Berechtigungen & Ihre Daten

Diese Seite beantwortet die Fragen, die wir am häufigsten von IT- und Sicherheitsprüfern erhalten: welche Google-Berechtigungen Mail Merge anfordert, ob es Ihre Gmail lesen kann, auf welche Dateien es zugreifen kann und was mit Ihren Empfängerlisten auf unseren Servern geschieht.

Für die vollständige Offenlegung von Konto-, Kampagnen-, KI-, Analyse- und Supportdaten, einschließlich Empfänger, Aufbewahrung und Benutzerkontrollen, siehe unsere Datenschutzrichtlinie.

Die Berechtigungen, die bei der Installation angezeigt werden

Wenn Sie Mail Merge aus dem Google Workspace Marketplace installieren, zeigt Google die Berechtigungsliste des Add-ons an. Dies sind die Bereiche, die das Add-on anfordert, und wofür jeder verwendet wird:

Berechtigung (OAuth-Bereich)	Warum Mail Merge dies benötigt
script.send_mail – E-Mails in Ihrem Namen senden	Versand der von Ihnen verfassten E-Mails. Dieser Bereich kann nur senden - er kann nichts in Ihrem Postfach lesen, durchsuchen oder auflisten.
spreadsheets – Ihre Tabellen anzeigen, bearbeiten, erstellen und löschen	Lesen des Empfängerblatts, von dem aus Sie den Merge ausführen, und Schreiben der 📮 Statusspalte (Gesendet / Geöffnet / Fehler…) zurück in die Tabelle.
drive.readonly – Ihre Drive-Dateien anzeigen und herunterladen	Lesen ausgewählter Inhalte und Herunterladen von Kampagnenanhängen, einschließlich zeilenweiser Anhänge, auf die eine Drive-URL in Ihrer Tabelle verweist. Dieser Bereich erlaubt nicht das Ändern oder Löschen von Drive-Dateien.
drive.file – Auf Dateien zugreifen, die Sie mit dieser App öffnen oder erstellen	Dateispezifischer Zugriff, der von der Dateiauswahl verwendet wird.
userinfo.email	Identifizierung Ihres Kontos (Ihre E-Mail-Adresse ist Ihre Mail Merge-Konto-ID).
script.container.ui, gmail.addons.execute, script.scriptapp, script.external_request, script.locale	Standard-Google Workspace Add-on-Infrastruktur: Anzeige der Seitenleiste und des Dialogs in Sheets/Gmail, Aufrufen unseres Backends und Anzeige der Benutzeroberfläche in Ihrer Sprache.

Diese Tabelle beschreibt das Workspace Add-on. Berechtigungen für die Web-App und KI-Assistenten-Verbindungen hängen von den Funktionen ab, die Sie autorisieren. Das optionale Postfach-Warm-up hat eine separate Verbindung.

Kann es Gmail-Nachrichten lesen oder nur senden?

Die Sendeerlaubnis des Add-ons ist nur zum Senden. Das Add-on fordert keinen Gmail-Lesezugriff an: Das Senden erfolgt über script.send_mail, das nur zum Senden bestimmt ist. Die unten beschriebene optionale Gmail-Verbindung fügt gmail.send (ebenfalls nur zum Senden) und gmail.metadata hinzu, die Mail Merge für die Antwort- und Bounce-Erkennung in Threads verwendet, die Ihre eigenen Kampagnen gestartet haben - es liest Nachrichtenmetadaten (einschließlich Absenderheader) statt Nachrichtentexte für diese Funktion.

Das optionale Postfach-Warm-up verwendet eine separate Google App-Passwort und SMTP/IMAP-Verbindung. Es kann übereinstimmende Warm-up-Nachrichten finden, sie aus dem Spam verschieben, als gelesen markieren, darauf antworten und sie archivieren. Dies ist unabhängig von der Nur-Senden-Berechtigung des Add-ons und der Kampagnenantwort-Erkennung.

Alle Drive/Sheets-Dateien oder nur ausgewählte Dateien?

Der Bereich spreadsheets ist von Natur aus kontoübergreifend - das ist die Funktionsweise von Googles Sheets Add-on-Modell, da das Add-on die Tabelle lesen muss, in der Sie es öffnen, und Lieferstatus zurück in sie schreiben muss. Angeforderte App- und KI-Tools können auch Tabellenvorschauen lesen, Beispieltabellen erstellen, Google Docs-Inhalte als Vorlagen importieren und ausgewählte Anhänge verarbeiten. Der Bereich drive.readonly erlaubt das Lesen, nicht das Ändern von Drive-Dateien. Der separate Bereich drive.file gewährt dateispezifischen Zugriff auf Dateien, die Sie mit der App auswählen oder erstellen. Es ist kein schreibgeschützter Bereich.

Kontakte

Mail Merge fordert keinen Google Contacts-Bereich an, um Empfängerlisten zu füllen. Empfänger können aus Tabellen, gespeicherten Mail Merge-Kontakten und -Listen oder direkten App-/Tool-Eingaben stammen. Gespeicherte Kontakte und benutzerdefinierte Felder werden in unserem Backend zur Wiederverwendung gespeichert.

Offline-Zugriff (Handeln in Ihrem Namen, während Sie abgemeldet sind)

Autorisierte Hintergrundfunktionen können fortgesetzt werden, während Sie abgemeldet sind, einschließlich geplanter und gedrosselter Kampagnen, Tabellenstatusaktualisierungen und Kampagnenantwort-/Bounce-Erkennung. Google-Aktualisierungstoken werden verschlüsselt gespeichert. Widerrufen Sie den Google-Zugriff unter myaccount.google.com/connections, um zukünftige Vorgänge zu stoppen, die diese Berechtigung erfordern. Der Widerruf löscht nicht bereits verarbeitete Daten.

Das optionale Warm-up verwendet sein eigenes gespeichertes, verschlüsseltes App-Passwort. Beenden Sie das Warm-up separat und widerrufen Sie das App-Passwort in Ihrem Google-Konto, wenn Sie diese Verbindung nicht mehr benötigen.

Was mit Ihrer Empfängerliste geschieht

Was unsere Server erhalten

Wenn Sie eine Kampagne starten, werden die Empfängerzeilen, die zum Versand erforderlich sind - E-Mail-Adressen, CC/BCC und die Merge-Feldwerte, die zum Personalisieren jeder Nachricht verwendet werden - an unser Backend (Google Cloud / Firebase) zusammen mit der Nachrichtenvorlage und allen Anhängen gesendet. Dies ermöglicht Planung, Drosselung, tägliche Kontingentbehandlung und Öffnungs-/Klick-Tracking.

Wenn Sie einen KI-Assistenten verbinden, sendet er Tool-Eingaben an Mail Merge und erhält Ergebnisse wie Kontaktfelder, Tabellenvorschauen, Vorlageinhalte und Kampagnenaktivität. Diese Ergebnisse können personenbezogene Daten enthalten. Die eigene KI-Generierung von Mail Merge sendet auch eingereichte Prompts über ihre KI-Dienstanbieter. Die Datenschutzrichtlinie beschreibt diese Empfänger und die Verarbeitung im Detail.

Wie lange es gespeichert wird und wie es gelöscht wird

• In der Warteschlange und aktive Kampagnen: Die Ablaufzeit wird aus der erwarteten Fertigstellung plus sieben Tagen berechnet und angepasst, wenn sich die Planung, Drosselung oder der Autopilot ändert. Das Pausieren setzt normalerweise eine 30-Tage-Kulanzfrist.
• Abgeschlossene oder gestoppte Kampagnen: Der Verlauf des kostenlosen Plans kann nach drei Tagen gelöscht werden. Kampagnen, die während eines aktiven kostenpflichtigen Abonnements abgeschlossen oder gestoppt wurden, haben keinen automatischen Verlaufs-Ablauf-Timer. Ein späteres Downgrade fügt keinen hinzu. Fordern Sie die Löschung des beibehaltenen Verlaufs an, den Sie nicht mehr benötigen.
• Gelöschte geplante Kampagnen: Die Stornierung stoppt den weiteren Versand, aber ihre Daten werden normalerweise nach etwa 24 Stunden zur Bereinigung freigegeben. Ablauf und Bereinigung laufen asynchron. Dies sind keine garantierten Löschfristen. Die Kampagnenbereinigung versucht auch, in der Warteschlange befindliche Empfängerjobs und zugehörige Kampagnenanhänge zu entfernen.
• Gespeicherte Kontakte, Listen, Vorlagen und Vorlagendateien werden zur laufenden Verwendung beibehalten, bis sie gelöscht oder durch eine Datenlöschanfrage bearbeitet werden. Das Löschen einer Liste löscht nicht ihre Kontakte.
• Liefer-/Engagement-Status (Gesendet, Geöffnet, Geklickt, Fehler) können in Backend-Kampagnen-, Tracking- und Analysedatensätzen gespeichert und in Ihre Tabelle zurückgeschrieben werden. Der Kampagnenablauf löscht nicht alle diese separaten Datensätze oder die Kopie Ihres Google-Kontos.
• Abmeldungen werden beibehalten. Wenn ein Empfänger auf den Abmelde-Link klickt, speichern wir diese Adresse mit der Kennzeichnung “abgemeldet” unter Ihrem Konto, damit zukünftige Kampagnen sie automatisch ausschließen. Das Beibehalten dieser Liste hilft, die Wahl des Empfängers zu respektieren.
• Ihr Kontodatensatz (E-Mail, Abonnement-/Abrechnungsstatus, gespeicherte Vorlagen, Kontingent-Zähler) bleibt bestehen, solange Sie ein Konto haben.

Konto-, Tracking-, Analyse-, Diagnose-, Unterdrückungs- und Anbieter-Datensätze haben nicht alle einen festen automatischen Ablauf. Siehe die Datenschutzrichtlinie für Aufbewahrungskriterien und Kontrollen in diesen Kategorien.

Für eine Konto- oder Datenlöschanfrage senden Sie eine E-Mail an contact@merge.email mit der Kontoadresse und dem Umfang Ihrer Anfrage. Das Deinstallieren des Add-ons, das Widerrufen des Zugriffs oder das Löschen eines Hauptkontodatensatzes allein löscht nicht jeden zugehörigen Datensatz oder Kopien, die bereits von Empfängern und Anbietern gespeichert sind.