Datenverarbeitungs-Anhang (DPA) von Resend

Dieser Datenverarbeitungs-Anhang einschließlich der in Bezug genommenen Standardvertragsklauseln (gemeinsam der „DPA" bzw. „Anhang") wird mit dem Wirksamkeitsdatum („Effective Date") geschlossen, zu dem der jeweilige Kunde („Kunde") die Nutzungsbedingungen zwischen Plus Five Five, Inc. („Unternehmen" oder „Resend") und dem Kunden annimmt, denen dieser Anhang beigefügt und in die er einbezogen ist (der „Vertrag"). Alle in diesem Anhang nicht definierten Begriffe in Großschreibung haben die Bedeutung, die ihnen im Vertrag zugewiesen wird. Dieser Anhang wird rechtsverbindlich, sobald der Kunde den Vertrag abschließt oder diesen Anhang unterzeichnet.

1. Begriffsbestimmungen

1. „Verbundenes Unternehmen" (Affiliate): (i) ein Unternehmen, an dem eine Partei mittelbar oder unmittelbar mindestens fünfzig Prozent (50 %) der Anteile oder sonstigen Beteiligungsrechte hält, (ii) ein Unternehmen, das mindestens fünfzig Prozent (50 %) der Anteile oder sonstigen Beteiligungsrechte einer Partei hält, oder (iii) ein Unternehmen, das mit einer Partei unter gemeinsamer Kontrolle steht, weil dieselbe Person mindestens fünfzig Prozent (50 %) der Anteile oder sonstigen Beteiligungsrechte dieses Unternehmens und einer Partei hält; maßgeblich ist das jeweilige Beteiligungsverhältnis.
2. „Betroffene Person" (Data Subject): (i) eine identifizierte oder identifizierbare natürliche Person im EWR oder eine Person, deren Rechte durch die EU-Datenschutzgesetze geschützt sind; oder (ii) ein „Verbraucher" im Sinne des CCPA.
3. „Kundendaten" (Customer Data): sämtliche Inhalte, Daten, Informationen oder sonstigen Materialien (einschließlich personenbezogener Informationen), die vom Kunden oder für den Kunden übermittelt oder über den Dienst geteilt werden.
4. „Personenbezogene Informationen" (Personal Information): Informationen über eine lebende natürliche Person oder einen Haushalt, die sich auf diese beziehen oder die direkt oder indirekt – allein oder mit anderen Informationen – vernünftigerweise identifiziert oder verknüpft werden können, soweit sie sich in der Kontrolle des Unternehmens oder des Kunden befinden und als Kundendaten über den Dienst gespeichert, erhoben, verarbeitet oder übermittelt werden. Personenbezogene Informationen umfassen personenbezogene Daten.
5. „Autorisierter Unterauftragsverarbeiter" (Authorized Sub-Processor): ein Dritter, der die personenbezogenen Daten des Kunden benötigt oder anderweitig darauf zugreift, damit das Unternehmen seine Pflichten aus diesem Anhang oder dem Vertrag erfüllen kann, und der nach Abschnitt 4.2 dieses Anhangs autorisiert ist.
6. „Kontodaten des Unternehmens" (Company Account Data): personenbezogene Daten, die sich auf die Geschäftsbeziehung des Unternehmens mit dem Kunden beziehen, einschließlich Namen oder Kontaktdaten der Personen, die vom Kunden für den Zugriff auf das Konto autorisiert sind, sowie Abrechnungsinformationen dieser Personen. Hierzu zählen auch Daten, die das Unternehmen zur Verwaltung der Kundenbeziehung, zur Identitätsprüfung oder aufgrund gesetzlicher Vorgaben erhebt.
7. „Nutzungsdaten des Unternehmens" (Company Usage Data): im Zusammenhang mit der Erbringung der Dienste erhobene und verarbeitete Nutzungsdaten, einschließlich Daten zur Identifizierung von Quelle und Ziel einer Kommunikation, Aktivitätsprotokolle sowie Daten zur Optimierung und Wartung der Dienste und zur Untersuchung und Verhinderung von Missbrauch.
8. „Datencxporteur" (Data Exporter): der Kunde.
9. „Datenimporteur" (Data Importer): das Unternehmen (Resend).
10. „Datenschutzgesetze" (Data Protection Laws): alle anwendbaren Gesetze und Vorschriften in den jeweils relevanten Rechtsordnungen, einschließlich (i) California Consumer Privacy Act („CCPA"), (ii) Datenschutz-Grundverordnung (Verordnung (EU) 2016/679, „EU-DSGVO") einschließlich ihrer Anwendung im Vereinigten Königreich („UK-DSGVO"; gemeinsam „DSGVO"), (iii) Schweizer Bundesgesetz über den Datenschutz, (iv) UK Data Protection Act 2018 und (v) Privacy and Electronic Communications (EC Directive) Regulations 2003; jeweils in der geltenden Fassung. Die Begriffe „betroffene Person", „personenbezogene Daten", „Verletzung des Schutzes personenbezogener Daten", „Verarbeitung", „Auftragsverarbeiter", „Verantwortlicher" und „Aufsichtsbehörde" haben die Bedeutung der DSGVO.
11. „Ex-EWR-Übermittlung": die Übermittlung personenbezogener Daten aus dem Europäischen Wirtschaftsraum (EWR) an den Datenimporteur außerhalb des EWR, sofern kein Angemessenheitsbeschluss der Europäischen Kommission nach der DSGVO vorliegt.
12. „Ex-UK-Übermittlung": die entsprechende Übermittlung aus dem Vereinigten Königreich (UK) außerhalb des UK, sofern kein Angemessenheitsbeschluss des zuständigen Staatssekretärs vorliegt.
13. „Dienste" (Services): wie im Vertrag definiert.
14. „Standardvertragsklauseln" (Standard Contractual Clauses): die EU-SCC und die UK-SCC.
15. „UK-SCC": die EU-SCC in der durch den UK-Anhang (UK Addendum) geänderten Fassung.
16. „EU-SCC": die von der Europäischen Kommission im Beschluss 2021/914 vom 4. Juni 2021 genehmigten Standardvertragsklauseln für Übermittlungen in Drittländer (in der jeweils geänderten Fassung), modifiziert durch Abschnitt 6.2 dieses Anhangs.

2. Verhältnis der Parteien; Datenverarbeitung

1. Die Parteien erkennen an, dass der Kunde in Bezug auf die Verarbeitung personenbezogener Daten entweder als Verantwortlicher oder als Auftragsverarbeiter handeln kann; das Unternehmen ist – vorbehaltlich abweichender Regelungen – Auftragsverarbeiter. Der Kunde verarbeitet personenbezogene Daten bei der Nutzung der Dienste jederzeit im Einklang mit den Datenschutzgesetzen und erteilt Weisungen, die den Datenschutzgesetzen entsprechen. Der Kunde stellt sicher, dass die Verarbeitung nach seinen Weisungen das Unternehmen nicht in Verstoß bringt. Der Kunde ist allein verantwortlich für Richtigkeit, Qualität und Rechtmäßigkeit (i) der dem Unternehmen übermittelten personenbezogenen Daten, (ii) der Art und Weise ihres Erwerbs und (iii) seiner Weisungen. Der Kunde übermittelt keine Daten, die gegen den Vertrag verstoßen oder für die Dienste ungeeignet sind, und stellt das Unternehmen von diesbezüglichen Ansprüchen und Verlusten frei.
2. Das Unternehmen verarbeitet personenbezogene Daten nicht (i) zu anderen Zwecken als im Vertrag und/oder Anhang A (Exhibit A) festgelegt, (ii) in einer Weise, die den Bestimmungen dieses Anhangs oder dokumentierten Weisungen widerspricht – einschließlich Übermittlungen in Drittländer –, es sei denn, eine Aufsichtsbehörde verlangt dies; in diesem Fall informiert das Unternehmen den Kunden vorab, soweit rechtlich zulässig, oder (iii) unter Verstoß gegen Datenschutzgesetze. Der Kunde weist das Unternehmen hiermit an, personenbezogene Daten entsprechend zu verarbeiten.
3. Gegenstand, Art, Zweck und Dauer der Verarbeitung sowie die Arten personenbezogener Daten und Kategorien betroffener Personen sind in Anhang A (Exhibit A) beschrieben.
4. Nach Abschluss der Dienste gibt das Unternehmen die personenbezogenen Daten des Kunden auf dessen Wahl zurück oder löscht sie, sofern die weitere Speicherung nicht gesetzlich erforderlich oder erlaubt ist. Ist die Rückgabe oder Löschung undurchführbar oder gesetzlich untersagt, sperrt das Unternehmen die Daten für jede weitere Verarbeitung (außer zur gesetzlich erforderlichen Aufbewahrung) und schützt die bei ihm verbleibenden Daten weiterhin angemessen. Sofern Standardvertragsklauseln nach Abschnitt 6 gelten, wird die in Klausel 8.1(d) und 8.5 der EU-SCC beschriebene Löschbestätigung nur auf Anforderung des Kunden erteilt.
5. CCPA: Vorbehaltlich der Konto- und Nutzungsdaten des Unternehmens ist das Unternehmen Dienstleister (service provider) im Sinne des CCPA und erhält personenbezogene Informationen ausschließlich zur Erbringung der Dienste (Geschäftszweck). Das Unternehmen verkauft solche Informationen nicht und verwendet oder gibt sie nur für den konkreten Zweck der Vertragserfüllung weiter. Das Unternehmen bestätigt, die Beschränkungen dieses Abschnitts zu verstehen.

3. Vertraulichkeit

1. Das Unternehmen stellt sicher, dass jede von ihm zur Verarbeitung personenbezogener Daten autorisierte Person die Vertraulichkeitspflichten des Vertrags einhält. Der Kunde stimmt zu, dass das Unternehmen personenbezogene Daten an Berater, Wirtschaftsprüfer oder sonstige Dritte weitergeben darf, soweit dies für die Erfüllung seiner Pflichten angemessen erforderlich ist.

4. Autorisierte Unterauftragsverarbeiter

1. Der Kunde erkennt an, dass das Unternehmen (1) verbundene Unternehmen sowie die auf der Liste (siehe 4.2) genannten autorisierten Unterauftragsverarbeiter mit dem Zugriff und der Verarbeitung personenbezogener Daten beauftragen darf und (2) für die Erbringung der Dienste weitere Dritte einbeziehen darf. Mit diesem Anhang erteilt der Kunde die allgemeine schriftliche Genehmigung zur Einbeziehung von Unterauftragsverarbeitern.
2. Die aktuelle Liste der autorisierten Unterauftragsverarbeiter ist unter https://resend.com/legal/subprocessors abrufbar und kann von Resend aktualisiert werden. Beabsichtigte Änderungen (Hinzufügung oder Ersetzung) teilt Resend dem Kunden mindestens vierzehn (14) Tage vorher schriftlich mit, damit dieser ausreichend Zeit für einen Widerspruch hat.
3. Widerspricht der Kunde einer Einbeziehung nach 4.2 angemessen und kann das Unternehmen innerhalb angemessener Frist keine wirtschaftlich zumutbare Alternative anbieten, kann der Kunde die Nutzung des betroffenen Dienstes durch schriftliche Kündigung beenden; bestehende Gebührenpflichten bleiben unberührt.
4. Widerspricht der Kunde innerhalb von vierzehn (14) Tagen nicht, gilt der Dritte als autorisierter Unterauftragsverarbeiter.
5. Das Unternehmen schließt mit jedem autorisierten Unterauftragsverarbeiter eine schriftliche Vereinbarung mit Datenschutzpflichten, die denen dieses Anhangs vergleichbar sind. Erfüllt ein Unterauftragsverarbeiter seine Pflichten nicht, bleibt das Unternehmen dem Kunden gegenüber für die Leistung des Unterauftragsverarbeiters verantwortlich.
6. Sofern Standardvertragsklauseln nach Abschnitt 6 gelten, (i) stellen die vorstehenden Genehmigungen die vorherige schriftliche Einwilligung des Kunden in die Unterbeauftragung dar, soweit nach den SCC erforderlich, und (ii) können die nach Klausel 9(c) der EU-SCC vorzulegenden Vertragskopien vorab um Geschäftsgeheimnisse geschwärzt werden; sie werden nur auf Anforderung übermittelt.
7. Das Unternehmen gibt personenbezogene Daten nur auf dokumentierte Weisung des Datencxporteurs oder im Einklang mit diesem Anhang an Dritte weiter; eine Weitergabe erfolgt nur an autorisierte Unterauftragsverarbeiter.

5. Sicherheit personenbezogener Daten

Unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie von Art, Umfang, Umständen und Zwecken der Verarbeitung und der Risiken für die Rechte und Freiheiten natürlicher Personen hält das Unternehmen geeignete technische und organisatorische Maßnahmen vor. Weitere Angaben enthält Anhang C (Exhibit C).

6. Übermittlungen personenbezogener Daten

1. Das Unternehmen darf personenbezogene Daten außerhalb von EWR, UK und Schweiz übermitteln, soweit dies zur Erbringung der Dienste erforderlich ist. Der Kunde erkennt an, dass die primären Verarbeitungsstandorte in den USA liegen. Sofern kein Angemessenheitsbeschluss vorliegt, gewährleistet das Unternehmen geeignete Garantien nach den Datenschutzgesetzen.
2. Ex-EWR-Übermittlungen erfolgen auf Grundlage der EU-SCC, die mit Abschluss dieses Anhangs als vereinbart und wie folgt ausgefüllt gelten:
   • Modul 1 (Verantwortlicher zu Verantwortlichem): wenn das Unternehmen nach Abschnitt 9 als Verantwortlicher handelt;
   • Modul 2 (Verantwortlicher zu Auftragsverarbeiter): wenn der Kunde Verantwortlicher und das Unternehmen Auftragsverarbeiter ist;
   • Modul 3 (Auftragsverarbeiter zu Unterauftragsverarbeiter): wenn der Kunde Auftragsverarbeiter und das Unternehmen Unterauftragsverarbeiter ist.
3. Für jedes Modul gilt ergänzend: Die optionale Beitrittsklausel (Klausel 7) findet keine Anwendung. Zu Klausel 9 gilt Option 2 (allgemeine schriftliche Genehmigung); die Vorankündigungsfrist richtet sich nach Abschnitt 4.2. Die optionale Formulierung in Klausel 11 findet keine Anwendung. Sämtliche eckigen Klammern in Klausel 13 sind gestrichen. Nach Klausel 17 (Option 1) unterliegen die EU-SCC irischem Recht. Nach Klausel 18(b) werden Streitigkeiten vor den Gerichten Irlands entschieden. Anhang B enthält die Angaben zu Anlage I und III, Anhang C die Angaben zu Anlage II der EU-SCC. Mit Abschluss dieses Anhangs gelten die EU-SCC einschließlich ihrer Anlagen als unterzeichnet.
4. Ex-UK-Übermittlungen erfolgen nach Maßgabe der UK-SCC einschließlich des UK-Addendums.
5. Übermittlungen aus der Schweiz erfolgen nach den EU-SCC mit folgenden Modifikationen: Der Begriff DSGVO umfasst das Schweizer Datenschutzgesetz (FADP/revidiertes FADP); die Daten juristischer Personen werden bis zum Inkrafttreten des revidierten FADP geschützt; für FADP-Übermittlungen ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) zuständig; Schweizer betroffene Personen können ihre Rechte nach Klausel 18(c) am Ort ihres gewöhnlichen Aufenthalts geltend machen.
6. Ergänzende Maßnahmen (bei Ex-EWR-/Ex-UK-Übermittlungen):
   • Der Datenimporteur hat bislang keine formellen behördlichen Auskunftsersuchen von Geheimdiensten oder Sicherheitsbehörden des Empfängerlands auf Kundendaten erhalten.
   • Auf gesetzmäßige Auskunftsersuchen öffentlicher Stellen (auch zur nationalen Sicherheit) kann das Unternehmen personenbezogene Informationen offenlegen; soweit rechtlich zulässig, verweist es die anfragende Stelle an den Kunden (Datencxporteur) und informiert den Kunden unverzüglich, damit dieser Schutzanordnungen beantragen kann. Eine freiwillige Offenlegung erfolgt nicht ohne verbindliche Rechtsgrundlage. Die Parteien beraten über eine etwaige Aussetzung von Übermittlungen.
   • Die Parteien prüfen bei Bedarf, ob das Schutzniveau im Empfängerland dem EWR-/UK-Niveau im Wesentlichen entspricht, ob zusätzliche Maßnahmen erforderlich sind und ob eine Übermittlung weiterhin angemessen ist.
   • Verlangen die Datenschutzgesetze eine separate Unterzeichnung der SCC, unterzeichnet der Datenimporteur diese auf Anforderung unverzüglich.
   • Verliert eine Übermittlungsgrundlage ihre Gültigkeit oder ordnet eine Aufsichtsbehörde die Aussetzung an, kann der Datenimporteur durch Mitteilung an den Datencxporteur alternative Regelungen treffen.
7. Im Einklang mit dem EU-US-DPF und der UK-Erweiterung arbeitet das Unternehmen mit dem von den EU-Datenschutzbehörden eingerichteten Gremium und dem britischen ICO zusammen.

7. Rechte betroffener Personen

1. Das Unternehmen unterrichtet den Kunden – soweit gesetzlich zulässig – über Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Datenübertragbarkeit, Einschränkung oder Einstellung der Verarbeitung, Widerruf von Einwilligungen, Widerspruch). Erhält das Unternehmen eine solche Anfrage, verweist es die betroffene Person an den Kunden; der Kunde beantwortet die Anfrage (ggf. über Funktionen der Dienste). Der Kunde ist allein dafür verantwortlich, Lösch-/Einschränkungsverlangen an das Unternehmen weiterzuleiten und Einwilligungsnachweise zu führen.
2. Auf Anforderung unterstützt das Unternehmen den Kunden mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Betroffenenanfragen, sofern der Kunde dies ohne Unterstützung nicht selbst kann und dies rechtlich zulässig ist. Anfallende Kosten trägt der Kunde im rechtlich zulässigen Umfang.
3. Im Einklang mit dem EU-US-DPF und der UK-Erweiterung verpflichtet sich das Unternehmen zur Beilegung von Beschwerden; EU-/UK-Betroffene können sich an privacy@resend.com wenden.

8. Maßnahmen und Auskunftsersuchen; Prüfungen (Audits)

1. Das Unternehmen unterstützt den Kunden – unter Berücksichtigung der Art der Verarbeitung – bei Datenschutz-Folgenabschätzungen (DSFA) und deren Nachweis, soweit der Kunde nicht selbst auf die Informationen zugreifen kann; Kosten trägt der Kunde im rechtlich zulässigen Umfang.
2. Das Unternehmen unterstützt den Kunden bei der Zusammenarbeit bzw. vorherigen Konsultation mit Aufsichtsbehörden, soweit nach der DSGVO erforderlich.
3. Das Unternehmen führt Nachweise über die Einhaltung dieses Anhangs und bewahrt diese drei (3) Jahre nach Vertragsende auf. Der Kunde hat das Recht, diese Unterlagen nach angemessener Ankündigung während der Geschäftszeiten einzusehen, zu prüfen und zu kopieren.
4. Auf schriftliche Anforderung in angemessenen Abständen stellt das Unternehmen (i) Kopien von Zertifizierungen/Berichten zur Verfügung oder (ii) ermöglicht, sofern dies datenschutzrechtlich nicht ausreicht, einem unabhängigen Vertreter des Kunden ein Audit der Sicherheitsinfrastruktur – mit angemessener Vorankündigung, während der Geschäftszeiten, höchstens einmal pro Kalenderjahr und beschränkt auf kundenbezogene Daten. Die Kosten trägt der Kunde. Bei geltenden SCC erfolgen Audits nach Klausel 8.9 der EU-SCC entsprechend diesem Abschnitt.
5. Das Unternehmen unterrichtet den Kunden unverzüglich, wenn eine Weisung nach seiner Auffassung gegen Datenschutzgesetze verstößt.
6. Bei einer Verletzung des Schutzes personenbezogener Daten informiert das Unternehmen den Kunden unverzüglich und ergreift angemessene Abhilfemaßnahmen, soweit diese in seiner Kontrolle liegen.
7. Bei einer solchen Verletzung unterstützt das Unternehmen den Kunden bei dessen Meldepflichten gegenüber Aufsichtsbehörden und betroffenen Personen.
8. Die Pflichten nach 8.6 und 8.7 gelten nicht, wenn die Verletzung auf Handlungen oder Unterlassungen des Kunden beruht. Eine Meldung stellt kein Schuldanerkenntnis dar.

9. Rolle des Unternehmens als Verantwortlicher

In Bezug auf Konto- und Nutzungsdaten des Unternehmens ist das Unternehmen ein unabhängiger Verantwortlicher (kein gemeinsamer Verantwortlicher mit dem Kunden). Es verarbeitet diese Daten als Verantwortlicher zur Verwaltung der Kundenbeziehung, für Kernbetrieb (Buchhaltung, Audits, Steuern, Compliance), zur Betrugs- und Sicherheitsabwehr, zur Identitätsprüfung, zur Erfüllung rechtlicher Pflichten sowie – im Rahmen der Datenschutzgesetze – zur Bereitstellung, Optimierung und Wartung der Dienste. Jede Verarbeitung als Verantwortlicher erfolgt nach der Datenschutzrichtlinie von Resend (https://resend.com/legal/privacy-policy).

10. Kollisionen

Bei Widersprüchen gilt folgende Rangfolge: (1) Standardvertragsklauseln, (2) dieser Anhang (DPA), (3) der Vertrag, (4) die Datenschutzrichtlinie des Unternehmens. Ansprüche aus diesem Anhang unterliegen den Bedingungen des Vertrags (einschließlich Haftungsausschlüssen und -begrenzungen).

11. Data Privacy Framework (DPF)

1. Das Unternehmen ist nach dem EU-US-Data-Privacy-Framework (EU-US-DPF) und der UK-Erweiterung zertifiziert (US-Handelsministerium) und hält die DPF-Grundsätze ein. Bei Widersprüchen zwischen dieser Richtlinie und den DPF-Grundsätzen gehen die Grundsätze vor. Informationen zur Zertifizierung: https://www.dataprivacyframework.gov/.
2. Das Unternehmen unterliegt den Untersuchungs- und Durchsetzungsbefugnissen der US-amerikanischen Federal Trade Commission (FTC).
3. Unter bestimmten Bedingungen haben Kunden das Recht, verbleibende Beschwerden einem verbindlichen Schiedsverfahren nach Anlage I der DPF-Grundsätze zu unterbreiten (kostenlos für den Kunden).
4. Bei Weiterübermittlungen an Dritte bleibt das Unternehmen für die unter dem DPF erhaltenen Daten verantwortlich und haftet, wenn ein Agent die Daten nicht DPF-konform verarbeitet, sofern das Unternehmen die Verantwortung nicht widerlegen kann.

12. Unterzeichnung

Die Unterschriftsfelder dienen nur Referenzzwecken. Der Anhang wird mit Annahme des Vertrags durch den Kunden rechtsverbindlich. Die unterzeichnete Fassung ist jederzeit über das Resend-Dashboard abrufbar. Unterzeichnet für Plus Five Five, Inc. am 14.01.2026 durch Zeno Rocha Bueno Netto (CEO).

Anhang A (Exhibit A) – Details der Verarbeitung

Kategorien betroffener Personen: Empfänger der über die Dienste versendeten E-Mails des Kunden (typischerweise dessen Kunden); bei Kunden, die Auftragsverarbeiter sind, deren Kunden und Endnutzer. Zusätzlich übermittelt Resend personenbezogene Daten der (Vertreter der) Kunden und der zum Kontozugriff berechtigten Personen; insoweit ist Resend Verantwortlicher und es gilt die Resend-Datenschutzrichtlinie.

Kategorien übermittelter personenbezogener Daten: Daten im Zusammenhang mit dem Versand und Empfang von E-Mail-Nachrichten, mindestens Metadaten, E-Mail-Adressen und Nachrichteninhalte. Nachrichteninhalte können Namen und weitere vom Absender bestimmte Informationen wie Anhänge enthalten. Optional kann der Kunde Öffnungs-/Link-Tracking und andere Analysen aktivieren (u. a. IP-Adresse, Standort, Betriebssystem, Browser, Gerät, E-Mail-Client, Spam-Beschwerden).

Besondere Datenkategorien: Nicht anwendbar.

Häufigkeit der Übermittlung: kontinuierlich bis zur Beendigung des Vertrags.

Art der Verarbeitung: Transaktions- oder Marketing-E-Mails, die über Resend versendet werden (u. a. Passwort-Reset, Belege/Rechnungen, Ankündigungen). Die Verarbeitung dient der Ermöglichung des Versands und Empfangs solcher Nachrichten, einschließlich Hosting/Speicherung von Kontaktlisten und Nachrichteninhalten sowie Analyse.

Zweck der Übermittlung: zuverlässige Zustellung von Anwendungs-E-Mails an Nutzer/Kunden des Kunden.

Speicherdauer: Verarbeitung im Auftrag des Kunden für die Dauer des Vertrags; nach Beendigung Löschung der Nutzer-/Kundendaten innerhalb von 90 Tagen.

Anhang B (Exhibit B) – Parteien

Datencxporteur: Kunde (wie im Vertrag bezeichnet), Rolle: Verantwortlicher/Auftragsverarbeiter. Unterzeichnung erfolgt mit Vertragsschluss.

Datenimporteur: Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA; Kontakt: Resend Security – privacy@resend.com; Rolle: Auftragsverarbeiter. Unterzeichnung erfolgt mit Vertragsschluss.

Anhang C (Exhibit C) – Technische und organisatorische Sicherheitsmaßnahmen

Sicherheitsgovernance: Resend unterhält ein Informationssicherheitsprogramm (Richtlinien, Risikobewertung, regelmäßige Tests) unter Leitung eines Security-Verantwortlichen. Kernfunktionen: Anwendungssicherheit (sichere Entwicklung, Security-Champions-Programm, Schulungen), Infrastruktursicherheit (Rechenzentren, Cloud-Sicherheit, starke Authentifizierung), Monitoring und Incident Response, Schwachstellenmanagement, Compliance und technischer Datenschutz sowie Security-Awareness.

Zugriffskontrolle: Hosting über zertifizierte Drittanbieter (SOC 2 Typ II, ISO 27001); Authentifizierung vor Zugriff auf nicht-öffentliche Daten (inkl. Zwei-Faktor-/SSO); mandantenfähige Speicherung mit Zugriff nur über App-/API-Schnittstellen; API-Zugriff per API-Key oder OAuth, Zugangsdaten verschlüsselt; Netzwerkzugriffskontrollen (VPC, Security Groups, Firewalls); statische Code-Analyse; jährliche Penetrationstests durch anerkannte Dienstleister; Zugriff nur für berechtigtes Personal (Subset), Vertraulichkeitsvereinbarungen, Hintergrundprüfungen im rechtlich zulässigen Umfang, Sicherheitsschulungen.

Verschlüsselung: HTTPS/TLS auf allen Schnittstellen (Branchenstandard); Passwörter und gespeicherte Daten werden verschlüsselt.

Eingabekontrolle/Protokollierung: Umfangreiche Protokollierung von Systemverhalten, Zugriffen und Anfragen; Aggregation und Alarmierung bei bösartigen oder anormalen Aktivitäten; dokumentierte Incident-Behandlung (Beschreibung, Zeitpunkte, Bearbeitung, Eskalation).

Löschung und Datenübertragbarkeit: Kunden können Löschung oder Export von Konto und Daten anfordern (produktabhängig).

Verfügbarkeit: Redundanz und Failover zur Vermeidung von Single Points of Failure; Wartung ohne Unterbrechung; dokumentierte und getestete Business-Continuity-/Disaster-Recovery-Programme.

Deutsche Arbeitsübersetzung des Resend-DPA („Data Processing Addendum", Stand 31.12.2025). Rechtsverbindlich ist das englische Original: resend.com/legal/dpa.