Diese Datenschutzerklärung informiert dich nach Art. 13 DSGVO über die Verarbeitung personenbezogener Daten bei der Nutzung des Dienstes bemailed, erreichbar unter bemailed.de.

Wichtig zur Abgrenzung: Diese Erklärung deckt die Daten ab, die du als Konto-Inhaber uns übergibst (Konto, Zahlung, Login). Die Daten der Empfänger deiner Newsletter verarbeiten wir hingegen ausschließlich auf deine Weisung als Auftragsverarbeiter nach Art. 28 DSGVO, das regelt der separate AVV, den du beim Signup mit akzeptierst.

1. Verantwortlicher

Verantwortlich im Sinne der DSGVO ist:

Essential Advertising GmbH
Adenauerallee 2
61440 Oberursel (Taunus)
Deutschland
Geschäftsführer: Daniel Klantke
Handelsregister: HRB 15288 (Amtsgericht Bad Homburg v. d. Höhe)
USt-ID: DE341132023
E-Mail: support@bemailed.de

Ein Datenschutzbeauftragter ist gemäß Art. 37 DSGVO und §38 BDSG aktuell nicht zwingend zu bestellen (Beschäftigtenanzahl und Art der Verarbeitung unterhalb der Schwelle). Wir überprüfen diese Einordnung laufend und bestellen bei Schwellen-Überschreitung umgehend einen externen Datenschutzbeauftragten. Für sämtliche Datenschutz-Anfragen ist die zentrale Anlaufstelle datenschutz@bemailed.de. Antwort innerhalb von 5 Werktagen, in dringenden Fällen (z.B. Auskunfts-Anfragen mit Frist) schneller.

2. Welche Daten wir verarbeiten

2.1 Vom Konto-Inhaber direkt

Stammdaten: Vorname, Nachname, E-Mail-Adresse, gehashtes Passwort (Argon2id, Supabase Auth), Konto-Name (Marken-Bezeichnung), gewählter Tarif.
Zahlungsdaten: Rechnungsadresse, optionale USt-IdNr., Stripe-Customer-ID + Subscription-ID. Zahlungsdaten (Kartendaten, SEPA-Lastschrift-Mandate und, sofern angeboten, PayPal) werden ausschließlich von Stripe verarbeitet, niemals an uns übermittelt.
Sicherheits-Metadaten: IP-Adresse und User-Agent bei Login, Fehlversuche, optionale TOTP-2FA-Konfiguration.
Konfigurations-Daten: Versand-Domain, DKIM/SPF/ DMARC-Konfigurations-Status, eigene Footer-Texte, hochgeladene Logos.

2.2 Von versendeten Empfängern

Empfänger-Daten (E-Mail-Listen, Tracking-Events, Bounce/Complaint- Status) verarbeiten wir nicht als Verantwortlicher, sondern als Auftragsverarbeiter im Auftrag des Konto-Inhabers. Details siehe AVV §2.

3. Zwecke und Rechtsgrundlagen

Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): Bereitstellung der Plattform, Konto-Verwaltung, Zahlungs- abwicklung, technischer Support.
Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): Sicherheits-Logs zur Abwehr unbefugter Zugriffe, Reputations-Schutz (Bounce-/Complaint-Monitoring), Fehler-Tracking (Sentry), Statistiken zur technischen Stabilität.
Gesetzliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO): handelsrechtliche Aufbewahrung von Rechnungsdaten (§147 AO, §257 HGB).
Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): gesonderter Newsletter über bemailed-Produkt-Updates, nur nach ausdrücklichem Opt-In, jederzeit widerrufbar.

4. Server-Standort und Datenhaltung

Alle für den laufenden Betrieb verwendeten Daten liegen in der EU, konkret in Frankfurt am Main (AWS-Region eu-central-1):

Postgres-Datenbank und Storage: Supabase auf AWS Frankfurt.
App-Hosting: Vercel Edge Frankfurt (fra1).
Mail-Versand-Infrastruktur: AWS SES eu-central-1.
Domain- und DNS-Hosting: IONOS Deutschland.

Drittland-Übermittlungen erfolgen nur für eng umrissene Zwecke (Anthropic für die optionalen KI-Funktionen im Editor, Sentry für technisches Monitoring) auf Grundlage von EU-Standardvertrags- klauseln und dokumentierten Transfer Impact Assessments. Details siehe Abschnitte 10–11 sowie /subprozessoren.

5. Speicherdauer

Konto-Daten: während der Vertragslaufzeit; nach Kündigung 30 Tage Rückgewinnungsfrist, danach Löschung. Soweit handelsrechtliche Aufbewahrungspflichten betroffen sind (Rechnungs- und Buchungsdaten), bis zu 6 Jahre nach §257 HGB, bzw. 10 Jahre nach §147 AO für Belege im engeren Sinn.
Empfänger-Daten: während der Vertragslaufzeit + 30 Tage Rückgewinnungsfrist, siehe AVV §12.
Tracking-Daten (Open, Click) und Website-Reichweite: bis zu 12 Monate in personenbezogener Form, danach werden die Einzel-Ereignisse automatisch gelöscht; aggregierte Statistiken (z.B. Öffnungsraten, Besucherzahlen) bleiben ohne Personenbezug erhalten.
Double-Opt-In-Nachweis (IP-Adresse und User-Agent der Anmeldung/Bestätigung): bis 4 Jahre nach Abmeldung oder Vertragsende; danach wird die rohe IP-Adresse automatisch entfernt. Die Aufbewahrung dient dem werberechtlich zwingenden Einwilligungs- Nachweis (UWG § 7).
Audit-Protokoll (sicherheitsrelevante Aktionen): 12 Monate, danach automatisch anonymisiert (User-Bezug, IP und Gerätekennung werden entfernt).
Protokoll unserer eigenen System-Mails (Empfänger- Adresse, Betreff und versendeter Inhalt, zur Klärung von Zustellfragen): 90 Tage. Für die Proben aus der Demo gelten zwölf Monate, siehe Abschnitt 13b.
Server- und Sicherheits-Logs: 90 Tage rollierend.
Sentry-Error-Events: 90 Tage rollierend, ohne PII.

6. Empfänger der Daten (Subprozessoren)

Wir setzen die folgenden Subprozessoren ein. Mit jedem besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Die ausführliche Liste mit Drittland-Mechanismen findest du unter /subprozessoren.

AWS (Amazon Web Services EMEA SARL, Luxemburg): Simple Email Service Frankfurt für den Mail-Versand.
Supabase Inc. (Singapur, Hosting EU-Frankfurt): Datenbank, Auth, Storage.
Vercel Inc. (USA, Edge in Frankfurt): Web- Hosting. SCCs + DPA.
Anthropic PBC (USA): Claude-LLM für KI- Funktionen im Editor (optional, Konto-Inhaber-Trigger). SCCs + DPA, kein Training.
Stripe Payments Europe Ltd (Irland): Zahlungs- abwicklung.
IONOS SE (Deutschland): Domain und DNS.
Sentry / Functional Software Inc. (USA): Error- und Performance-Monitoring. DSGVO-konforme Konfiguration ohne PII.
Resend Inc. (USA, Verarbeitung in der EU-Region Irland): Versand transaktionaler System-Mails (Login-Magic-Link, Passwort-Reset, Konto-Einladungen, Kündigungs-Bestätigungen, Konto-Hinweise wie Verlängerungs- und Erinnerungs-Mails, Nachrichten aus dem Kontaktformular sowie Double-Opt-In-Bestätigungs-Mails an Newsletter-Empfänger während eines aktiven Imports/einer aktiven Anmeldung). SCCs + DPA, US-Drittland nach Art. 44 ff. DSGVO.
Inngest Inc. (USA): Hintergrund-Job- und Queue-Infrastruktur für den Newsletter-Versand (Batching, Retry, Scheduled Sends). Verarbeitet Empfänger-Adresse und Newsletter-Body während eines Versand-Jobs. SCCs + DPA, US-Drittland nach Art. 44 ff. DSGVO.
Mailchimp / Intuit Inc. (USA): OAuth-basierter Import bestehender Empfänger-Listen aus dem Mailchimp-Konto des Konto-Inhabers, nur bei expliziter Verbindung im bemailed-Konto. Bei Nicht-Nutzung findet keine Übermittlung statt. SCCs + DPA, US-Drittland nach Art. 44 ff. DSGVO.
Upstash Inc. (Hosting eu-central-1, Frankfurt): Redis- basierter Rate-Limit-Cache für IP-basierten Brute-Force- und Missbrauchs-Schutz an Login, Signup, Anmeldeformular und API- Endpoints (IP nur gehasht gespeichert). Hosting in der EU (Deutschland).

Zusätzlich kommt auf unseren öffentlichen Webseiten (nicht in der eingeloggten Plattform) Plausible Analytics zur datenschutz- freundlichen, cookielosen Reichweitenmessung zum Einsatz. Details und Rechtsgrundlage findest du in Abschnitt 8.

Datenverkäufe an Dritte oder die Weitergabe an Werbe-Drittparteien finden nicht statt.

7. Cookies und Tracking auf der Plattform

Wir setzen ausschließlich technisch notwendige Cookies (Login-Session-Token von Supabase Auth, CSRF- Token).
Innerhalb des eingeloggten bemailed-Kontos setzen wir kein Tracking, keine Analytics und kein Marketing-Pixel ein. (Zur datenschutzfreundlichen Reichweitenmessung auf den öffentlichen Webseiten siehe Abschnitt 8; zu den Mails, die wir dir selbst schicken, siehe Abschnitt 9a.)
Rechtsgrundlage: §25 Abs. 2 Nr. 2 TDDDG (vormals TTDSG; für die Funktion des Dienstes unbedingt erforderlich) in Verbindung mit Art. 6 Abs. 1 lit. b DSGVO.
Folge: Kein Cookie-Banner erforderlich.

8. Reichweitenmessung auf unserer Website (Plausible Analytics)

Auf unseren öffentlichen Webseiten (nicht in der eingeloggten Plattform) nutzen wir Plausible Analytics zur datenschutzfreundlichen Reichweitenmessung. Anbieter ist Plausible Insights OÜ, Estland; das Hosting erfolgt innerhalb der EU. Beim Laden des Mess-Scripts von plausible.io wird technisch bedingt deine IP-Adresse an Plausible übermittelt; nach Anbieterangaben werden sämtliche Besucherdaten ausschließlich in der EU auf Infrastruktur europäischer Unternehmen verarbeitet und verlassen die EU nicht. Plausible verwendet keine Cookies und legt keine Informationen auf deinem Endgerät ab, bildet keine geräteübergreifenden Profile und verkauft keine Daten an Dritte. Erfasst werden ausschließlich aggregierte, nicht auf eine Einzelperson rückführbare Kennzahlen (z. B. aufgerufene Seiten, ungefähre Herkunft auf Landesebene, Browser-Typ). Deine IP-Adresse wird nur kurzzeitig zur Bildung eines anonymen Tageswerts verarbeitet und nicht gespeichert. Rechtsgrundlage ist unser berechtigtes Interesse an einer datensparsamen Statistik (Art. 6 Abs. 1 lit. f DSGVO); mangels Zugriff auf dein Endgerät ist keine Einwilligung nach § 25 TDDDG (vormals TTDSG) erforderlich.

8a. Eigenes cookieloses Zählwerk

Zusätzlich betreiben wir auf den öffentlichen Webseiten ein eigenes, cookieloses Zählwerk. Beim Seitenaufruf verarbeiten wir dafür kurzzeitig deine IP-Adresse und deinen Browser-Typ und speichern: aufgerufene Seite, Herkunfts-Domain (Referrer), Gerätetyp (Desktop/Mobil), ungefähre Herkunft (Land, Stadt) sowie einen täglich wechselnden, nicht rückrechenbaren Besucher-Wert (Hash aus IP-Adresse, Browser-Kennung, Tagesdatum und einem geheimen Zusatz). Die IP-Adresse selbst wird nicht gespeichert; eine Wiedererkennung über den Tag hinaus ist technisch ausgeschlossen, Profile entstehen nicht. Die Daten dienen ausschließlich der aggregierten Reichweiten-Statistik und werden nach spätestens 12 Monaten gelöscht. Es erfolgt kein Zugriff auf deinen Endgeräte-Speicher (keine Einwilligungspflicht nach § 25 TDDDG). Rechtsgrundlage ist unser berechtigtes Interesse an einer datensparsamen Statistik (Art. 6 Abs. 1 lit. f DSGVO); du kannst der Verarbeitung jederzeit widersprechen (siehe Abschnitt 14).

8b. Partner-Links (Affiliate)

Gelangst du über den Empfehlungs-Link eines Partners zu uns (erkennbar am Zusatz „?ref=…" in der Adresse), merken wir uns dieses Partner-Kürzel für die Dauer deiner laufenden Browser-Sitzung im Sitzungsspeicher deines Browsers (sessionStorage). Es wird kein Cookie gesetzt; der Eintrag wird beim Schließen des Tabs automatisch gelöscht und enthält keine Angaben zu deiner Person. Registrierst du dich in derselben Sitzung, speichern wir das Partner-Kürzel zu deinem Konto, um dem Partner die vereinbarte Vergütung zuordnen zu können. Der Partner erfährt dabei nichts über dich, insbesondere keine personenbezogenen Daten, sondern nur die Anzahl der über seinen Link zustande gekommenen Registrierungen. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG (für die Abwicklung des Partnerprogramms unbedingt erforderliche, sitzungsgebundene Speicherung) sowie unser berechtigtes Interesse an der Abrechnung mit Werbepartnern (Art. 6 Abs. 1 lit. f DSGVO).

9. Tracking innerhalb der versendeten Newsletter

Der Konto-Inhaber kann pro Newsletter entscheiden, ob Open-Tracking (transparentes Pixel) und Click-Tracking (Link-Wrapping) aktiviert werden. Beide Funktionen sind standardmäßig aktivierbar und vom Konto- Inhaber kampagnen-individuell abschaltbar.

Ist Open-Tracking aktiv, wird beim Öffnen zusätzlich das Herkunftsland des Empfängers erfasst (abgeleitet aus der IP-Adresse, die dabei nur als Hash gespeichert wird); der Konto-Inhaber kann diese Geo-Erfassung in den Einstellungen seines Workspaces deaktivieren. Eine optionale, standardmäßig deaktivierte Erfassung von Mail-Programm/Gerätetyp kann der Konto-Inhaber gesondert aktivieren.

In jeder versendeten Mail wird automatisch

ein List-Unsubscribe-Header (RFC 8058) für 1-Klick- Abmeldung gesetzt,
ein sichtbarer Abmelde-Link im Footer eingefügt,
ein Impressum-Hinweis (vom Konto-Inhaber konfiguriert) im Footer eingefügt.

Die Verarbeitung der Tracking-Daten erfolgt im Auftrag des jeweiligen Konto-Inhabers (Verantwortlicher des Versands). Die Rechtsgrundlage für das Tracking gegenüber den Empfängern liegt beim Konto-Inhaber, typischerweise Einwilligung im Rahmen des Newsletter-Opt-Ins.

9a. Mails von bemailed an dich (Konto-Inhaber)

Abschnitt 9 betrifft die Newsletter, die du an deine Leser verschickst. Dieser Abschnitt betrifft die Mails, die wir dir schicken: Hinweise zur Testphase, Bestätigungen, Rechnungs- und Konto-Mails, gelegentlich eine Nachfrage, ob du zurechtkommst.

In diesen Mails messen wir seit dem 20.08.2026, ob sie zugestellt wurden, ob sie geöffnet wurden und ob du auf einen Link geklickt hast. Dafür enthält die Mail ein transparentes Zählbild, und die enthaltenen Links führen über bemailed.de auf ihr Ziel.

Gespeichert werden dabei ausschließlich:

ob und wann die Mail zugestellt, geöffnet oder angeklickt wurde,
wie oft das geschehen ist,
welcher der enthaltenen Links angeklickt wurde.

Nicht gespeichert werden deine IP-Adresse, dein Mail-Programm, dein Gerät oder dein Standort. Der Abmelde-Link wird nicht umgeschrieben und nicht gezählt.

Rechtsgrundlage ist unser berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO: Wir wollen erkennen, ob unsere Konto-Mails ankommen und verständlich sind, und wir wollen niemandem hinterher schreiben, der schon geantwortet hat. Wir wägen ab, dass es dabei um wenige Mails im Zusammenhang mit einem laufenden Vertrag geht und dass keine Daten über dich hinaus entstehen.

Du kannst widersprechen (Art. 21 DSGVO), formlos an datenschutz@bemailed.de. Danach gehen deine Konto-Mails ohne Zählbild und mit unveränderten Links raus. Wer in seinem Mail-Programm das Nachladen von Bildern abgeschaltet hat, wird ohnehin nicht als Öffnung gezählt.

Die Messwerte werden zusammen mit dem Mail-Protokoll gelöscht, siehe Abschnitt 5.

10. Rechte der Newsletter-Empfänger

Empfänger können sich jederzeit per 1-Klick-Unsubscribe- Link aus jeder versendeten Mail austragen. Auskunfts-, Berichtigungs- und Löschungs-Anfragen nach Art. 15–17 DSGVO sind an den jeweiligen Konto-Inhaber (Verantwortlichen des Versands) zu richten. Wir leiten entsprechende Anfragen unterstützend an die zuständige Stelle weiter und löschen Daten auf dessen Weisung unverzüglich aus unseren Systemen.

11. Mail-Versand über AWS SES

Der Versand erfolgt über Amazon Simple Email Service in der Region Frankfurt. AWS verarbeitet zur Erbringung des Versands die notwendigen Mail-Header, den Mail-Body sowie die Empfänger-Adressen, beschränkt auf das für Routing, Zustellung und Anti-Spam- Reputation erforderliche Maß. Eine inhaltliche Auswertung über die Anti-Spam-Reputations-Mechanismen hinaus findet nicht statt.

12. Domain-Einrichtung (DKIM, SPF, DMARC)

Die eigene Versand-Domain richtest du manuell ein: bemailed zeigt dir die nötigen DNS-Einträge (DKIM, SPF, DMARC) mit Anleitung an, die du selbst bei deinem DNS-Anbieter einträgst. Dabei werden keine Zugangsdaten deines DNS-Anbieters an bemailed übermittelt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung: die DKIM-/SPF-/DMARC-Authentifizierung ist Voraussetzung für zuverlässige Mail-Zustellung). Eine automatische 1-Klick-Verbindung (Domain Connect) bieten wir derzeit nicht an.

13. Optionale KI-Funktionen (Anthropic, OpenAI, Google)

Im Newsletter-Editor stehen optionale KI-Funktionen (Smart Mail: Entwurfs-Erstellung, Tonalitäts-Anpassung, Betreffzeilen-Vorschläge, Marken-Analyse, Design-Import) zur Verfügung. Wenn der Konto-Inhaber diese Funktionen nutzt, werden die dafür nötigen Inhalte an einen der folgenden Anbieter zur Verarbeitung übermittelt:

OpenAI, L.L.C. (San Francisco, USA) — das Modell, mit dem Smart Mail im neuen Editor schreibt und Änderungen einarbeitet, sowie die Sprachausgabe (Vorlesen der Antworten) und der Sprachchat, wenn der Konto-Inhaber ihn startet. Beim Sprachchat wird die Stimme des Nutzers übermittelt, solange das Mikrofon läuft.
Anthropic PBC (San Francisco, USA) — die Rückfrage vor dem Entwurf („was fehlt noch?"), die Marken-Analyse einer Website und der Design-Import.
Google LLC (Mountain View, USA) — alternative Modelle (Gemini). Sie laufen nur, wenn ein solches Modell ausdrücklich gewählt wird; der Standard des Editors ist ein anderes.

Welches Modell im Einzelfall antwortet, hängt von der Funktion und von der Auswahl des Konto-Inhabers ab. Für alle drei gilt dasselbe:

Übermittelt werden je nach Funktion: Newsletter-Entwurfs-Texte und Marken-Kontext (Tonalität, Branche), bei der Marken-Analyse die öffentlich abrufbaren Texte der angegebenen Website (einschließlich Impressum) sowie Inhalte bereits versendeter Newsletter, beim Design-Import vom Konto-Inhaber hochgeladene Screenshots oder PDF-Dateien. Keine Empfängerlisten, keine Tracking-Logs, keine Zugangsdaten. Soweit übermittelte Inhalte personenbezogene Daten enthalten (etwa Namen im Impressum), geschieht das ausschließlich zur Erbringung der vom Konto-Inhaber angestoßenen Funktion.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung des vom Konto-Inhaber aktivierten KI-Features).
Keiner der drei Anbieter verwendet die übermittelten Daten zum Training seiner Modelle (Anthropic: Commercial-Tier-DPA; OpenAI: API-Voreinstellung seit 1.3.2023, Löschung nach höchstens 30 Tagen; Google: Zusage für die kostenpflichtigen Schnittstellen).
Übermittlung in die USA gestützt auf EU-Standardvertragsklauseln und dokumentiertes Transfer Impact Assessment; Google ist zusätzlich nach dem EU-US Data Privacy Framework zertifiziert.
Wer im Einzelnen was verarbeitet, steht in der Liste der Subprozessoren.

13b. Die Demo ohne Konto (bemailed.de)

Auf bemailed.de lässt sich der Editor ohne Konto ausprobieren, ebenso unter der älteren Adresse bemailed.de/demo: einen Satz eingeben, Smart Mail schreibt einen Newsletter daraus, und am Ende kann man sich diesen Entwurf an die eigene Adresse schicken. Dabei wird verarbeitet:

Was du eingibst — dein Auftrag und deine Antworten. Sie gehen an die oben genannten KI-Anbieter, damit der Entwurf entsteht.
Die Website, die du nennst — wir rufen die öffentlich erreichbare Seite ab und lesen daraus Name, Farbe, Schrift, Logo und den Seitentext, damit die Mail nach deiner Marke aussieht. Die Angabe ist freiwillig; ohne sie wird trotzdem geschrieben.
Deine E-Mail-Adresse, wenn du dir die Demo schickst. Sie geht an unseren Versanddienstleister und wird für diese eine Mail benutzt. Du erklärst dabei ausdrücklich, dass es deine eigene Adresse ist.
Deine IP-Adresse, für die Begrenzung der Aufrufe. Rechtsgrundlage ist unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO), einen offen zugänglichen Dienst vor Missbrauch zu schützen.

Es entsteht kein Konto. Solange du nur schreibst und dir nichts schickst, wird bei uns keine Adresse gespeichert. Für die Begrenzung merken wir uns 24 Stunden lang eine Prüfsumme der Empfängeradresse — aus ihr lässt sich die Adresse nicht zurückrechnen; sie dient nur dazu, zu erkennen, dass an dieselbe Adresse heute schon eine Demo ging. Rechtsgrundlage für den Versand der Demo: Art. 6 Abs. 1 lit. b DSGVO (deine eigene Anforderung).

Was wir aus der Demo aufbewahren

Damit wir das Produkt verbessern können, bewahren wir auf, was in der Demo entsteht. Das betrifft zwei Dinge:

Jeden erzeugten Entwurf mit dem Satz, aus dem er entstanden ist. Ohne Adresse und ohne IP-Adresse — aus diesen Daten lässt sich nicht erkennen, wer sie geschrieben hat.
Jede Demo, die du dir schickst, mit deiner E-Mail-Adresse, dem Betreff und dem versendeten Entwurf. Daraus ist auch erkennbar, wie oft von derselben Adresse aus getestet wurde.

Zweck ist die Verbesserung und Weiterentwicklung von bemailed sowie die Auswertung, wie die Demo genutzt wird. Rechtsgrundlage ist unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) an einem Produkt, das aus seiner tatsächlichen Nutzung lernt. Dauer: zwölf Monate. Danach werden die Entwürfe und das Versand-Protokoll der Proben automatisch gelöscht.

Du kannst das abschalten, bevor es passiert. In den Einstellungen der Demo gibt es dafür einen Schalter. Ist er aus, wird kein Entwurf mehr aufbewahrt, und das Versand-Protokoll bekommt nur noch Adresse und Betreff, nicht mehr den Inhalt der Mail.

Du kannst widersprechen. Nach Art. 21 DSGVO kannst du der Verarbeitung, die auf unserem berechtigten Interesse beruht, jederzeit mit Wirkung für die Zukunft widersprechen, und du kannst die Löschung deiner Daten verlangen (Art. 17 DSGVO). Formlos an datenschutz@bemailed.de. Wir löschen dann alles, was zu deiner Adresse gehört.

Was wir nicht tun: Wir legen aus diesen Daten keinen Newsletter-Kontakt an und schreiben dich nicht ohne deine Einwilligung an. Die Demo, die du dir selbst schickst, bleibt die einzige Mail, die du von uns bekommst.

13a. Schriften

Wir laden keine Schriften von Google Fonts oder einem anderen fremden Dienst. Das gilt für unsere Webseiten, für die eingeloggte Plattform, für die Anmeldeseiten, die unsere Kunden ihren Lesern zeigen, und für die versendeten Newsletter gleichermaßen. Alle Schriften kommen von unseren eigenen Servern.

Hinterlegt ein Konto-Inhaber eine eigene Marken-Schrift, wird sie nur dann geladen, wenn sie bei uns liegt. Andernfalls wird sie im Text weiterhin genannt: Wer sie auf seinem Gerät installiert hat, sieht sie, alle anderen sehen die Ersatzschrift. In keinem Fall erfährt ein Dritter davon, dass du die Seite aufgerufen hast.

14. Deine Rechte

Du hast jederzeit das Recht auf

Auskunft (Art. 15 DSGVO),
Berichtigung (Art. 16): Konto-Daten direkt in den Settings,
Löschung (Art. 17): Konto-Löschung direkt im Konto,
Einschränkung (Art. 18),
Datenübertragbarkeit (Art. 20): CSV-Export im Konto,
Widerspruch (Art. 21 DSGVO): Du kannst Verarbeitungen, die auf unser berechtigtes Interesse gestützt sind (etwa die Reichweitenmessung nach Abschnitt 8/8a), jederzeit mit Wirkung für die Zukunft widersprechen, formlos an datenschutz@bemailed.de,
Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO),
Beschwerde bei einer Aufsichtsbehörde. Für uns zuständig: Der Hessische Beauftragte für Datenschutz und Informationsfreiheit, Postfach 31 63, 65021 Wiesbaden, datenschutz.hessen.de.

Anfragen, die nicht über den Self-Service abgedeckt sind, gerne an support@bemailed.de. Antwort innerhalb von 5 Werktagen.

14a. Kontaktformular und Bewerbungen

Kontaktformular: Schreibst du uns über das Kontaktformular, verarbeiten wir die angegebenen Daten (Name, E-Mail-Adresse, Nachricht) zur Bearbeitung deiner Anfrage (Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO). Die Zustellung an uns erfolgt über Resend (siehe Abschnitt 6). Wir löschen die Korrespondenz, sobald sie abgeschlossen ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Bewerbungen: Bewirbst du dich bei uns (etwa auf die Karriere-Seite hin per E-Mail), verarbeiten wir deine Bewerbungsdaten ausschließlich für das Bewerbungsverfahren (§ 26 BDSG, Art. 6 Abs. 1 lit. b DSGVO). Kommt kein Arbeitsverhältnis zustande, löschen wir die Unterlagen spätestens sechs Monate nach Abschluss des Verfahrens, sofern du nicht ausdrücklich in eine längere Aufbewahrung einwilligst.

15. Datensicherheit (TOMs)

Wir setzen technische und organisatorische Maßnahmen nach Art. 32 DSGVO ein. Details in AVV §5. Auszug: TLS 1.2+ für Versand, AES-256 at-rest, Row-Level-Security in der Datenbank, Pflicht-2FA für interne Zugänge, Argon2id- Passwort-Hashing, tägliche EU-Backups, DSGVO-konformes Error-Monitoring ohne PII.

16. Automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO findet nicht statt. Bounce- und Complaint-Schwellen können zwar zu automatischen Versand-Pausen führen, diese entfalten aber keine rechtliche oder ähnlich erhebliche Wirkung gegenüber Einzelpersonen, sondern wirken plattform-intern.

17. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, falls sich rechtliche Rahmenbedingungen oder unsere Verarbeitungs- tätigkeiten ändern. Die jeweils aktuelle Fassung findest du immer hier. Wesentliche Änderungen (z.B. neue Subprozessoren) kommunizieren wir aktiv per E-Mail mit mindestens 30 Tagen Vorlauf.

Stand: 20. August 2026 · Version 1.1