1. Wann Sie einen AVV brauchen
Nutzt Ihr Unternehmen oder Ihr Verein Swavo für Mail, Kalender, Kontakte oder Dokumente, verarbeitet Swavo personenbezogene Daten in Ihrem Auftrag, zum Beispiel die Ihrer Kunden und Mitarbeitenden. Dafür verlangt Art. 28 DSGVO einen Vertrag zur Auftragsverarbeitung (AVV). Wer Swavo rein privat nutzt, braucht keinen.
2. So bekommen Sie den AVV
Schreiben Sie an support@swavo.de und nennen Sie Ihre Organisation. Wir schließen den AVV mit Ihnen, bevor Sie Swavo mit Daten Dritter nutzen. Swavo ist zurzeit im Test auf Einladung; der Vertrag wird noch nicht automatisch im Konto abgeschlossen.
3. Was verarbeitet wird
- Gegenstand: Betrieb von Mail, Kalender, Kontakten, Aufgaben und Dokumentenarchiv sowie der Zugang für die KI-Assistenten, die Sie selbst verbinden.
- Daten: Nachrichten mit Anhängen, Termine, Kontakte, Aufgaben, Dokumente und daraus berechnete Suchdaten; Kennungen und Anmeldedaten der Nutzer; Protokolle von Freigaben und Verwaltungsänderungen.
- Betroffene: Ihre Mitarbeitenden und alle, mit denen sie korrespondieren.
- Ort: Gespeichert wird in der EU. Einzelheiten stehen unter Sicherheit und Speicherort.
- Dauer: bis zur Löschung durch Sie oder zum Ende der Nutzung; Fristen für Sicherungen nennt die Datenschutzerklärung.
4. Unterauftragsverarbeiter
Diese Anbieter setzen wir ein, jeden nur für die genannte Aufgabe:
| Anbieter | Aufgabe | Daten | Ort der Verarbeitung |
|---|---|---|---|
| Cloudflare, Inc. | Betrieb: Server, Datenbanken, Objektspeicher, Warteschlangen; Auslieferung der Website; Versand der Systemmails und der Mails von @swavomail.de-Adressen; Sicherheitsprüfung Turnstile | alle Inhalte und Kontodaten | Speicherung mit EU-Jurisdiktion; Auslieferung über das weltweite Netz des Anbieters |
| Amazon Web Services (Amazon SES) | Empfang und Versand von Mails für eigene Domains von Organisationen und Kunden | die jeweilige Mail beim Transport; eingehende Mails werden nach der Zustellung dort gelöscht | Region Frankfurt (eu-central-1) |
| Google Cloud (Vertex AI) | Texterkennung und Beschreibung von Dokumenten (Art, Zusammenfassung, Fristen, Beträge) | Dokumente aus dem Archiv | EU-Endpunkt (Verarbeitung in der EU) |
| Lyceum Technology; bei Ausfall OVHcloud | Berechnung von Suchvektoren für die Bedeutungssuche | Textauszüge aus Mails und Dokumenten | EU |
| Google (Firebase Cloud Messaging) | Benachrichtigungen an die Android-App, nur wenn sie eingeschaltet sind | Gerätekennung und interne Kennungen, keine Inhalte | weltweites Netz des Anbieters |
| Proton AG | Kopie der Mails an support@, abuse@ und postmaster@swavo.de, damit sie auch bei einer Störung eine Person erreichen | nur diese Anfragen | Schweiz (Angemessenheitsbeschluss der EU) |
Benachrichtigungen im Browser laufen verschlüsselt über den Push-Dienst Ihres Browsers (etwa Google, Apple oder Mozilla). Sind Sperrlisten eingerichtet, fragt Swavo bei Spamhaus IP-Adressen und Domains aus den Kopfzeilen neuer Mails ab.
5. Keine Unterauftragsverarbeiter
- Ihr KI-Anbieter (etwa Anthropic, OpenAI oder Mistral): Den verbinden Sie selbst, unter Ihrem eigenen Vertrag mit ihm. Swavo gibt ihm nur, was er in Ihrem Auftrag abruft, und nur für die Logins und Konten, die Sie beim Verbinden freigegeben haben.
- Ihr bisheriger Mail-Anbieter (etwa Google bei Gmail oder ein Anbieter mit IMAP und SMTP): Verbinden Sie ein bestehendes Postfach, greift Swavo in Ihrem Auftrag darauf zu; der Anbieter bleibt Ihr Vertragspartner.
- Ihr Anmeldedienst, wenn Ihre Organisation die Firmen-Anmeldung über OIDC oder SAML einrichtet.
6. Änderungen
Ändert sich diese Liste, steht es hier mit neuem Stand. Kunden mit AVV informieren wir vorab, wie im Vertrag geregelt.
Fragen: support@swavo.de. Siehe auch Datenschutzerklärung und Sicherheit und Speicherort.