Berechtigungen & Ihre Daten

Diese Seite beantwortet die Fragen, die wir am häufigsten von IT- und Sicherheitsprüfern erhalten: Welche Google-Berechtigungen Mail Merge anfordert, ob es Ihre Gmail lesen kann, auf welche Dateien es zugreifen kann und was mit Ihren Empfängerlisten auf unseren Servern geschieht.

Für die vollständige Offenlegung von Konto-, Kampagnen-, KI-, Analyse- und Supportdaten, einschließlich Empfänger, Aufbewahrung und Benutzerkontrollen, siehe unsere Datenschutzrichtlinie.

Die Berechtigungen, die während der Installation angezeigt werden

Wenn Sie Mail Merge aus dem Google Workspace Marketplace installieren, zeigt Google die Berechtigungsliste des Add-ons an. Dies sind die Bereiche, die das Add-on anfordert, und wofür jeder verwendet wird:

Berechtigung (OAuth-Bereich)	Warum Mail Merge dies benötigt
script.send_mail (E-Mails in Ihrem Namen senden)	Versand der von Ihnen verfassten E-Mails. Dieser Bereich kann nur senden – er kann nichts in Ihrem Postfach lesen, durchsuchen oder auflisten.
spreadsheets (Ihre Tabellenkalkulationen anzeigen, bearbeiten, erstellen und löschen)	Lesen des Empfängerblatts, von dem aus Sie den Merge ausführen, und Schreiben der 📮 Statusspalte (Gesendet / Geöffnet / Fehler…) zurück in die Tabelle.
drive.readonly (Ihre Drive-Dateien anzeigen und herunterladen)	Lesen ausgewählter Inhalte und Herunterladen von Kampanhenanhängen, einschließlich zeilenweise Anhänge, auf die eine Drive-URL in Ihrer Tabelle verweist. Dieser Bereich erlaubt nicht das Ändern oder Löschen von Drive-Dateien.
drive.file (Zugriff auf Dateien, die Sie mit dieser App öffnen oder erstellen)	Dateispezifischer Zugriff, der von der Dateiauswahl verwendet wird.
userinfo.email	Identifizierung Ihres Kontos (Ihre E-Mail-Adresse ist Ihre Mail Merge-Konto-ID).
script.container.ui, gmail.addons.execute, script.scriptapp, script.external_request, script.locale	Standard-Google Workspace Add-on-Funktionalität: Anzeige der Seitenleiste und des Dialogs in Sheets/Gmail, Aufrufe unseres Backends und Anzeige der Benutzeroberfläche in Ihrer Sprache. script.scriptapp ermöglicht auch, dass eine Formularautomation ihren “neuer Formularantwort”-Trigger in Ihrer Tabelle installiert.
forms.currentonly (Formulare anzeigen und verwalten, in denen diese Anwendung installiert wurde)	Nur im Google Forms-Editor: Suchen der Tabelle, an die ein Formular seine Antworten sendet, und Verknüpfung einer Tabelle, wenn keine vorhanden ist, damit eine Formularautomation aus dem Formular selbst eingerichtet werden kann. Mail Merge liest die Antworten durch diesen Bereich niemals.

Diese Tabelle beschreibt das Workspace Add-on. Berechtigungen für die Web-App und KI-Assistenten-Verbindungen hängen von den Funktionen ab, die Sie autorisieren. Das optionale Postfach-Aufwärmen hat eine separate Verbindung.

Kann es Gmail-Nachrichten lesen oder nur senden?

Die Sendeerlaubnis des Add-ons ist nur zum Senden. Das Add-on fordert keinen Gmail-Lesezugriff an: Das Senden erfolgt über script.send_mail, das nur zum Senden dient. Die unten beschriebene optionale Gmail-Verbindung fügt gmail.send (ebenfalls nur zum Senden) und gmail.metadata hinzu, die Mail Merge für die Antwort- und Bounce-Erkennung bei Threads verwendet, die Ihre eigenen Kampagnen gestartet haben – es liest Nachrichtenmetadaten (einschließlich Absenderheader) statt Nachrichtentexte für diese Funktion.

Das optionale Postfach-Aufwärmen verwendet eine separate Google App-Passwort- und SMTP/IMAP-Verbindung. Es kann übereinstimmende Aufwärm-Nachrichten finden, sie aus dem Spam verschieben, als gelesen markieren, darauf antworten und sie archivieren. Dies ist separat von der reinen Sendeerlaubnis des Add-ons und der Kampagnenantwort-Erkennung.

Alle Drive/Sheets-Dateien oder nur ausgewählte Dateien?

Der spreadsheets-Bereich ist von Natur aus kontoübergreifend – das ist die Funktionsweise des Google Sheets Add-on-Modells, da das Add-on die Tabelle lesen muss, in der Sie es öffnen, und Lieferstatus zurück in die Tabelle schreiben muss. Angeforderte App- und KI-Tools können auch Tabellenkalkulationsvorschauen lesen, Beispieltabellen erstellen, Google Docs-Inhalte als Vorlagen importieren und ausgewählte Anhänge verarbeiten. Der drive.readonly-Bereich erlaubt das Lesen, nicht das Ändern von Drive-Dateien. Der separate drive.file-Bereich gewährt dateispezifischen Zugriff auf Dateien, die Sie mit der App auswählen oder erstellen. Es ist kein schreibgeschützter Bereich.

Kontakte

Mail Merge fordert keinen Google Contacts-Bereich an, um Empfängerlisten zu füllen. Empfänger können aus Tabellenkalkulationen, gespeicherten Mail Merge-Kontakten und -Listen oder direkten App/Tool-Eingaben stammen. Gespeicherte Kontakte und benutzerdefinierte Felder werden in unserem Backend zur Wiederverwendung gespeichert.

Offline-Zugriff (Handeln in Ihrem Namen, während Sie abgemeldet sind)

Autorisierte Hintergrundfunktionen können fortgesetzt werden, während Sie abgemeldet sind, einschließlich geplanter und gedrosselter Kampagnen, Tabellenkalkulationsstatus-Updates und Kampagnenantwort/Bounce-Erkennung. Google-Aktualisierungstoken werden verschlüsselt gespeichert. Widerrufen Sie den Google-Zugriff unter myaccount.google.com/connections, um zukünftige Operationen zu stoppen, die diese Berechtigung erfordern. Der Widerruf löscht nicht bereits verarbeitete Daten.

Das optionale Aufwärmen verwendet sein eigenes gespeichertes, verschlüsseltes App-Passwort. Beenden Sie das Aufwärmen separat und widerrufen Sie das App-Passwort in Ihrem Google-Konto, wenn Sie diese Verbindung nicht mehr möchten.

Was mit Ihrer Empfängerliste geschieht

Was unsere Server erhalten

Wenn Sie eine Kampagne starten, werden die Empfängerzeilen, die zum Versand erforderlich sind – E-Mail-Adressen, CC/BCC und die Merge-Feldwerte, die zum Personalisieren jeder Nachricht verwendet werden – an unser Backend (Google Cloud / Firebase) gesendet, zusammen mit der Nachrichtenvorlage und allen Anhängen. Dies ermöglicht Planung, Drosselung, tägliche Kontingentbehandlung und Öffnungs-/Klick-Tracking.

Wenn Sie einen KI-Assistenten verbinden, sendet er Tool-Eingaben an Mail Merge und erhält Ergebnisse wie Kontaktfelder, Tabellenkalkulationsvorschauen, Vorlageinhalte und Kampagnenaktivität. Diese Ergebnisse können persönliche Informationen enthalten. Die eigene KI-Generierung von Mail Merge sendet auch eingereichte Prompts durch seine KI-Dienstanbieter. Die Datenschutzrichtlinie beschreibt diese Empfänger und die Verarbeitung im Detail.

Wie lange es gespeichert wird und wie es gelöscht wird

• In der Warteschlange befindliche und aktive Kampagnen: Die Ablaufzeit wird ab der erwarteten Fertigstellung plus sieben Tagen berechnet und angepasst, wenn sich die Planung, Drosselung oder Autopilot ändert. Das Pausieren setzt normalerweise eine 30-tägige Kulanzfrist.
• Abgeschlossene oder gestoppte Kampagnen: Der Verlauf des kostenlosen Plans kann nach drei Tagen gelöscht werden. Kampagnen, die während eines aktiven bezahlten Abonnements abgeschlossen oder gestoppt wurden, haben keinen automatischen Verlaufs-Ablauf-Timer. Ein späteres Downgrade fügt keinen hinzu. Fordern Sie die Löschung des beibehaltenen Verlaufs an, den Sie nicht mehr benötigen.
• Gelöschte geplante Kampagnen: Der Abbruch stoppt den weiteren Versand, aber ihre Daten werden normalerweise nach etwa 24 Stunden zur Bereinigung berechtigt. Ablauf und Bereinigung laufen asynchron. Dies sind keine garantierten Löschungsfristen. Die Kampagnenbereinigung versucht auch, in der Warteschlange befindliche Empfängerjobs und zugehörige Kampanhenanhänge zu entfernen.
• Gespeicherte Kontakte, Listen, Vorlagen und Vorlagendateien werden zur laufenden Verwendung beibehalten, bis sie gelöscht oder durch eine Datenlöschanfrage bearbeitet werden. Das Löschen einer Liste löscht nicht ihre Kontakte.
• Liefer-/Engagement-Status (Gesendet, Geöffnet, Geklickt, Fehler) können in Backend-Kampagnen-, Tracking- und Analysedatensätzen gespeichert und zurück in Ihre Tabelle geschrieben werden. Der Kampagnenablauf löscht nicht alle diese separaten Datensätze oder die Kopie Ihres Google-Kontos.
• Abmeldungen werden beibehalten. Wenn ein Empfänger auf den Abmelde-Link klickt, speichern wir diese Adresse mit der Kennzeichnung “abgemeldet” unter Ihrem Konto, damit zukünftige Kampagnen sie automatisch ausschließen. Das Beibehalten dieser Liste hilft, die Wahl des Empfängers zu respektieren.
• Ihr Kontodatensatz (E-Mail, Abonnement-/Abrechnungsstatus, gespeicherte Vorlagen, Kontingent-Zähler) bleibt bestehen, solange Sie ein Konto haben.

Konto-, Tracking-, Analyse-, Diagnose-, Unterdrückungs- und Anbieter-Datensätze haben nicht alle einen festen automatischen Ablauf. Siehe die Datenschutzrichtlinie für Aufbewahrungskriterien und Kontrollen in diesen Kategorien.

Für eine Konto- oder Datenlöschanfrage senden Sie eine E-Mail an contact@merge.email mit der Kontoadresse und dem Umfang Ihrer Anfrage. Das Deinstallieren des Add-ons, das Widerrufen des Zugriffs oder das Löschen eines Hauptkontodatensatzes allein löscht nicht jeden zugehörigen Datensatz oder Kopien, die bereits von Empfängern und Anbietern gespeichert sind.