Datenschutzerklärung

Stand: 21. Oktober 2026

1. Verantwortlicher

StartSmartLife (Inhaber: Leon Weber), Barkhof 10a, 48356 Nordwalde
E-Mail: support@mailgrado.com
Telefon: +49 (0)2573-3267

Einen Datenschutzbeauftragten haben wir nicht benannt, da wir dazu gesetzlich nicht verpflichtet sind.

2. Überblick

mailgrado.com überträgt E-Mails aus einem Postfach in ein anderes Postfach (Microsoft 365 oder ein weiterer IMAP-Anbieter). Diese Website setzt keine Cookies, nutzt für Besucher keinen Browser-Speicher (localStorage, sessionStorage) und bindet weder Tracking- oder Analysedienste Dritter, Werbung noch externe Schriften oder Skripte ein. Besuche zählen wir ausschließlich anonym auf unserem eigenen Server (siehe Abschnitt 3). Die Verbindung zur Website ist per TLS (HTTPS) verschlüsselt. Nur der nicht öffentliche Verwaltungsbereich des Betreibers legt für die Dauer der Sitzung ein technisch notwendiges Anmelde-Token im Sitzungsspeicher des Browsers ab.

3. Aufruf der Website

Beim Aufruf der Website verarbeitet unser Server technisch notwendig deine IP-Adresse, Datum und Uhrzeit, die aufgerufene Seite sowie Angaben zu Browser und Betriebssystem. Wir führen keine Zugriffsprotokolle, in denen IP-Adressen gespeichert werden. Zum Schutz vor Missbrauch (z. B. automatisierten Massenanfragen) hält unser Server die IP-Adresse lediglich im Arbeitsspeicher, um die Zahl der Anfragen zu begrenzen; sie wird dort spätestens nach 60 Minuten verworfen. Technische Fehlermeldungen unseres Webservers (etwa bei abgebrochenen Verbindungen) enthalten nur eine gekürzte IP-Adresse ohne die letzten Stellen und keine Browserangaben; sie werden in ihrer Größe begrenzt und laufend überschrieben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im sicheren und stabilen Betrieb der Website.

Anonyme Besucherzählung: Um zu sehen, wie oft unsere Seiten aufgerufen werden, meldet die Website beim Seitenwechsel die aufgerufene Seite und – einmal pro Besuch – die Adresse der verweisenden Website an unseren eigenen Server. Dort werden nur Tageszähler gespeichert: Aufrufe je Seite, Anzahl der Besucher und der Name der verweisenden Website (z. B. „google.com“). Um einen Besucher pro Tag nur einmal zu zählen, bilden wir aus IP-Adresse, Browserkennung und einem täglich neu erzeugten Zufallswert einen Einwegwert (Hash). Dieser wird nur im Arbeitsspeicher-Datenbanksystem unseres Servers gehalten und nach spätestens 48 Stunden gelöscht; der Zufallswert wechselt täglich, sodass du an verschiedenen Tagen nicht wiedererkannt werden kannst. IP-Adressen werden dabei nicht gespeichert, es werden keine Cookies gesetzt und keine Informationen auf deinem Gerät gespeichert oder ausgelesen. Ist in deinem Browser „Do Not Track“ aktiviert, zählen wir dich nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt darin, die Nutzung unseres Angebots in Grundzügen zu verstehen und es zu verbessern.

Herkunft eines Auftrags: Kommst du über einen Link mit Herkunftsangabe zu uns – etwa einen Button in unserem Wiki („wiki-gmx“), einen Beitrag bei LinkedIn oder einen Link mit den üblichen Kampagnenangaben (utm_source, utm_medium, utm_campaign) –, merkt sich die geöffnete Seite diese Angaben und die Domain der Website, von der du kamst (z. B. „google.de“, ohne Pfad und Parameter), nur im Arbeitsspeicher deines Browsers, bis du einen Auftrag anlegst. Dann speichern wir sie zusammen mit dem Auftrag und übermitteln sie bei der Zahlung als Zusatzangabe an Stripe. So erkennen wir, welche Kanäle und Hilfeseiten zu Aufträgen führen. Es werden dafür keine Cookies gesetzt und keine Informationen auf deinem Gerät gespeichert; die Angaben unterliegen denselben Löschfristen wie der Auftrag. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt darin, zu messen, welche Kanäle Aufträge bringen, und unser Angebot zu verbessern.

Empfehlungsprogramm: Nach einem erfolgreich abgeschlossenen Umzug erzeugen wir einen persönlichen Empfehlungscode und speichern ihn mit deiner Kontaktadresse und dem Auftrag. Löst jemand den Code ein, speichern wir die Einlösung an dessen Auftrag und damit die Zuordnung zwischen Empfehlendem und geworbener Person; nach deren erfolgreichem Umzug schicken wir dem Empfehlenden einen Gutschein per E-Mail. Der Empfehlende erfährt dabei nicht, wer seinen Code eingelöst hat. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Teilnahme am Empfehlungsprogramm nach Ziffer 6 der AGB). Die Daten speichern wir, solange der Code bzw. Gutschein gültig ist, und darüber hinaus nur, soweit gesetzliche Aufbewahrungspflichten bestehen.

4. Kontakt per E-Mail

Schreibst du uns eine E-Mail, etwa an support@mailgrado.com, verarbeiten wir deine E-Mail-Adresse, deinen Namen und den Inhalt deiner Nachricht, um deine Anfrage zu beantworten. Unser Postfach liegt bei Microsoft 365 (Microsoft Ireland Operations Limited, Dublin); die Daten werden in der EU gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn deine Anfrage einen Auftrag betrifft oder anbahnt, ansonsten Art. 6 Abs. 1 lit. f DSGVO – unser berechtigtes Interesse ist, Anfragen beantworten zu können. Wir löschen die Nachrichten, sobald die Anfrage erledigt ist, es sei denn, sie gehören zu einem Auftrag oder einer Rechnung und unterliegen gesetzlichen Aufbewahrungspflichten (siehe Abschnitt 7).

Widerruf über „Vertrag widerrufen“: Nutzt du die Widerrufsfunktion auf unserer Website, verarbeiten wir deinen Namen, die Angabe zum Vertrag, deine E-Mail-Adresse, deine freiwillige Nachricht sowie Datum und Uhrzeit des Eingangs. Wir schicken dir sofort eine Eingangsbestätigung per E-Mail und erhalten selbst eine Meldung in unserem Postfach (beides über Microsoft 365, siehe Abschnitt 5). Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 356a BGB. Die Mails bewahren wir als Nachweis bis zum Ablauf der regelmäßigen Verjährungsfrist (drei Jahre ab Ende des Jahres des Widerrufs) auf, bei Rückzahlungen zusätzlich so lange, wie gesetzliche Aufbewahrungspflichten bestehen (siehe Abschnitt 7).

5. Durchführung des E-Mail-Umzugs

Wir unterscheiden dabei drei Arten von Daten: Zugangsdaten – alles, was nötig ist, um sich an einem Postfach anzumelden (Adresse, Passwort oder Zugriffs-Token, Serverangaben) –, Inhalte – das, was umzieht (E-Mails mit Anhängen, bei Microsoft 365 zusätzlich Kontakte, Termine und Aufgaben) – und das Protokoll – Zeitpunkte und Zustand des Umzugs, etwa welcher Ordner gerade übertragen wird.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung und vorvertragliche Maßnahmen). Wir verarbeiten dafür:

E-Mail-Adressen des Quell- und des Zielpostfachs sowie – bei automatischer Verbindung – deinen Kontonamen bei Google bzw. Microsoft,
Zugangsdaten zum Quell- und zum Zielpostfach (Passwort, App-Passwort oder ein Zugriffs-/Refresh-Token der automatischen Verbindung),
Ordnernamen, Anzahl der Nachrichten, Datenmenge sowie Protokolleinträge zum Fortschritt,
deine Kontakt-E-Mail-Adresse für die Rechnung und für Nachrichten zu deinem Auftrag,
die Zustimmung zu AGB und Widerrufsbelehrung mit Zeitpunkt (Nachweis nach § 356 Abs. 4 BGB).

E-Mail-Inhalte – und beim Umzug von Microsoft 365 zu Microsoft 365 auch Kontakte, Termine und Aufgaben – werden ausschließlich flüchtig im Arbeitsspeicher vom Quellpostfach zum Zielpostfach übertragen. Sie werden nicht gespeichert, nicht protokolliert und nicht ausgewertet. Auf das Quellpostfach greifen wir nur lesend zu.

Zugangsdaten speichern wir mit AES-256-GCM verschlüsselt. Wir löschen sie sofort, wenn die Vorprüfung fehlschlägt, und spätestens 24 Stunden nach der Prüfung, wenn keine Zahlung erfolgt. Nach einem erfolgreichen Umzug löschen wir sie sofort. Nur wenn du die Zusatzoption Delta-Sync gebucht hast, bewahren wir sie noch bis zu 14 Tage auf, damit du einmalig neue E-Mails nachholen kannst; danach bzw. direkt nach dem Delta-Sync löschen wir sie automatisch. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Zugangsdaten fehlgeschlagener Aufträge löschen wir nach 7 Tagen.

Auftragsdaten (E-Mail-Adressen, Ordnernamen, Zähler und Protokoll) löschen wir automatisch: bei nicht bezahlten Aufträgen 7 Tage, bei abgeschlossenen oder fehlgeschlagenen Aufträgen 30 Tage nach Erstellung des Auftrags. Bis dahin kannst du die Statusseite aufrufen und wir können dir bei Problemen helfen. Länger bewahren wir einzelne Daten nur auf, wenn sie im Einzelfall zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen nötig sind (Art. 17 Abs. 3 lit. e DSGVO).

Nicht übertragene Einträge halten wir fest, damit du nachvollziehen kannst, was fehlt und warum: bei E-Mails nur Ordner, Datum, Größe und Grund – nie Betreff, Absender oder Inhalt –, bei Kontakten, Terminen und Aufgaben Ordner, Name bzw. Titel und Grund. Diese Angaben werden zusammen mit dem Auftrag gelöscht.

E-Mails zu deinem Auftrag: Die Rechnung und den Zahlungsbeleg verschickt Stripe (siehe Abschnitt 6) an deine Kontakt-E-Mail-Adresse. Status-Mails zu Start und Abschluss des Umzugs versenden wir aus unserem Postfach status@mailgrado.com bei Microsoft 365 (Microsoft Ireland Operations Limited, Dublin, Irland) als Auftragsverarbeiter. Die Daten werden in der EU gespeichert (EU Data Boundary); mögliche Übermittlungen in die USA sind durch EU-Standardvertragsklauseln und das EU-US Data Privacy Framework abgesichert. Die Mails enthalten nur die Postfach-Adressen, die Anzahl der E-Mails und den Link zur Statusseite, keine E-Mail-Inhalte, und keine Zählpixel oder sonstiges Tracking. Antworten auf diese Mails landen in unserem Postfach support@mailgrado.com, ebenfalls bei Microsoft 365.

Die Mail zum Start des Umzugs ist zugleich deine Vertragsbestätigung: Sie enthält deine Zustimmung zum sofortigen Beginn mit Zeitpunkt sowie AGB und Widerrufsbelehrung. Eine Kopie bewahren wir als Nachweis über Vertragsschluss und Erlöschen des Widerrufsrechts bis zum Ablauf der regelmäßigen Verjährungsfrist (drei Jahre ab Ende des Jahres der Bestellung) auf; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse ist die Abwehr unberechtigter Ansprüche. Soweit sie als Geschäftsbrief gilt, gelten zusätzlich die Aufbewahrungsfristen aus Abschnitt 7.

6. Zahlung über Stripe

Die Zahlung wickelt die Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland („Stripe“) ab. Du wirst dafür auf eine Zahlungsseite von Stripe weitergeleitet. Stripe verarbeitet dabei insbesondere Name, E-Mail-Adresse, Rechnungsadresse, Zahlungsdaten (z. B. Kartennummer), IP-Adresse und Geräteinformationen. Kartennummern und Bankdaten erhalten wir nicht; wir erhalten von Stripe nur Name, E-Mail-Adresse, Rechnungsadresse, den Zahlungsstatus und die Zahlart.

Stripe erstellt in unserem Auftrag auch die Rechnung und verschickt sie. Zur Betrugsprävention und zur Erfüllung eigener gesetzlicher Pflichten (z. B. Geldwäscheprävention) verarbeitet Stripe Daten zudem in eigener Verantwortung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO sowie für die Betrugsprävention Art. 6 Abs. 1 lit. f DSGVO. Stripe kann Daten an die Stripe, Inc. in den USA übermitteln. Stripe, Inc. ist unter dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der EU-Kommission, Art. 45 DSGVO); ergänzend nutzt Stripe Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO). Weitere Informationen: stripe.com/de/privacy.

Wählst du auf der Zahlungsseite eine der folgenden Zahlarten, gibt Stripe die dafür nötigen Daten an den jeweiligen Anbieter weiter, der sie in eigener Verantwortung verarbeitet:

Klarna: Klarna Bank AB (publ), Sveavägen 46, 111 34 Stockholm, Schweden,
Amazon Pay: Amazon Payments Europe S.C.A., 38 avenue J.F. Kennedy, L-1855 Luxemburg,
Apple Pay: Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irland,
Link: der Bezahldienst von Stripe, mit dem du Zahlungsdaten für spätere Käufe speichern kannst; Stripe verarbeitet die Daten dafür in eigener Verantwortung (link.com/de/privacy),
EPS und Bancontact: deine Bank bzw. das jeweilige Zahlungsnetzwerk.

Prüfung des Nutzungsgebiets: mailgrado.com steht derzeit nur Kunden mit Rechnungsadresse in der EU offen. Wir nutzen das Land deiner Rechnungsadresse, um das zu prüfen und Zahlungen aus anderen Ländern automatisch zu erstatten (Art. 6 Abs. 1 lit. b DSGVO).

7. Rechnungen und gesetzliche Aufbewahrung

Rechnungen und die zugehörigen Zahlungsdaten bewahren wir auf, weil wir gesetzlich dazu verpflichtet sind (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO und § 257 HGB). Rechnungen und Buchungsbelege bewahren wir 8 Jahre auf, Bücher und Aufzeichnungen 10 Jahre, jeweils ab dem Ende des Kalenderjahres ihrer Entstehung. Die Daten liegen in unserem Stripe-Konto und in unserer Buchhaltung und sind getrennt von den Auftragsdaten des Umzugs gespeichert.

8. Anmeldung bei Microsoft oder Google (automatische Verbindung)

Nutzt du für Microsoft 365 oder Outlook.com die automatische Verbindung, leiten wir dich zur Anmeldung an Microsoft weiter. Von Microsoft erhalten wir – je nach Kontotyp – deine Mandanten-ID (Tenant-ID), deinen Namen, deine E-Mail-Adresse und ein Zugriffsrecht auf das Postfach. Anbieter ist die Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland. Du kannst den Zugriff jederzeit im Microsoft-Entra-Admin-Center unter „Unternehmensanwendungen“ bzw. unter account.live.com/consent/Manage entziehen.

Nutzt du für Gmail die automatische Verbindung, leiten wir dich zur Anmeldung an Google weiter. Von Google erhalten wir deine bestätigte E-Mail-Adresse und ein Zugriffsrecht (Refresh-Token) auf dein Postfach, das wir verschlüsselt speichern und bei jedem Zugriff gegen ein kurzlebiges Zugangs-Token eintauschen. Anbieter ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Du kannst den Zugriff jederzeit unter myaccount.google.com/permissions entziehen.

Die Nutzung und Weitergabe von Informationen, die mailgrado.com von Google-APIs erhält, entspricht der Google API Services User Data Policy, einschließlich der Anforderungen zur eingeschränkten Nutzung (Limited Use). Wir verwenden diese Daten ausschließlich für den von dir beauftragten Umzug, geben sie nicht an Dritte weiter, nutzen sie nicht für Werbung und lassen sie nicht von Menschen lesen.

Über die jeweils erteilte Berechtigung lesen bzw. schreiben wir E-Mails nur im von dir angegebenen Postfach. Microsoft und Google können Daten in die USA übermitteln; beide Unternehmen sind unter dem EU-US Data Privacy Framework zertifiziert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

9. Hosting

Die Website und alle Auftragsdaten liegen auf einem Server, den wir bei servdiscount.com (WIIT AG, ehemals myLoc managed IT AG, Joachim-Erwin-Platz 3, 40212 Düsseldorf) in einem Rechenzentrum in Deutschland betreiben. Der Server wird von uns selbst verwaltet; der Anbieter stellt Rechenzentrum, Hardware und Netzanbindung bereit und greift nur ausnahmsweise auf gespeicherte Daten zu (z. B. bei einem Hardwaretausch). Mit dem Anbieter besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO; als Unterauftragnehmer ist die Muttergesellschaft WIIT S.p.A., Mailand (Italien), für zentrale Unternehmensleistungen eingebunden.

Datensicherung: Damit bei einem Ausfall keine Aufträge verloren gehen, sichern wir die Datenbank täglich und den gesamten Server wöchentlich. Die Sicherungen liegen auf dem Server und als Kopie auf einem eigenen, zugriffsgeschützten Speicher des Betreibers in Deutschland. Sie werden nur zur Wiederherstellung verwendet und nach spätestens 30 Tagen überschrieben. Gespeicherte Zugangsdaten sind darin weiterhin verschlüsselt. Weil die wöchentliche Sicherung des gesamten Servers auch den Schlüssel enthält, liegt ihre Kopie ausschließlich in einem verschlüsselten Speicher (AES-256), auf den nur der Betreiber zugreifen kann. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit Art. 32 DSGVO (Sicherheit und Verfügbarkeit der Verarbeitung).

10. Datensicherheit

Alle Verbindungen sind verschlüsselt: die Website per HTTPS, der Zugriff auf Postfächer per IMAP ausschließlich über TLS (mindestens Version 1.2, auch bei STARTTLS verpflichtend), der Zugriff auf Microsoft 365 und Google über deren verschlüsselte Schnittstellen. Unverschlüsselte Verbindungen zu Postfächern bauen wir nicht auf.
Zugangsdaten liegen nur verschlüsselt (AES-256-GCM) in der Datenbank; der Schlüssel liegt nicht in der Datenbank.
Der Server steht in Deutschland und ist per Firewall abgeschottet. Verwaltungszugriff auf den Server hat nur der Betreiber, ausschließlich per Schlüssel-Anmeldung. Der Verwaltungsbereich der Website ist durch Passwort und einen zweiten Faktor (Einmalcode) geschützt.

Einen vollständigen Schutz vor Angriffen kann bei einer Übertragung über das Internet niemand garantieren – wir halten unsere Maßnahmen deshalb auf dem aktuellen Stand der Technik.

11. Cookies

Wir setzen keine Cookies. Beim Wechsel zu Stripe, Microsoft oder Google können diese Anbieter auf ihren eigenen Seiten Cookies setzen, etwa zur Betrugsprävention oder Anmeldung; dafür gelten deren Datenschutzhinweise.

12. Geschäftskunden

Verarbeitest du über mailgrado.com personenbezogene Daten Dritter (z. B. E-Mails deiner Kunden oder Beschäftigten), handeln wir insoweit als dein Auftragsverarbeiter. Den Vertrag nach Art. 28 DSGVO kannst du als Word oder PDF herunterladen und unterschrieben an support@mailgrado.com senden.

13. Empfänger und Drittländer

Personenbezogene Daten geben wir nur an die in dieser Erklärung genannten Empfänger weiter: Stripe und die gewählten Zahlungsanbieter, Microsoft bzw. Google bei automatischer Verbindung, Microsoft 365 für unseren E-Mail-Versand und unser Support-Postfach, unseren Hosting-Anbieter, Dienstleister für unsere Buchhaltung (als Auftragsverarbeiter, nur Rechnungs- und Zahlungsdaten) sowie – soweit gesetzlich vorgeschrieben – Behörden und steuerliche Berater. Eine Übermittlung in Drittländer findet nur über die in Abschnitt 5, 6 und 8 genannten Anbieter und auf den dort genannten Grundlagen statt.

14. Pflicht zur Bereitstellung und automatisierte Entscheidungen

Die Angabe der Postfach-Daten, der Kontakt-E-Mail-Adresse und der Rechnungsadresse ist für den Vertragsschluss erforderlich. Ohne diese Daten können wir den Umzug nicht durchführen. Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet durch uns nicht statt. Stripe führt bei der Zahlung automatisierte Betrugsprüfungen durch.

15. Deine Rechte

Du hast gegenüber uns folgende Rechte hinsichtlich deiner personenbezogenen Daten:

Auskunft (Art. 15 DSGVO),
Berichtigung (Art. 16 DSGVO),
Löschung (Art. 17 DSGVO),
Einschränkung der Verarbeitung (Art. 18 DSGVO),
Datenübertragbarkeit (Art. 20 DSGVO),
Widerspruch gegen die Verarbeitung (Art. 21 DSGVO).

Widerspruchsrecht: Verarbeiten wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO, kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen. Wende dich dafür an die oben genannten Kontaktdaten.

Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf.

16. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich unsere Leistungen oder die Rechtslage ändern. Es gilt die jeweils hier veröffentlichte Fassung.