eucsoft

Diese deutsche Fassung ist noch nicht redaktionell geprüft und deshalb von Suchmaschinen ausgenommen. Zitate aus Anbieterdokumenten stehen im Originalwortlaut, meist auf Englisch.

Mailchimp

E-Mail-Marketing · mailchimp.com · zuletzt gelesen 2026-11-09

Auf einen Blick

Ist Mailchimp DSGVO-konform?
Kein Werkzeug ist für sich allein DSGVO-konform: Es kommt darauf an, was Sie damit verarbeiten und wie. Hier steht, was Mailchimp selbst veröffentlicht, jede Antwort mit Quelle und Abrufdatum.
Hat Mailchimp einen Auftragsverarbeitungsvertrag (AVV)?
Ja. Mailchimp veröffentlicht einen Auftragsverarbeitungsvertrag auf mailchimp.com. Neue Unterauftragsverarbeiter werden 10 Tage vorher angekündigt. Der Vertrag sagt eine Meldung von Datenschutzverletzungen „unverzüglich“ zu, ohne Stundenzahl. Quelle und Datum
Welche Fassung des AVV von Mailchimp ist aktuell?
Am 2026-11-09 stand im AVV von Mailchimp auf mailchimp.com: „Wirksam ab 26. September 2024“. Quelle und Datum
Wie übermittelt Mailchimp personenbezogene Daten aus der EU?
Der Vertrag von Mailchimp stützt sich auf die EU-Standardvertragsklauseln, das EU-US Data Privacy Framework und das britische Übermittlungs-Addendum. Intuit (covered entity: The Rocket Science Group d/b/a Mailchimp) steht auf der offiziellen Data Privacy Framework List (Status: Active). Quelle und Datum
Wo speichert Mailchimp die Daten von EU-Kunden?
Auf den für uns erreichbaren Seiten fanden wir keine Aussage zu einem EU-Datenstandort. Das heißt nicht, dass es keinen gibt. Quelle und Datum
Welche Unterauftragsverarbeiter setzt Mailchimp ein?
Mailchimp nennt 25 externe Unterauftragsverarbeiter; 23 davon geben mindestens ein Verarbeitungsland außerhalb des EWR an. Zuletzt gelesen am 2026-10-05. Quelle und Datum
Wie meldet man Mailchimp eine Sicherheitslücke?
Mailchimp veröffentlicht eine security.txt auf mailchimp.com mit dem Kontakt https://mailchimp.com/about/security/#Responsible_Disclosure. Die Datei erfüllt RFC 9116 nicht vollständig; Einzelheiten in der Tabelle. Quelle und Datum

Vertragspartner und Eigentümer

VertragspartnerThe Rocket Science Group LLC d/b/a Mailchimp
SitzUS
MuttergesellschaftIntuit Inc.
Oberste Eigentümerschaft (Land)—
Vertragspartner für die EUIntuit Ireland Software Limited
LEI—
Reichweite des US CLOUD ActVertragspartner ist eine US-Gesellschaft
Quellemailchimp.com · 2026-10-08

Datenstandort

RegionEU-DatenstandortMindesttarifQuelleGelesen am
EUKeine Angabe—mailchimp.com2026-09-18

EU: No EU data location is stated. Subprocessor locations are given as US states and cities.

Dieselbe Frage für jeden Anbieter: wo SaaS-Anbieter EU-Daten speichern.

Unterauftragsverarbeiter

25 Drittanbieter · 23 mit einem Land außerhalb des EWR · alle gelesen am 2026-10-05

UnterauftragsverarbeiterLandZweck
AkamaiUSImproves application speed and security.
AmazonUSFacilitates delivery and temporary storage.
AmplitudeUSTo better understand how customers use our product.
CodeScienceUSDevelops and maintains integrations.
E-HawkUSDetects and prevents abuse.
El CaminoUSDetects and prevents abuse.
Finc3DEDevelops and maintains integrations.
FivetranUSData connection, centralization, and organization.
GoogleUSBolsters internal operations and advertising, & website analytics.
InfobipGBTo provide our SMS program.
LookerUSBusiness analytics software, centralization and organziation tool.
MicrosoftUSTo provide our AI features through Intuit Assist.
OpenAIUSTo provide our AI features through Intuit Assist.
PerconaUSTo improve our relational database management system.
R.R. DonnelleyUSDevelops and implements certain Mailchimp multi-channel marketing products.
SC Wedis Company SRLRODevelops and maintains integrations.
SlackUSCommunication and collaboration tool.
SmartyStreetsUSAddress verification for e-commerce offering.
TaskUsUS, GRTo provide some of our customer support.
TaxJarUSTax service provider for e-commerce offering.
TwilioUSTo provide our SMS program.
Two BullsUSDevelops and maintains integrations.
Tyrannosaurus TechUSDevelops and maintains integrations.
Vextras LLCUSDevelops and maintains integrations.
ZendeskUSTo provide online chat and email support to our customers.

Die Zahl außerhalb des EWR ist eine reine Auszählung der Länderspalte, keine rechtliche Bewertung. Eine Übermittlung außerhalb des EWR kann vollkommen rechtmäßig sein; ob sie es ist, hängt von Ihrer Nutzung ab, nicht vom Anbieter.

Alle Unterauftragsverarbeiter im Register, und welche Anbieter sie nennen (auf Englisch): Subprocessors.

Auftragsverarbeitungsvertrag (AVV)

Aus der deutschen Fassung des Auftragsverarbeitungsvertrags · gelesen am 2026-10-09 · mailchimp.com

RegelungWas der Vertrag sagt
ÜbermittlungsgrundlageEU-US Data Privacy Framework
ÜbermittlungsgrundlageSCC Modul 2 (Verantwortlicher an Auftragsverarbeiter)
ÜbermittlungsgrundlageSCC Modul 3 (Auftragsverarbeiter an Auftragsverarbeiter)
ÜbermittlungsgrundlageSchweizer Klauseln (DSG)
ÜbermittlungsgrundlageUK-Nachtrag (UK Addendum)
Ankündigung neuer Unterauftragsverarbeitermindestens 10 Tage vor dem Wechsel per E-Mail-Benachrichtigung, sofern der Kunde sich dafür über den Link anmeldet
WiderspruchsrechtSchriftlicher Widerspruch innerhalb von fünf (5) Kalendertagen nach Benachrichtigung aus angemessenen Datenschutzgründen; Erörterung nach Treu und Glauben; ohne Lösung ernennt Mailchimp den Unterauftragsverarbeiter nicht oder gestattet dem Kunden, den betroffenen Dienst auszusetzen oder zu kündigen
Meldung von Datenschutzverletzungenunverzüglich
Kontroll- und AuditrechteBericht; Beantwortung angemessener Informationsanfragen und zusätzliche Informationen zum Informationssicherheitsprogramm auf schriftliche Anfrage, nicht öfter als einmal pro Kalenderjahr
Kontroll- und AuditrechtePrüfungsrechte über Sicherheitsberichte: auf schriftliche Anfrage vertrauliche Zusammenfassung des aktuellsten Auditberichts; zusätzliche Informationsanfragen nicht öfter als einmal pro Kalenderjahr
Transfer Impact Assessment (TIA)Kunde hat alle erforderlichen Beurteilungen durchzuführen, um die Übermittlung außerhalb des Herkunftsrechtsraums möglich zu machen (Kanada)

Regelungen so, wie der Vertrag sie formuliert. Wo er zu einem Punkt schweigt, gibt es keine Zeile – das heißt nicht, dass der Anbieter ihn nicht anbietet.

Welche Fassung gilt

Am 2026-11-09 stand im Vertrag: Wirksam ab 26. September 2024 auf mailchimp.com

Gültig ab 2024-09-26

Diese Fassung ist seit dem 2026-10-09 in unseren Kopien.

Diese Regelungen für alle Anbieter nebeneinander (auf Englisch): Data processing agreements compared. Was Anbieter für ein Transfer Impact Assessment bereitstellen: Transfer impact assessments.

Zertifizierungen und Testate

StandardStatusGeltungsbereichQuelleGelesen am
EU-US Data Privacy Framework (EU-US DPF) · DPFNur behauptetjährliche Überprüfung durch einen in den USA ansässigen externen Compliance-Prüfer; Intuit und Mailchimp stützen sich bei der Datenübermittlung auf die EU-US-DPFmailchimp.com2026-10-05
Swiss-US Data Privacy Framework (Swiss-US DPF) · DPFNur behauptetjährliche Überprüfung durch einen in den USA ansässigen externen Compliance-Prüfer; werden sich darauf stützen, sobald diese von den zuständigen Behörden genehmigt wurdemailchimp.com2026-10-05
UK Extension zum EU-US DPF · DPFNur behauptetjährliche Überprüfung durch einen in den USA ansässigen externen Compliance-Prüfer; werden sich darauf stützen, sobald diese von den zuständigen Behörden genehmigt wurdemailchimp.com2026-10-05
DSGVO · GDPRNur behauptet—mailchimp.com2026-10-05
ISO 27001 · ISO27001Auf AnfrageBüros sowie Entwicklungs-, Support- und Rechenzentren; drei Jahre gültig (Verlängerungsaudit), jährlich überprüft (Überwachungsaudit)mailchimp.com2026-10-05
SOC-2 · SOC2Auf AnfrageKontrollen in Bezug auf Sicherheit, Verfügbarkeit und Prozessintegrität von Kundendatenmailchimp.com2026-10-05
Voluntary Product Accessibility Template (VPAT®) · VPATAuf Anfragedie überarbeiteten 508 Standards für IT-Zugänglichkeitmailchimp.com2026-10-05

Nur behauptet heißt: Der Anbieter nennt den Standard auf seiner Seite, legt aber nichts weiter vor. Auf Anfrage heißt: Bericht oder Zertifikat existieren, liegen aber hinter einer Anfrage, einem Login oder einer NDA. In beiden Fällen haben wir kein Zertifikat gesehen. Diese Unterscheidung trifft jeder Prüfer – also treffen wir sie auch.

C5, SecNumCloud, ENS und HDS für jeden Anbieter: Zertifizierungen im Vergleich.

Amtliche Register

RegisterAngebot, wie das Register es nenntStatusStufeGültig bisGelesen am
Data Privacy Framework List (USA)EU-U.S. Data Privacy Framework · Intuit (covered entity: The Rocket Science Group d/b/a Mailchimp)ActiveHR data, non-HR data2026-12-112026-10-05
Data Privacy Framework List (USA)Swiss-U.S. Data Privacy Framework · Intuit (covered entity: The Rocket Science Group d/b/a Mailchimp)ActiveHR data, non-HR data2026-12-112026-10-05
Data Privacy Framework List (USA)UK Extension to the EU-U.S. DPF · Intuit (covered entity: The Rocket Science Group d/b/a Mailchimp)ActiveHR data, non-HR data2026-12-112026-10-05
Globaler LEI-Index (GLEIF)INTUIT IRELAND SOFTWARE LIMITED · INTUIT IRELAND SOFTWARE LIMITEDISSUEDIE2026-10-122026-10-08

Was die Behörde veröffentlicht, nicht was der Anbieter behauptet. Ein Eintrag gilt nur für das genannte Angebot: Eine FedRAMP-Autorisierung für eine Behördenversion sagt nichts über den kommerziellen Dienst. Kein Eintrag ist kein Befund über die Sicherheit – die meisten Anbieter beantragen nie – und ein Eintrag unter einem hier nicht aufgeführten Namen wäre nicht gefunden worden.

Was ein Eintrag in der Data Privacy Framework List abdeckt, und welche Anbieter einen haben (auf Englisch): EU-US Data Privacy Framework.

Supportzeitraum

ProduktSupportzeitraumStandSBOMQuelleGelesen am
Mailchimp (SaaS)—Reiner Dienstunbekanntmailchimp.com2026-09-18

Meldung von Schwachstellen: mailchimp.com (security.txt, kein Expires-Feld; gelesen 2026-10-17)

Wie andere Anbieter ihre veröffentlichen (auf Englisch): security.txt im Register.

Dokumente

Was wir gelesen haben, wie es zugänglich war und wann.
DokumentZugänglichkeitErfassungHTTPGelesen am
dpaÖffentlichfull2002026-10-09
dpa-deÖffentlichfull2002026-10-09
subprocessorsÖffentlichfull2002026-09-18
tiaÖffentlichfull2002026-10-20

Verlauf

Seit wir diesen Anbieter am 2026-10-09 zu beobachten begannen, hat sich nichts geändert. Änderungen erscheinen hier erst nach menschlicher Prüfung.

Alle geprüften Änderungen im Register, die neuesten zuerst (auf Englisch): Vendor changes.