Warum wird Mailjet / Mailgun als Subunternehmen eingesetzt?

Mailjet ist der führende Dienstleister zum Versenden von E-Mails.

Das stabile Senden einer großer Anzahl E-Mails ist technisch herausfordernd und bedarf spezielles Wissen. Wir müssen dafür sorgen, dass E-Mails zuverlässig versendet werden und deren Empfang protokolliert werden kann. Gleichzeitig müssen wir unsere eigene Infrastruktur und die von uns verwendeten IP-Adressen davor schützen auf Spam-Blocklisten zu geraten.

Um einen zuverlässigen Mailversand zu gewährleisten setzen wir auf spezialisierte Dienstleister, Mailjet.

1. Allgemein

Informationen zu Mailjet:

Hauptsitz Mailjet

4 rue Jules Lefebvre
n75009 Paris (Frankreich)

Muttergesellschaft

Sinch Holding AB mit Sitz in Stockholm
Lindhagensgatan 74
112 18 Stockholm (Schweden)

Datensicherheit & Zertifizierung

Mailjet wird intern und extern zertifiziert. Aktuelle Zertifizierungen und Berichtet lassen sich hier einsehen:

Mailgun | Trust Center
See how Mailgun manages their security program.
https://security.mailgun.com/

Datenstand zum Zeitpunkt letzter Prüfung in Quelle #4

2. Verarbeitungstätigkeiten

2.1. Wie verarbeitet Mailjet die E-Mails

Mailjet ist Unterauftragnehmer von SLN und wir haben einen AVV geschlossen. Wir haben die Verarbeitung geprüft und eine DSGVO-Konforme Verarbeitung der Daten festgestellt. Daten aus dem EWR werden ausschließlich im EWR verarbeitet. Es kommen die EU-Standard-Vertragsklauseln zur Anwendung. Einzig Daten des Accountinhabers (SLN) werden mit der Mutter geteilt und in Drittstaaten übermittelt. Daten unserer Kunden sind darin ausdrücklich nicht inbegriffen.

Die Daten des Kontos von SLN ist auch für Mailjet verschlüsselt (außer: Verwaltungs-, Statistik-, Abrechnungs- und Supportdaten). Ein Zugriff durch Mailjet auf die von uns verarbeiteten Daten ist nur mit vorheriger ausdrücklicher, protokollierbarer Zustimmung möglich. Ebenfalls haben die Betreiber der Rechenzentren keinen Zugriff auf die Daten von Mailjet, da es eine Tennant-Verschlüsselung mit eigener Schlüsselverwaltung bei Mailjet gibt. Damit stellen wir fest, dass es weder Mailjet noch dem Rechenzentrumsbetreiber möglich ist auf die von SLN verarbeiteten Daten zuzugreifen, wenn wir dies nicht vorher ausdrücklich zulassen.

Daten unsere Kund:innen werden ausschließlich im EWR verarbeitet. Einzig Daten des Accountinhabers (SLN) werden mit der Mutter geteilt und in Drittstaaten übermittelt. Selbst wenn Daten der Kund:innen in Drittstaaten übermittelt würden, wäre dies durch den Abschluss von EU-Standard-Datenschutzklauseln, zusätzlichen Schutzmaßnahmen sowie - in Bezug auf die Übermittlung in die USA - durch den Beschluss der EU über ein angemessenes Dateschutzniveau gedeckt und würde nicht ohne Einverständnis der Kund:innen stattfinden.

2.2. Welche Daten verarbeitet Mailjet im Auftrag von SLN:

Die von uns systemseitig generierten E-Mails werden nach dem Prinzip der Datenminimierung erstellt. Folgende Daten können in E-Mails enthalten sein:

1. Ausgehende E-Mails:

2.3. Dokumentenversand

In VIA können Dokumente erstellt und per E-Mail geteilt werden. Diese werden nicht als E-Mail-Anhang versendet, sondern bleiben in VIA gespeichert und in die E-Mails werden dann nur Links zu diesem Dokument erwähnt. Anhänge werden damit nicht über die Server von Mailjet verarbeitet. Gleichzeitig kann man die Dokumente zusätzlich mit einem Passwort schützen.

2.4 Aktuell implementierte System-E-Mails

AktionEmpfänger*inInhaltkann deaktiviert werden?
VIA: Versenden des Einmal-Pin bei Login und aktivierter 2-Faktor-AuthentifizierungPerson, die sich anmelden will- Empfänger-E-Mail (Person, die sich anmelden will)
- sechsstelliger Einmal-Pin
1. Ja, wenn 2FA deaktiviert
2. Ja, wenn Mailversand insgesamt deaktiviert
VIA: als Workflow-Action- in VIA angemeldete Person
- jede andere Person, deren E-Mail-Adresse bekannt ist
In VIA können E-Mails als Action in Workflows eingebunden werden. Inhalt der E-Mails ist dann immer Teil der Konfiguration und dadurch nicht allgemein zu beschreiben.
- Absender*in (angemeldete Person)
- ggf. Empfänger*in
- ggf. freier E-Mail-Inhalt
1. Ja, wenn nicht Workflows verwendet.
2. Ja, wenn Mailversand insgesamt deaktiviert
VIA: manuell über die Nutzeroberfläche- in VIA angemeldete Person
- jede andere Person, deren E-Mail-Adresse bekannt ist
In VIA können manuell E-Mails an in VIA bekannte Empfänger*innen geschrieben werden. Das sind Eltern, Schüler*innen, Unternehmen und Schulen.
Inhalt der E-Mails ist dann immer individuell und dadurch nicht allgemein zu beschreiben.

- Absender*in (angemeldete Person)
- ggf. Empfänger*in
- ggf. freier E-Mail-Inhalt
Ja, wenn Mailversand insgesamt deaktiviert
myVIA: Konto-Verifizierung beim Anlegen eines neuen Eltern-KontosmyVIA-Account-Inhaber*in- Empfänger-E-Mail (Person, die sich ein Konto erstellt)
- Name der Person in der Anrede
Nein, technisch und logisch notwendig
myVIA: Passwort vergessenmyVIA-Account-Inhaber*in- Empfänger-E-Mail (Person, die sich ein Konto erstellt)
- Name der Person in der Anrede
Nein, technisch und logisch notwendig
myVIA: Schule: Neue Anträge eingegangenSchul-E-Mail-Empfänger*in- Empfänger-E-Mail (Person, die sich ein Konto erstellt)Nein, technisch und logisch notwendig
myVIA: Schule: Einmalpin zum AnmeldenSchul-E-Mail-Empfänger*in- Empfänger-E-Mail (Person, die sich ein Konto erstellt)
- sechsstelliger Einmal-Pin
Nein, technisch und logisch notwendig

3. Audits und Überprüfung durch SLN

3.1. Hosting und Drittlandübermittlung

Wir überprüfen unsere Dienstleister regelmäßig. Folgende Antwort haben wir auf unsere letzte Prüfung zum Hosting und zur Drittstaatenübermittlung im April 2023 erhalten:

Unsere Rechenzentren befinden sich in der EU und sind ausschließlich für unsere europäischen Kunden bestimmt.
  • Ihre E-Mail-Routing- und Inhaltsdaten verbleiben in der EU (Kontaktlisten, E-Mail-Inhalte). 
  • Wir können die Kontodaten unserer Kunden (= SLN GmbH), wie z. B. Rechnungsdaten oder aggregierte Statistiken, in die USA übertragen (an unsere Unternehmensgruppe, wie in Anhang 3 unserer DSGVO aufgeführt). Übertragungen außerhalb der EU an unsere Unternehmensgruppe erfolgen zu Verwaltungs-, Statistik-, Abrechnungs- und Supportzwecken.
  • Wir wenden zusätzliche Schutzmaßnahmen an, die über die Standardvertragsklauseln hinausgehen, und halten uns an die Leitlinien des Europäischen Datenschutzausschusses.
  • Außerdem stellen wir sicher, dass für alle Übermittlungen angemessene technische und organisatorische Maßnahmen getroffen werden (einschließlich Zugangskontrollmaßnahmen, einschließlich Datenverschlüsselung, Aggregation und Trennung der Zugangsschlüssel).

Darine Fayed

VP Head of Legal EMEA
Darine.Fayed@sinch.com

3.2. Folgende Inhalte überprüfen wir regelmäßig

1. Zweck der Datenverarbeitung:

  • Welche Daten werden gesammelt und warum?
  • In welcher Form werden die Daten gesendet (z.B. E-Mails, Newsletter, System-E-Mails)?

2. Datenquellen und -typen:

  • Welche Daten werden von Mailjet verarbeitet? Nur E-Mail-Adressen oder auch andere personenbezogene Daten?
  • Werden sensible Daten wie Gesundheitsdaten verarbeitet (z.B. besondere Beförderungsbedürfnisse von Schülern)?

3. Datenübertragung und -speicherung:

  • Wo werden die Daten gespeichert?
  • Wie lange werden sie aufbewahrt?
  • Werden die Daten verschlüsselt?
  • Werden die Daten außerhalb der EU übertragen?

4. Datenzugriff:

  • Wer hat Zugriff auf die Daten?
  • Welche Sicherheitsprotokolle gibt es zum Schutz dieser Daten?

5. Risikobewertung:

  • Welche Risiken sind mit der Verarbeitung dieser Daten durch Mailjet verbunden? (z.B. Datenverletzungen, unerwünschte Offenlegung)
  • Wie hoch ist die Wahrscheinlichkeit dieser Risiken?

6. Schutzmaßnahmen:

  • Welche Maßnahmen werden ergriffen, um diese Risiken zu minimieren?
  • Gibt es Pläne oder Protokolle für den Fall eines Sicherheitsvorfalls?

7. Datenschutzrechte und -anforderungen:

  • Wie können Betroffene ihre Rechte wahrnehmen (z.B. das Recht auf Zugang, Berichtigung, Löschung)?
  • Wie wird sicher gestellt, dass Mailjet die Datenschutz-Grundverordnung (DSGVO) einhält?

8. Bewertung des Dienstleisters (Mailjet):

  • Welche Erfahrungen und Bewertungen hat Mailjet in Bezug auf Datenschutz und Datensicherheit?
  • Gibt es unabhängige Prüfberichte oder Zertifizierungen?

9. Alternativlösungen:

  • Gibt es Alternativen zu Mailjet? Wenn ja, wie vergleichen sie sich in Bezug auf Datenschutz und Datensicherheit?

10. Fazit und Empfehlungen:

  • Sollte SLN Mailjet in seinem Schülerbeförderungsprogramm nutzen oder nicht?

4. Häufige Fragen zur Verwendung von Mailjet

5. Quellen und Nachweise