Einhaltung von CCPA und US-Datenschutzgesetzen bei Exclaimer

Exclaimer erfüllt seine Pflichten als Service Provider (Service Provider nach dem CCPA: ein Unternehmen, das personenbezogene Informationen im Auftrag eines Business auf Grundlage eines schriftlichen Vertrags verarbeitet, der die Datennutzung beschränkt) nach dem California Consumer Privacy Act (CCPA) sowie als Auftragsverarbeiter (Auftragsverarbeiter: eine Stelle, die personenbezogene Daten im Auftrag eines Verantwortlichen auf dokumentierte Weisung verarbeitet) nach allen weiteren derzeit geltenden umfassenden Datenschutzgesetzen der US-Bundesstaaten.

Unsere Verpflichtungen sind im Auftragsverarbeitungsvertrag (Data Processing Agreement, DPA) von Exclaimer festgelegt, zuletzt aktualisiert im November 2025.

Diese Seite gibt einen verständlichen Überblick über diese Verpflichtungen, darüber, wie unsere Plattform sie unterstützt, und wo sich die zugrunde liegenden Verträge und Prüfnachweise finden.

Wie Exclaimer den California Consumer Privacy Act (CCPA) umsetzt

Der CCPA, geändert durch den California Privacy Rights Act (CPRA), ist das am längsten etablierte Datenschutzgesetz eines US-Bundesstaats. Er legt fest, welche Pflichten gelten, wenn ein Business personenbezogene Informationen von Einwohnerinnen und Einwohnern Kaliforniens erhebt, verwendet oder weitergibt. Außerdem enthält er die spezielleren Pflichten für Service Provider, die diese Informationen im Auftrag des Business verarbeiten.

Welche Rolle hat Exclaimer nach dem CCPA?

Der CCPA kennt zwei Hauptrollen. Ein „Business“ ist die Organisation, die bestimmt, warum und wie personenbezogene Informationen verarbeitet werden. Ein „Service Provider“ ist das Unternehmen, das diese personenbezogenen Informationen im Auftrag des Business verarbeitet, auf Grundlage eines schriftlichen Vertrags, der einschränkt, was es mit den Daten tun darf.

Wenn Sie Exclaimer für die Verwaltung von E-Mail-Signaturen nutzen, sind Sie das Business und Exclaimer ist der Service Provider. Wir verarbeiten Kundendaten, darunter aus Microsoft 365 oder Google Workspace synchronisierte Verzeichnisdaten, ausschließlich, um den vertraglich vereinbarten E-Mail-Signatur-Management-Service bereitzustellen.

Wozu verpflichtet sich Exclaimer als Service Provider nach dem CCPA?

Die vertraglichen Verpflichtungen von Exclaimer nach dem CCPA sind in unserem Auftragsverarbeitungsvertrag festgelegt. Die vier wichtigsten für eine Lieferantenrisikoprüfung:

• Kein Verkauf personenbezogener Informationen. Exclaimer verkauft personenbezogene Informationen von Kunden nicht und teilt sie auch nicht mit Dritten (Klausel 2.6).

• Verarbeitung nur auf dokumentierte Weisung. Exclaimer verarbeitet personenbezogene Daten nur gemäß Ihren rechtmäßigen Weisungen und ausschließlich zur Erbringung des vertraglich vereinbarten Services (Klausel 2.4).

• Löschung oder Rückgabe bei Vertragsende. Endet Ihr Vertrag, löscht Exclaimer alle in Ihrem Auftrag verarbeiteten personenbezogenen Daten oder gibt sie nach Ihrer Wahl an Sie zurück und bestätigt dies (Klausel 6.4).

• Kontrolle über Unterauftragsverarbeiter. Exclaimer informiert 10 Tage im Voraus schriftlich über jeden neuen Unterauftragsverarbeiter, sodass Sie vor Beginn der Verarbeitung Einspruch erheben können (Klausel 3.8).

Wie sich die Zusagen von Exclaimer in der Praxis bewähren

Vertragliche Zusagen sind wichtig, durchgesetzt werden sie aber durch die Architektur. Exclaimer speichert die Inhalte von Kunden-E-Mails nicht. Nachrichten werden während der Übertragung verarbeitet, damit die richtige Signatur angewendet werden kann, und anschließend zugestellt. Es werden keine E-Mail-Texte, Betreffzeilen oder Anhänge dauerhaft gespeichert. Es gibt kein Archiv, keine historische Kopie und keine Funktion, mit der Exclaimer-Mitarbeitende E-Mail-Inhalte von Kunden durchsuchen oder einsehen könnten.

Kundendaten sind zudem logisch nach Mandant (Tenant) getrennt und werden nie mit Daten zusammengeführt, die wir von anderen Kunden erhalten, entsprechend unseren Pflichten als Service Provider nach dem CCPA.

Wie können Kunden die CCPA-Konformität von Exclaimer überprüfen?

Als Kunde haben Sie das Recht, angemessene Schritte zu unternehmen, um zu bestätigen, dass Exclaimer Ihre personenbezogenen Informationen im Einklang mit dem CCPA verwendet, sowie eine unbefugte Verwendung zu stoppen und zu beheben.

Das Exclaimer Trust Portal, die zugehörigen Prüfberichte und unser Sicherheitsteam sind die Wege für diese Überprüfung.

Welche Datenschutzgesetze der US-Bundesstaaten erfüllt Exclaimer?

Zwanzig US-Bundesstaaten, darunter Kalifornien, haben derzeit geltende umfassende Verbraucherdatenschutzgesetze. Sie unterscheiden sich im Detail, folgen aber einem gemeinsamen Rahmen für Dienstleister, die Daten im Auftrag eines Kunden verarbeiten: Verarbeitung nur auf dokumentierte Weisung, Unterstützung bei Verbraucheranfragen, angemessene Sicherheit, Kontrolle über Unterauftragsverarbeiter sowie Löschung oder Rückgabe der Daten bei Vertragsende. Der Auftragsverarbeitungsvertrag von Exclaimer erfüllt diese Pflichten nach jedem derzeit geltenden umfassenden Datenschutzgesetz eines US-Bundesstaats.

Der California Consumer Privacy Act bezeichnet diese Dienstleisterrolle als „Service Provider“. Alle anderen US-Datenschutzgesetze orientieren sich am Rahmen der DSGVO und verwenden den Begriff „Processor“ (Auftragsverarbeiter). Die Rolle ist inhaltlich dieselbe, nur die gesetzliche Bezeichnung unterscheidet sich.

Zwei weitere umfassende Datenschutzgesetze von Bundesstaaten treten 2027 in Kraft: der Oklahoma Consumer Data Privacy Act und der Alabama Personal Data Protection Act. Exclaimer wird die Pflichten als Auftragsverarbeiter nach beiden erfüllen, sobald sie gelten.

Wo speichert und verarbeitet Exclaimer Kundendaten aus den USA?

Für Kunden in den USA verarbeitet Exclaimer sämtliche Kundendaten in Microsoft-Azure-Rechenzentren in den Vereinigten Staaten: East US (Virginia) als primäre und West US (Kalifornien) als sekundäre Region, konfiguriert als Active-Active-Paar mit automatischem Failover.

Der US-Region zugewiesene Daten werden nicht in ein anderes regionales Rechenzentrum übertragen. Gemäß Klausel 2.2 unseres Auftragsverarbeitungsvertrags verbleiben Kundendaten in der Region, in der der Mandant bereitgestellt wird. Die Region wird bei der Bereitstellung gewählt, und Kunden können ihre zugewiesene Region in der Mandantenkonfiguration einsehen.

Wie unterstützt Exclaimer die Bearbeitung von Verbraucheranfragen nach US-Datenschutzgesetzen?

Datenschutzgesetze der US-Bundesstaaten geben Verbraucherinnen und Verbrauchern Rechte an ihren personenbezogenen Informationen: das Recht auf Auskunft darüber, was erhoben wird, auf Löschung, auf Berichtigung und, nach den meisten Gesetzen, auf Widerspruch gegen Verkauf oder Weitergabe.

Für die Beantwortung von Verbraucheranfragen nach dem jeweils geltenden Landesgesetz ist das Business (der Kunde) verantwortlich. Die Rolle von Exclaimer besteht darin, den Kunden dabei zu unterstützen. Gemäß Klausel 4.2 unseres Auftragsverarbeitungsvertrags leisten wir angemessene Unterstützung beim Auffinden, Exportieren, Berichtigen oder Löschen personenbezogener Daten in Ihrem Mandanten.

Kunden können Anfragen betroffener Personen, auch im Namen ihrer Verbraucher, an [email protected] senden. Wir antworten innerhalb von 30 Tagen, schneller als die nach dem CCPA vorgeschriebene Frist von 45 Tagen.

Anfragen von Verbrauchern, einschließlich „Do Not Sell or Share My Personal Information“-Anfragen, sind an das Business (den Kunden) zu richten, nicht an Exclaimer.

Welche Unterauftragsverarbeiter nutzt Exclaimer für Kunden aus den USA?

Microsoft Operations Limited ist der einzige Cloud-Unterauftragsverarbeiter für den E-Mail-Signatur-Management-Service von Exclaimer.

Exclaimer informiert 10 Tage im Voraus schriftlich, bevor ein neuer Unterauftragsverarbeiter beauftragt wird (Klausel 3.8 unseres Auftragsverarbeitungsvertrags), sodass Kunden vor Beginn der Verarbeitung Einspruch erheben können. Die Verträge von Exclaimer mit Unterauftragsverarbeitern enthalten Pflichten, die denen entsprechen, zu denen sich Exclaimer im DPA verpflichtet.

Die vollständige Liste der Unterauftragsverarbeiter von Exclaimer, einschließlich derjenigen für Abrechnung, Kundensupport und weitere operative Funktionen, ist in Anhang 3 des Auftragsverarbeitungsvertrags enthalten.

Wo finde ich den DPA und die Compliance-Dokumentation von Exclaimer?

Die vollständigen vertraglichen Zusagen und Prüfnachweise finden sich an zwei Stellen.

Der Auftragsverarbeitungsvertrag von Exclaimer legt unsere verbindlichen Zusagen als Service Provider nach dem CCPA und als Auftragsverarbeiter nach den übrigen Datenschutzgesetzen der US-Bundesstaaten fest. Die aktuelle Version datiert vom November 2025.

Das Exclaimer Trust Portal enthält die ergänzende Dokumentation, darunter Sicherheitsrichtlinien, Prüfberichte, Zertifikate (einschließlich SOC 2 Type II und ISO/IEC 27018) sowie vorab ausgefüllte Antworten auf über 350 Fragen zu unserem übergreifenden Sicherheits- und Compliance-Programm.