ohne Angaben zur meldenden Person.

Ihre Meldung, unsere Antworten und unseren Schriftverkehr zur Sache bewahren wir im Postfach auf, solange die Sache offen ist, und danach höchstens drei Jahre, weil wir sie zur Geltendmachung oder Abwehr von Rechtsansprüchen benötigen (Art 6 Abs 1 lit f DSGVO).

Agentur-Plattform: Export der Organisation

Inhaber einer Organisation können einen Gesamtexport ihrer Daten anfordern, im Arbeitsbereich oder über die Schnittstelle. Wir erstellen daraus eine ZIP-Datei mit JSON-Dateien und den gespeicherten Dateien im Original: Lieferantenliste mit Kontakten, Ausschreibungen mit Dateien, Einladungen, Angebote mit PDFs, Vergaben, Kommentare, Webhook-Adressen mit Zustellprotokoll, Mitglieder und Einladungen ins Team, Angaben zum Abonnement und die eingegangenen E-Mails, die wir geprüft und der Agentur übergeben haben, mit Absender, Betreff, Text, Anhängen, dem Ergebnis der Absenderprüfung und dem Entwurf der automatischen Auslesung. Nicht enthalten sind Hashwerte und Geheimnisse (Schlüssel, Links, Antwortadressen, Signaturgeheimnisse), Anmeldedaten, nicht übergebene, verworfene und nicht zugeordnete E-Mails und die Angabe, welche Person unseres Büros eine E-Mail bearbeitet hat. Von diesen E-Mails exportieren wir alle gespeicherten Anhänge, nicht nur die, die das Büro der Agentur mit der E-Mail weitergegeben hat. Der Export ist kostenlos und braucht kein Abonnement.

Zu jedem Export speichern wir die Organisation, das anfordernde Mitglied, ob er im Arbeitsbereich oder über einen Schlüssel angefordert wurde, den Zustand, die Größe und die Zeitpunkte. Die ZIP-Datei liegt auf unserem Server in einem Verzeichnis der Organisation. Herunterladen können sie nur Inhaber der Organisation, im Arbeitsbereich oder mit einem Schlüssel, den ein Inhaber angelegt hat, und nur 7 Tage lang; danach löschen wir die Datei. Sobald ein neuerer Export fertig ist, löschen wir auch die Dateien der älteren, es bleibt nur der neueste. Die Angaben zum Export (ohne Inhalt) bleiben, solange die Organisation besteht. Verschlüsselte Sicherungskopien des Servers können die Datei bis zu ihrem Überschreiben enthalten. Rechtsgrundlage ist Art 6 Abs 1 lit b DSGVO bzw. für Daten, die wir im Auftrag der Agentur verarbeiten, deren Weisung nach Art 28 Abs 3 lit g DSGVO.

Agentur-Plattform: Hintergrundarbeiten und Protokolle

Erinnerungen vor Angebotsfristen und zum Abonnement, die Abfragen bei Stripe, die Zustellung von Webhooks, das Abholen von Anhängen, die Auslesung und das Löschen abgelaufener Mails sowie die meisten Meldungen der Abrechnung an unser Büro laufen als Hintergrundarbeiten. Ihr Protokoll enthält Kennungen von Ausschreibungen, Einladungen, Organisationen, Mitgliedern und Mails, Status, Zeitpunkte und kurze Fehlermeldungen, aber keine Inhalte von Mails, mit einer Ausnahme: Die Meldungen der Abrechnung an unser Büro, die als Hintergrundarbeit laufen, stehen mit ihren Angaben im Protokoll (siehe oben beim Abonnement). Dazu führen wir Vermerke, welche E-Mail schon verschickt wurde, damit niemand sie doppelt erhält; die Vermerke zu E-Mails an Kontaktpersonen der Lieferanten (etwa Einladungen, Erinnerungen und Ergebnis-Mitteilungen) gehören zum Versand im Auftrag der Agentur; die übrigen Protokolle führen wir in eigener Verantwortung. Endet eine Hintergrundarbeit endgültig mit einem Fehler, erhält unser Büro eine Sammelmail mit Art, Schlüssel, Zahl der Versuche und Fehlertext der betroffenen Arbeiten. Erledigte Läufe der Abfragen bei Stripe und der Webhook-Zustellung löschen wir 30 Tage nach ihrem Abschluss, erledigte Hintergrundarbeiten zu Fristen von Ausschreibungen und die Einträge zu verschickten Meldungen der Abrechnung an unser Büro 90 Tage nach ihrem Abschluss sowie die Aufzeichnungen der Sammelmeldungen an unser Büro über fehlgeschlagene Arbeiten, sobald sie 90 Tage alt sind und der Fehlschlag behoben ist (solange eine Arbeit noch fehlgeschlagen ist, bleibt ihre Aufzeichnung); die übrigen Protokolle und Vermerke werden nicht automatisch gelöscht; wir bewahren sie auf, solange die Organisation besteht: die Vermerke zu E-Mails an Kontaktpersonen der Lieferanten im Auftrag der Agentur, die übrigen Protokolle in eigener Verantwortung, weil wir sie zur Fehlerbehebung und zum Nachweis unserer Hintergrundarbeiten benötigen (Art 6 Abs 1 lit f DSGVO).

Cookies und Speicherung auf Ihrem Gerät

Stellen Sie eine Anfrage, öffnen Sie einen Zugangslink aus unseren E-Mails oder melden Sie sich an, setzen wir ein Cookie namens „nuxt-session“, das Ihre Sitzung, Ihre Anmeldung und Ihren Zugriff auf Ihre Anfragen absichert; beim bloßen Aufruf der Website wird es nicht gesetzt. Es ist verschlüsselt, für Skripte der Seite nicht lesbar und gilt höchstens 30 Tage. Wechseln Sie die Sprache, merken wir uns Ihre Wahl bis zum Schließen des Browsers im Cookie „mb_locale“; es bestimmt die Sprache der Seiten, die es nur unter einer Adresse gibt (Anmeldung, Ihre Anfragen, Bestätigungen); ohne diese Wahl richtet sie sich nach der Spracheinstellung Ihres Browsers. Alle übrigen Seiten haben je Sprache eine eigene Adresse (etwa /cs/… oder /en/…) und erscheinen immer in der Sprache ihrer Adresse. Im Anfrageformular können Sie wählen, einen Entwurf auf diesem Gerät zu speichern; Ihre Eingaben bleiben dann im Speicher Ihres Browsers (localStorage) und werden beim nächsten Aufruf des Formulars wiederhergestellt, bis Sie die Anfrage absenden, die Option abwählen oder neu beginnen. Der Entwurf selbst wird nicht an uns übertragen. Diese Speicherungen sind für die von Ihnen gewünschten Funktionen unbedingt erforderlich (§ 165 Abs 3 TKG 2021). Cookies zur Analyse oder Werbung verwenden wir nicht.

Empfänger

Ihre Daten erhalten, jeweils nur im beschriebenen Umfang: die Hetzner Online GmbH (Gunzenhausen, Deutschland), auf deren Server in Nürnberg die Plattform läuft (verschlüsselte Sicherungskopien liegen auf einem Speicher von Hetzner in Helsinki, Finnland; zusätzlich ist die Sicherungsfunktion der Hetzner Cloud für den Server eingeschaltet), und die Sendinblue SAS (Brevo, Paris, Frankreich) für den E-Mail-Versand und die Proton AG (Plan-les-Ouates, Schweiz) für den Empfang und die Speicherung von E-Mails an unsere Adressen auf mailingbid.com und salat.tech, alle drei als Auftragsverarbeiter, die Druckereien und Lettershops, bei denen wir Angebote für Ihre Anfrage einholen oder die Sie beauftragen, sowie im oben beschriebenen Fall einer Übernahme die als Kontakt der Anfrage angegebene Person; im Rahmen der Agentur-Plattform außerdem die Stripe Payments Europe, Limited (Dublin, Irland) für Abonnements, als Auftragsverarbeiter und für eigene Zwecke wie Betrugsprävention und gesetzliche Prüfpflichten als eigener Verantwortlicher, und, wenn wir die Funktion eingeschaltet haben, die Mistral AI SAS (Paris, Frankreich) für die Auslesung von Antworten als Auftragsverarbeiter, die Lieferanten, die eine Agentur einlädt, die Agentur, an die deren Angebote gehen, die übrigen Mitglieder einer Organisation untereinander und die Systeme, deren Webhook-Adresse eine Agentur einträgt.

Brevo speichert die Daten in Rechenzentren in Frankreich und Belgien. Einige Unterauftragsverarbeiter von Brevo sitzen außerhalb des EWR, insbesondere in den USA und in Indien; soweit Daten dorthin gelangen, stützt sich Brevo auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework oder auf Standardvertragsklauseln (Art 46 Abs 2 lit c DSGVO). E-Mails an unsere Adressen auf mailingbid.com und salat.tech empfängt und speichert die Proton AG mit Sitz in der Schweiz; für die Schweiz besteht ein Angemessenheitsbeschluss der Europäischen Kommission (Art 45 DSGVO). Für das Verzeichnis der Unternehmen, die wir per Brief ansprechen, nutzen wir Notion (Notion Labs, Inc., USA) als Auftragsverarbeiter; nach den Angaben von Notion beruhen Übermittlungen aus der EU in die USA auf Standardvertragsklauseln (Art 46 Abs 2 lit c DSGVO), die Teil des Auftragsverarbeitungszusatzes von Notion sind. Bei der Abwicklung von Abonnements werden Daten an die Stripe, LLC in den USA übermittelt; Grundlage sind die im Auftragsverarbeitungsvertrag mit Stripe vereinbarten Übermittlungsinstrumente (EU-US Data Privacy Framework oder Standardvertragsklauseln). Die Auslesung von Antworten läuft standardmäßig über den EU-Endpunkt von Mistral. Die Adressen für Webhooks bestimmt die Agentur; wohin ihr System die Ereignisse weitergibt und wo es steht, entscheidet sie, und sie verantwortet auch eine Übermittlung in Drittländer. Darüber hinaus übermitteln wir keine Daten in Drittländer.

Ihre Rechte

Sie haben das Recht auf Auskunft über Ihre bei uns verarbeiteten Daten sowie auf Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit (Art 15 bis 18 und 20 DSGVO). Wenden Sie sich dazu an kontakt@salat.tech. Außerdem können Sie sich bei der Österreichischen Datenschutzbehörde beschweren (Barichgasse 40–42, 1030 Wien, dsb.gv.at).

Widerspruchsrecht: Sie können Verarbeitungen, die auf unserem berechtigten Interesse beruhen (Art 6 Abs 1 lit f DSGVO), jederzeit aus Gründen, die sich aus Ihrer besonderen Situation ergeben, widersprechen (Art 21 DSGVO).