Auftragsverarbeitungsvertrag

AUFTRAGSVERARBEITUNGSVERTRAG

gemäß Artikel 28 der Verordnung (EU) 2016/679 (DSGVO)

JAAN BV – alle Dienste (Webhosting, VPS und dedizierte Server, Smsbox, 2mail, Individualentwicklung)

Version: 2.6 – 27. Oktober 2026

Auftragsverarbeiter: JAAN BV (Jaan Internet Solutions), Gesellschaftssitz Zelzatestraat 61, 9960 Assenede, Belgien – Unternehmensnummer (KBO) 0894.248.245 – privacy@jaan.be – 09 328 03 83

Verantwortlicher: der Kunde, wie im Hauptvertrag, in der Bestellung oder im Kundenkonto angegeben.

Artikel 1 – Anwendungsbereich und Rangfolge

1.1 Dieser Auftragsverarbeitungsvertrag ist integraler Bestandteil jedes Vertrags zwischen JAAN BV und dem Kunden über die Erbringung von Diensten (der „Hauptvertrag“), einschließlich der Allgemeinen Geschäftsbedingungen, Bestellungen und Leistungsbeschreibungen von JAAN BV.

1.2 Er gilt für jede Verarbeitung Personenbezogener Daten des Kunden durch JAAN BV als Auftragsverarbeiter im Rahmen der Dienste, unabhängig davon, welchen Dienst der Kunde in Anspruch nimmt. Anlage A beschreibt die Verarbeitung pro Dienst.

1.3 Bei Widersprüchen zwischen diesem Auftragsverarbeitungsvertrag und dem Hauptvertrag hat dieser Auftragsverarbeitungsvertrag in Bezug auf die Verarbeitung Personenbezogener Daten Vorrang. Haben die Parteien die Standardvertragsklauseln des Durchführungsbeschlusses (EU) 2021/915 unterzeichnet, so haben diese Klauseln Vorrang, und die Anlagen dieses Dokuments gelten als Ausfüllung von deren Anhängen II bis IV.

Artikel 2 – Begriffsbestimmungen

2.1 „Dienste“: die Dienste, die JAAN BV für den Kunden erbringt, darunter Webhosting, virtuelle Server (VPS) und dedizierte Server, die Smsbox-Nachrichtendienste (SMS, WhatsApp Business und Sprachnachrichten per Text-to-Speech), die 2mail-E-Mail-Dienste (E-Mail-Marketing und SMTP-Relay) sowie Individualentwicklung.

2.2 „Personenbezogene Daten des Kunden“: alle personenbezogenen Daten, die JAAN BV im Auftrag des Kunden verarbeitet, um die Dienste zu erbringen.

2.3 „Unterauftragsverarbeiter“: jeder Dritte, den JAAN BV hinzuzieht, um Personenbezogene Daten des Kunden für die Erbringung der Dienste zu verarbeiten.

2.4 „Übermittlungsdienst“: jeder Dienst eines Telekommunikationsbetreibers, SMS-Aggregators, einer Nachrichtenplattform eines Dritten oder eines empfangenden E-Mail-Servers, der ausschließlich der Weiterleitung von Nachrichten an den oder vom Empfänger dient. Anbieter von Übermittlungsdiensten sind weder Unterauftragsverarbeiter von JAAN BV noch des Kunden (siehe Artikel 7.6 und Anlage D).

2.5 „Datenschutzverletzung“: eine Verletzung des Schutzes personenbezogener Daten im Sinne von Artikel 4 Nr. 12 DSGVO.

2.6 Begriffe wie „Verantwortlicher“, „Auftragsverarbeiter“, „betroffene Person“, „Verarbeitung“ und „Aufsichtsbehörde“ haben die Bedeutung, die ihnen die DSGVO beimisst.

Artikel 3 – Rollen der Parteien

3.1 Der Kunde ist Verantwortlicher für die Personenbezogenen Daten des Kunden; JAAN BV ist Auftragsverarbeiter. Handelt der Kunde selbst als Auftragsverarbeiter für einen Dritten, so ist JAAN BV Unterauftragsverarbeiter, und der Kunde garantiert, dass sein eigener Auftragsverarbeitungsvertrag die Hinzuziehung von JAAN BV erlaubt.

3.2 JAAN BV ist eigenständiger Verantwortlicher für die Daten, die JAAN BV für die Verwaltung der Kundenbeziehung verarbeitet: Kontodaten, Ansprechpartner, Rechnungsstellung, Support, Sicherheit und Betrugsprävention der eigenen Infrastruktur sowie die Erfüllung gesetzlicher Pflichten. Diese Verarbeitung unterliegt der Datenschutzerklärung von JAAN BV.

3.3 Der Kunde garantiert, dass er über eine Rechtsgrundlage für die Verarbeitung verfügt, dass er die betroffenen Personen korrekt informiert und dass er JAAN BV keine Daten verarbeiten lässt, die gegen das Gesetz, die Fair-Use-Policy oder die besonderen Bedingungen von JAAN BV verstoßen. Für kommerzielle Nachrichten über Smsbox oder 2mail verfügt der Kunde über die erforderliche Einwilligung der Empfänger und legt auf Verlangen von JAAN BV den Nachweis dafür vor.

Artikel 4 – Weisungen

4.1 JAAN BV verarbeitet die Personenbezogenen Daten des Kunden ausschließlich auf dokumentierte Weisung des Kunden und zur Erbringung der Dienste. Als Weisungen gelten der Hauptvertrag, dieser Auftragsverarbeitungsvertrag, die Konfiguration der Dienste durch den Kunden (Control Panel, API, Einstellungen) und schriftliche Support-Anfragen.

4.2 Ist JAAN BV der Auffassung, dass eine Weisung gegen die DSGVO oder sonstige anwendbare Rechtsvorschriften verstößt, so informiert JAAN BV den Kunden unverzüglich darüber und darf die Ausführung aussetzen, bis die Weisung angepasst ist.

4.3 Ist JAAN BV gesetzlich zu einer Verarbeitung verpflichtet, so teilt JAAN BV dem Kunden diese Verpflichtung vorab mit, sofern das Gesetz dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

Artikel 5 – Vertraulichkeit

5.1 Es gilt die Geheimhaltungspflicht aus Artikel 14 der Allgemeinen Geschäftsbedingungen von JAAN BV. JAAN BV stellt sicher, dass nur hierzu befugte Mitarbeiter Zugang zu den Personenbezogenen Daten des Kunden haben, soweit dies für die Erbringung der Dienste erforderlich ist, und dass sie einer vertraglichen oder gesetzlichen Verschwiegenheitspflicht unterliegen.

Artikel 6 – Sicherheit

6.1 JAAN BV trifft geeignete technische und organisatorische Maßnahmen im Sinne von Artikel 32 DSGVO, wie in Anlage B beschrieben. JAAN BV darf diese Maßnahmen anpassen, sofern das Sicherheitsniveau dadurch nicht sinkt.

6.2 Der Kunde bleibt für die Sicherheit auf seiner Seite verantwortlich: die Verwaltung seiner Passwörter, API-Schlüssel und Benutzer, die Sicherheit der Software und Daten, die er auf einem Hosting-Konto, einem VPS oder einem dedizierten Server ablegt (bei Managed-Betreuung: die Anwendungen und Daten oberhalb des Betriebssystems), sowie die Entscheidung, ob sensible Daten über die Dienste versendet werden.

Artikel 7 – Unterauftragsverarbeiter

7.1 Der Kunde erteilt JAAN BV eine allgemeine schriftliche Genehmigung zur Hinzuziehung von Unterauftragsverarbeitern. Die Unterauftragsverarbeiter, die bei Abschluss dieses Auftragsverarbeitungsvertrags eingesetzt werden, sind pro Dienst in Anlage C aufgeführt.

7.2 JAAN BV informiert den Kunden mindestens dreißig (30) Tage im Voraus per E-Mail an die bei JAAN BV hinterlegte Kontaktadresse über die Hinzufügung oder Ersetzung eines Unterauftragsverarbeiters. Die aktuelle Liste befindet sich stets in Anlage C dieses Auftragsverarbeitungsvertrags.

7.3 Der Kunde kann innerhalb von zehn (10) Werktagen nach dieser Mitteilung aus vernünftigen, begründeten Gründen Einspruch erheben. Die Parteien suchen dann nach Treu und Glauben nach einer Lösung. Gelingt dies nicht, so darf der Kunde den betreffenden Teil der Dienste ohne Kündigungsentschädigung kündigen.

7.4 JAAN BV erlegt jedem Unterauftragsverarbeiter schriftlich Pflichten auf, die denen dieses Auftragsverarbeitungsvertrags mindestens gleichwertig sind, und bleibt gegenüber dem Kunden für die Erfüllung durch seine Unterauftragsverarbeiter in vollem Umfang haftbar.

7.5 Softwarelieferanten, deren Lizenzen JAAN BV weiterverkauft oder nutzt (wie Microsoft SPLA), verarbeiten keine Personenbezogenen Daten des Kunden und sind keine Unterauftragsverarbeiter.

7.6 Anbieter von Übermittlungsdiensten sind keine Unterauftragsverarbeiter. Sie leiten den Inhalt einer Nachricht ausschließlich an das Netz oder das Postfach des Empfängers weiter, ohne ihn inhaltlich zu verarbeiten, und sind an das Fernmeldegeheimnis gebunden oder handeln als eigenständige Verantwortliche für ihr eigenes Netz. JAAN BV wählt und wechselt diese Anbieter frei je nach Bestimmungsziel, Verfügbarkeit und Zustellqualität; die verwendeten Routen gehören zu den Geschäftsgeheimnissen von JAAN BV und werden nicht mitgeteilt. Anlage D erläutert dies.

Artikel 8 – Übermittlung außerhalb des EWR

8.1 JAAN BV verarbeitet die Personenbezogenen Daten des Kunden in Belgien. JAAN BV übermittelt keine Personenbezogenen Daten des Kunden in Länder außerhalb des Europäischen Wirtschaftsraums, außer soweit Anlage C dies für einen bestimmten Dienst angibt, und mit den dort genannten geeigneten Garantien (Angemessenheitsbeschluss, EU-U.S. Data Privacy Framework oder Standardvertragsklauseln).

8.2 Der Kunde erkennt an, dass sich der Empfänger einer Nachricht außerhalb des EWR befinden kann und dass die Zustellung dieser Nachricht in diesem Fall eine Übermittlung darstellt, für die der Kunde als Verantwortlicher die Rechtsgrundlage festlegt.

Artikel 9 – Unterstützung bei Rechten betroffener Personen

9.1 JAAN BV unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung dabei, Anträgen betroffener Personen nachzukommen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch). Der Kunde kann die meisten Anträge selbst über das Control Panel oder die API des Dienstes bearbeiten; im Übrigen leistet JAAN BV innerhalb von zehn (10) Werktagen nach Anfrage Unterstützung.

9.2 Erhält JAAN BV unmittelbar einen Antrag einer betroffenen Person zu Personenbezogenen Daten des Kunden, so leitet JAAN BV diesen unverzüglich an den Kunden weiter und beantwortet ihn nicht selbst, es sei denn, der Kunde verlangt dies.

Artikel 10 – Datenschutzverletzungen

10.1 JAAN BV meldet eine Datenschutzverletzung, die Personenbezogene Daten des Kunden betrifft, ohne unangemessene Verzögerung und spätestens innerhalb von vierundzwanzig (24) Stunden, nachdem JAAN BV davon Kenntnis erlangt hat, per E-Mail an die bei JAAN BV hinterlegte Kontaktadresse des Kunden.

10.2 Die Meldung enthält, soweit bekannt: die Art der Datenschutzverletzung, die betroffenen Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen, die ergriffenen oder vorgeschlagenen Maßnahmen und eine Anlaufstelle. Informationen, die noch nicht verfügbar sind, werden schrittweise nachgereicht.

10.3 JAAN BV meldet eine Datenschutzverletzung nicht selbst im Namen des Kunden an die Aufsichtsbehörde oder die betroffenen Personen, es sei denn, der Kunde verlangt dies schriftlich oder das Gesetz verpflichtet JAAN BV dazu.

Artikel 11 – Datenschutz-Folgenabschätzung

11.1 JAAN BV leistet dem Kunden auf Anfrage angemessene Unterstützung bei einer Datenschutz-Folgenabschätzung (DSFA) und einer etwaigen vorherigen Konsultation der Aufsichtsbehörde, soweit diese die Dienste betreffen, und auf Grundlage der Informationen, über die JAAN BV verfügt.

Artikel 12 – Informationen und Audit

12.1 JAAN BV stellt dem Kunden auf Anfrage alle Informationen zur Verfügung, die vernünftigerweise erforderlich sind, um die Einhaltung von Artikel 28 DSGVO und dieses Auftragsverarbeitungsvertrags nachzuweisen, darunter die Beschreibung der Maßnahmen in Anlage B und, sofern vorhanden, Zertifikate oder Auditberichte Dritter.

12.2 Reichen diese Informationen vernünftigerweise nicht aus, so darf der Kunde oder ein von ihm beauftragter unabhängiger, zur Verschwiegenheit verpflichteter Prüfer höchstens einmal pro Jahr ein Audit durchführen, mit einer vorherigen schriftlichen Ankündigung von mindestens dreißig (30) Tagen, während der Geschäftszeiten und ohne die Leistungserbringung für andere Kunden zu stören oder Zugang zu deren Daten zu erhalten. Bei einer vermuteten Datenschutzverletzung oder auf Anordnung der Aufsichtsbehörde gilt eine kürzere Frist.

12.3 Jede Partei trägt ihre eigenen Kosten. Erfordert das Audit mehr als einen Arbeitstag von JAAN BV, so darf JAAN BV die zusätzliche Zeit zu seinem üblichen Stundensatz in Rechnung stellen, es sei denn, das Audit deckt einen Verstoß von JAAN BV auf.

Artikel 13 – Rückgabe und Löschung

13.1 Während der Laufzeit kann der Kunde seine Daten jederzeit selbst über den Dienst exportieren (Backups, Datenbank-Dumps, Exporte von Kontaktlisten und Nachrichtenprotokollen) oder einen Export zum geltenden Tarif anfordern.

13.2 Nach dem Ende des Hauptvertrags oder des betreffenden Dienstes löscht JAAN BV alle Personenbezogenen Daten des Kunden, einschließlich der Backups gemäß ihrer normalen Rotation, innerhalb von neunzig (90) Tagen, es sei denn, der Kunde verlangt vor diesem Datum schriftlich die Rückgabe oder es besteht eine gesetzliche Aufbewahrungspflicht. Auf Anfrage bestätigt JAAN BV die Löschung schriftlich.

Artikel 14 – Haftung

14.1 Die Haftungsregelung des Hauptvertrags gilt für diesen Auftragsverarbeitungsvertrag, unbeschadet von Artikel 82 DSGVO und der zwingenden Bestimmungen der DSGVO, von denen vertraglich nicht abgewichen werden kann.

Artikel 15 – Laufzeit

15.1 Dieser Auftragsverarbeitungsvertrag gilt, solange JAAN BV Personenbezogene Daten des Kunden verarbeitet, und endet automatisch nach der in Artikel 13 genannten Löschung oder Rückgabe.

Artikel 16 – Anwendbares Recht und Gerichtsstand

16.1 Auf diesen Auftragsverarbeitungsvertrag findet belgisches Recht Anwendung. Ausschließlich zuständig sind die Gerichte des Gerichtsbezirks Ostflandern, Abteilung Gent, unbeschadet des Rechts des Kunden und der betroffenen Personen, Beschwerde bei der belgischen Datenschutzbehörde (GBA/APD) einzulegen.

Anlage A – Beschreibung der Verarbeitung pro Dienst

Gemeinsam für alle Dienste: Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags zuzüglich der Löschfrist nach Artikel 13; die Verarbeitung umfasst Speicherung, Übermittlung, Backup und technische Verwaltung; es werden keine besonderen Kategorien personenbezogener Daten erwartet, es sei denn, der Kunde verarbeitet diese selbst über den Dienst und steht selbst dafür ein.

Anlage B – Technische und organisatorische Maßnahmen

B.1 Allgemein (alle Dienste)

• Standorte: Alle Systeme befinden sich in Belgien, im LCL Datacenter in Diegem und im Rechenzentrum der JAAN BV in Zelzate. Das Rechenzentrum der JAAN BV in Zelzate ist durch eine auf befugtes Personal beschränkte Zugangskontrolle, Videoüberwachung und eine Alarmanlage gesichert. Das LCL Datacenter in Diegem ist ein professionelles Colocation-Zentrum mit Überwachung rund um die Uhr (24/7), Zugangskontrolle, Brandschutz sowie redundanter Strom- und Kühlungsversorgung.
• Netzwerk: Firewalls auf Infrastruktur- und Hypervisor-Ebene; Netzwerkisolierung zwischen Kundenumgebungen (Proxmox VE); Trennung des Verwaltungsverkehrs vom Kundenverkehr; Verschlüsselung des Datenverkehrs zu und von den Diensten mit TLS.
• Zugriffsverwaltung: persönliche Konten mit minimalen Rechten; administrativer Zugriff ausschließlich über VPN und SSH-Schlüssel; regelmäßige Überprüfung der Zugriffsrechte; sofortiger Entzug beim Ausscheiden von Mitarbeitern; kontinuierliche Betrugs- und Missbrauchsüberwachung am Smsbox-Gateway mit Sperrung verdächtiger Zugriffe.
• Kontinuität: Datenbanken in Master-Master-Replikation über zwei Standorte; tägliche Backups mit einer Aufbewahrungsfrist von vierzehn (14) Tagen auf einem separaten Backup-Server.
• Patch-Management: Sicherheitsupdates für Betriebssysteme und Plattformsoftware werden wöchentlich eingespielt; kritische Schwachstellen sofort nach Verfügbarkeit eines Patches.
• Protokollierung und Monitoring: System-, Zugriffs- und Anwendungsprotokolle werden je Anwendung auf das beschränkt, was für Sicherheit, Fehlerbehebung und gesetzliche Pflichten erforderlich ist (siehe Anlage E); Überwachung der Verfügbarkeit und von auffälligem Verhalten.
• Malware und Spam: Viren- und Spamfilterung auf der Mail-Infrastruktur; automatisierte Intrusion Prevention mit Firewall, fail2ban und Betrugserkennung; JAAN BV setzt alle angemessenen Mittel für eine maximale Sicherheit seiner Infrastruktur ein und legt die konkreten Erkennungsmittel aus Sicherheitsgründen nicht offen.
• Personal: Verschwiegenheitsverpflichtung in Arbeits- und Dienstleistungsverträgen; Need-to-know-Prinzip.
• Vorfallmanagement: dokumentiertes Verfahren zur Feststellung, Eindämmung und Meldung von Sicherheitsvorfällen (siehe Artikel 10); erhebliche Vorfälle werden dem Zentrum für Cybersicherheit Belgien gemäß dem NIS2-Gesetz vom 26. April 2024 gemeldet; Meldemechanismus für rechtswidrige Inhalte gemäß dem Digital Services Act (Gesetz über digitale Dienste).
• Löschung: sichere Löschung von Datenträgern bei Außerbetriebnahme; Löschung von Kundendaten gemäß Artikel 13.

B.2 Webhosting

• Trennung der Kundenkonten auf Ebene des Betriebssystems und des Webservers (SiteWorx-Konten mit eigenem Benutzer).
• Mailverkehr mit TLS gesichert, Unterstützung von SPF/DKIM/DMARC; automatisierte Erkennung von Malware und bösartigen Skripten in Kundenkonten, mit Benachrichtigung des Kunden bei einem Fund.

B.3 VPS und dedizierte Server

• VPS: vollständige Isolierung der virtuellen Maschinen auf dem Hypervisor. Dedizierter Server: physischer Server exklusiv für den Kunden im Rechenzentrum der JAAN BV.
• Unmanaged: Der Kunde verwaltet das Betriebssystem und die Daten selbst und ist für die Sicherheit innerhalb des VPS verantwortlich.
• Managed: JAAN BV verwaltet das Betriebssystem gemäß den Maßnahmen aus B.1 (wöchentliche Sicherheitsupdates, Firewall, fail2ban, Monitoring, administrativer Zugriff über VPN und SSH-Schlüssel). Der administrative Zugriff wird nur für Wartung, Sicherheit und Support auf Anfrage des Kunden genutzt; der Kunde bleibt für seine Anwendungen und Daten verantwortlich.
• Backups des gesamten Servers (täglich oder wöchentlich, auf einem separaten Backup-Server) und, bei VPS, Disk-Snapshots (1× oder 2× pro Tag, auf dem Hypervisor) sind separate Optionen für Managed- und Unmanaged-Server; jeweils werden die letzten vier (4) aufbewahrt. Ohne diese Optionen ist der Kunde selbst für seine Backups verantwortlich.

B.4 Smsbox

• Anmeldung mit persönlichen Konten; Unterstützung für Passkeys/WebAuthn; gesicherte Sitzungen; API-Zugang mit Schlüsseln pro Konto.
• Content Security Policy mit Nonces; alle Verbindungen über HTTPS.
• Sprachnachrichten: nur ausgehend, zum Zeitpunkt des Versands aus Text erzeugt; es werden keine Audioaufnahmen des Empfängers erstellt und keine Audiodateien gespeichert; nur der Text, die Nummer und der Anrufstatus werden mit derselben Frist wie bei SMS aufbewahrt.
• Ein Opt-out per STOP ist nur möglich, wenn der Kunde die Antwortmöglichkeit aktiviert hat; der Versand erfolgt dann über den von JAAN BV gemieteten Shortcode 8676 (Belgien), und STOP-Antworten werden automatisch in eine Sperrliste pro Konto aufgenommen. In allen anderen Fällen werden STOP-Anfragen, soweit der Mobilfunkbetreiber des Empfängers dies unterstützt, von diesem Betreiber selbst verarbeitet und verwaltet; diese Listen sind für JAAN BV nicht zugänglich. Der Kunde sieht in seinen Nachrichten zusätzlich selbst eine Abmeldemöglichkeit vor. Datenminimierung: Es werden nur Nummer, Inhalt, Status und Zeitpunkt aufbewahrt.
• Nachrichteninhalte, Zustellberichte und zugehörige Protokolle werden dreizehn (13) Monate aufbewahrt und danach automatisch gelöscht oder anonymisiert (siehe Anlage E); die Aufbewahrung bei Übermittlungsdiensten wird so kurz wie möglich eingestellt.

B.5 2mail

• Versand über die eigene Postfix-Infrastruktur von JAAN BV mit TLS; Ratenbegrenzung pro Domain und IP-Warm-up; SPF, DKIM und DMARC.
• Automatische Bounce- und Beschwerdeverarbeitung; Abmeldungen werden sofort in eine Blocklist aufgenommen, die mit den Mailservern synchronisiert wird.
• Tracking-Daten (Öffnungen, Klicks) werden gemäß Anlage E aufbewahrt; Kontaktlisten werden gelöscht, sobald der Kunde sie entfernt, oder gemäß Artikel 13.

Anlage C – Unterauftragsverarbeiter

Diese Liste enthält die Unterauftragsverarbeiter im Sinne von Artikel 2.3. Anbieter von Übermittlungsdiensten (Artikel 2.4 und 7.6) und Softwarelizenzgeber (Artikel 7.5) sind darin nicht aufgeführt. Diese Liste ist eine vertrauliche Geschäftsinformation und darf nur zur Einhaltung der DSGVO durch den Kunden verwendet werden.

Die Konnektivitätsanbieter der Rechenzentren (Destiny, Telenet) liefern ausschließlich Internettransport und sind keine Unterauftragsverarbeiter. Google Analytics wird nur auf den öffentlichen Websites von JAAN BV verwendet, für die JAAN BV selbst Verantwortlicher ist, und nicht in den Kundenportalen. Zuletzt aktualisiert: 24. Oktober 2026.

Anlage D – Erläuterung zu Übermittlungsdiensten

Warum stehen Telekommunikationsbetreiber, SMS-Aggregatoren und empfangende Mailserver nicht auf der Liste der Unterauftragsverarbeiter?

Eine Nachricht, die der Kunde über Smsbox oder 2mail versendet, muss physisch im Mobilfunknetz oder im Postfach des Empfängers zugestellt werden. Dazu durchläuft die Nachricht Netze Dritter: Telekommunikationsbetreiber und deren Aggregatoren bei SMS, die Plattform von Meta bei WhatsApp und den Mailserver des Empfängers (zum Beispiel Microsoft, Google oder den eigenen Mailserver eines Unternehmens) bei E-Mails.

Diese Parteien verarbeiten den Inhalt der Nachricht nicht inhaltlich für den Kunden. Sie leiten ihn lediglich weiter, so wie die Post einen Brief zustellt. Telekommunikationsbetreiber sind zudem an das Fernmeldegeheimnis gebunden und dürfen den Inhalt nicht einsehen. Empfangende Mailserver werden vom Empfänger oder dessen eigenem Anbieter betrieben, außerhalb jeder Weisung des Kunden oder von JAAN BV. Sie handeln daher als reine Durchleitungsstelle oder als eigenständige Verantwortliche für ihr eigenes Netz und nicht als Auftragsverarbeiter oder Unterauftragsverarbeiter im Sinne von Artikel 28 DSGVO. Dieser Ansatz ist in der Branche der Kommunikationsdienste üblich.

Meta (WhatsApp Business Platform) bildet eine Ausnahme: Meta speichert und verarbeitet Nachrichten auf seiner Plattform im Auftrag des geschäftlichen Nutzers und wird daher in Anlage C sehr wohl als Unterauftragsverarbeiter aufgeführt.

Die Wahl der Übermittlungsrouten pro Bestimmungsziel ist ein Geschäftsgeheimnis von JAAN BV und gehört nicht zu den Informationen, die im Rahmen dieses Auftragsverarbeitungsvertrags bereitgestellt werden. JAAN BV garantiert, dass jeder eingesetzte Anbieter an das Fernmeldegeheimnis oder an vertragliche Vertraulichkeitspflichten gebunden ist und dass Nachrichten an Empfänger innerhalb des EWR über Anbieter im EWR zugestellt werden.

Anlage E – Aufbewahrungsfristen

Diese Fristen gelten für die Personenbezogenen Daten des Kunden während der Laufzeit. Nach dem Ende des Dienstes gilt Artikel 13 (Löschung innerhalb von 90 Tagen). Dieselben Fristen finden sich unter jaan.be/data-retentie.