Datenschutzerklärung

Diese Erklärung sagt dir, welche Daten wir verarbeiten, warum wir das dürfen und wie lange wir sie behalten. Sie beschreibt den Stand unserer Software vom 27.08.2026. Wird ein Dienst hinzugefügt, freigeschaltet oder abgeschaltet, ziehen wir diesen Text nach, bevor die Änderung live geht.

Die Fristen in dieser Erklärung sind keine Absichtserklärung. Sie stehen so in unserer Software, und ein nächtlicher Aufräumlauf setzt sie um. Wo eine Frist nicht bei uns liegt, sondern bei unserem Hoster, oder wo es bewusst keine automatische Frist gibt, sagen wir das an der jeweiligen Stelle ausdrücklich.

1. Wer für deine Daten verantwortlich ist

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Postsalto GbR (Gesellschaft bürgerlichen Rechts) Steinerne Furt 58C 86167 Augsburg Vertreten durch die Gesellschafter Anna-Maria Knörzer und Manuel Moser E-Mail: kontakt@postsalto.de

Für alle Fragen zum Datenschutz, für Auskunft, Löschung und Widerspruch erreichst du uns unter dieser Adresse. Du musst kein Formular benutzen und kein bestimmtes Wort verwenden.

2. Deine Rechte, und wo du sie auslöst

Du hast jederzeit das Recht auf

• Auskunft über die zu dir gespeicherten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO), das heißt: wir behalten die Daten, benutzen sie aber nicht mehr,
• Datenübertragbarkeit in einem gängigen Format (Art. 20 DSGVO),
• Widerspruch gegen Verarbeitungen, die wir auf ein berechtigtes Interesse stützen (Art. 21 DSGVO),
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

2.1 Wo im Kundenkonto du was findest

Diese Erklärung nützt dir wenig, wenn du danach suchen musst. Deshalb steht hier, wo die Schaltfläche wirklich sitzt.

Dein Recht	Wo im Kundenkonto	Was dann passiert
Auskunft und Datenübertragbarkeit	Konto, Bereich „Datenexport (DSGVO)"	Wir erstellen eine strukturierte Datei im JSON-Format und schicken dir eine E-Mail mit dem Link. Der Link führt ins Portal, du musst dich also anmelden. Er gilt 14 Tage, danach löschen wir die Datei.
Berichtigung	Konto, Bereich „Zugangsdaten", und Profil	Änderungen wirken sofort. Für die Änderung der E-Mail-Adresse fragen wir zusätzlich dein Passwort ab, weil eine fremde E-Mail-Adresse im Konto der schnellste Weg zu einer Kontoübernahme wäre.
Löschung	Konto, Bereich „Konto löschen"	Dein Antrag geht sofort an unser Team. Wir antworten dir innerhalb eines Monats (Art. 12 Abs. 3 DSGVO) und sagen dir, was gelöscht wurde und was aus gesetzlicher Pflicht bleiben muss. Einzelheiten stehen in Abschnitt 16.2.
Widerruf der Scan-Vollmacht	Konto, Bereich „Scan-Vollmacht für deine Post"	Ab dem Klick öffnen wir keine Sendung mehr. Die Sperre wirkt technisch, nicht nur organisatorisch, siehe Abschnitt 8.3.
Widerruf der Empfangsvollmacht	Konto, Bereich „Empfangsvollmacht"	Wir nehmen ab dem Widerruf keine Sendungen mehr für dich an. Bedenke, dass deine Anschrift damit ihre Ladungsfähigkeit verliert.
Widerruf der Einwilligung in den biometrischen Abgleich	Verifikation	Wirkt sofort. Der Weg über den Ausweis-Upload bleibt dir offen.
Cookie-Entscheidung ändern oder widerrufen	Seite /cookie-einstellungen	Wirkt sofort für die Zukunft.
Push-Benachrichtigungen abschalten	Konto, Bereich „App & Benachrichtigungen"	Wirkt sofort, zusätzlich kannst du sie in deinem Browser abschalten.
Newsletter abbestellen	Abmeldelink in jeder Newsletter-Mail	Wirkt sofort.
Fremde Anmeldungen erkennen	Konto, Bereich „Letzte Anmeldungen"	Zeigt dir die letzten Anmeldungen mit Zeitpunkt, Anmeldeart und Gerät.

Wie schnell wir antworten. Auf Auskunft, Löschung, Berichtigung, Einschränkung und Widerspruch antworten wir innerhalb eines Monats. Ist ein Fall besonders aufwendig, dürfen wir um zwei Monate verlängern, sagen dir das aber innerhalb des ersten Monats mit Begründung (Art. 12 Abs. 3 DSGVO).

Warum wir den Datenexport pro Tag nur einmal erstellen. Der Export ist ein vollständiges Profil. Ein zweiter Export am selben Tag bringt keine neuen Erkenntnisse, der erste liegt noch in deinem Postfach. Wir lehnen ihn deshalb nach Art. 12 Abs. 5 DSGVO ab, und zwar mit Ansage: Du bekommst gesagt, wann der erste Export lief und ab wann ein neuer möglich ist. Nach 24 Stunden geht es wieder.

Auskunft ohne Portal. Art. 15 DSGVO bindet dein Auskunftsersuchen an keine Form. Du kannst uns auch einfach eine E-Mail schreiben oder anrufen. Unser Team stößt denselben Export dann für dich an.

2.2 Beschwerderecht (Art. 77 DSGVO)

Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere bei der Behörde deines gewöhnlichen Aufenthaltsorts, deines Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für uns als nicht-öffentliche Stelle mit Sitz in Bayern ist zuständig:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA) Promenade 18, 91522 Ansbach Postanschrift: Postfach 1349, 91504 Ansbach Telefon: 0981 180093-0 E-Mail: poststelle@lda.bayern.de https://www.lda.bayern.de Online-Beschwerdeformular: https://www.lda.bayern.de/de/beschwerde.html

Ein Hinweis zur Zuständigkeit. Soweit personenbezogene Daten für das geschäftsmäßige Erbringen von Postdienstleistungen verarbeitet werden, tritt nach § 71 Absatz 1 des Postgesetzes an die Stelle der Landesaufsicht die oder der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI), Graurheindorfer Straße 153, 53117 Bonn, https://www.bfdi.bund.de. Ob unsere Postbearbeitung darunter fällt, ist nicht abschließend geklärt. Damit dich das nicht aufhält: Wende dich an die Behörde deiner Wahl. Beide leiten eine Beschwerde an die zuständige Stelle weiter, du verlierst dadurch nichts.

2.3 Widerspruchsrecht nach Art. 21 DSGVO

Verarbeiten wir Daten auf Grundlage eines berechtigten Interesses (Art. 6 Abs. 1 Buchstabe f DSGVO), kannst du dieser Verarbeitung aus Gründen widersprechen, die sich aus deiner besonderen Situation ergeben. Gegen Direktwerbung kannst du jederzeit ohne Begründung widersprechen. Welche Verarbeitungen wir auf ein berechtigtes Interesse stützen, erkennst du in diesem Text jeweils an der Angabe der Rechtsgrundlage.

3. Wenn du unsere Website besuchst

Was wir verarbeiten. Beim Aufruf unserer Seiten übermittelt dein Browser technische Daten, die unser Server in Protokolldateien speichert: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge, Statuscode, verweisende Seite und Angaben zu Browser und Betriebssystem.

Wozu. Bereitstellung und Stabilität der Website, Fehlersuche und Abwehr von Angriffen.

Rechtsgrundlage. Art. 6 Abs. 1 Buchstabe f DSGVO. Unser berechtigtes Interesse ist der sichere und störungsfreie Betrieb.

Speicherdauer. Diese Protokolle führt unser Hoster auf seinen Servern, nicht wir in unserer Anwendung. Die Dauer legt deshalb IONOS fest, und IONOS nennt sie öffentlich: Die Zugriffsprotokolle unseres Webspace werden nach spätestens acht Wochen automatisch gelöscht (IONOS Hilfe-Center, „Hinweise zu Logfiles"). Für die eigenen Sicherheits- und Betriebszwecke von IONOS nennt IONOS in seiner Datenschutzerklärung unter „Speicherdauer" für Logfiles und temporäre Speicherdaten eine Spanne von wenigen Tagen bis höchstens 60 bis 90 Tage, je nach Sicherheits- oder Betriebsbedarf. Wir selbst greifen auf diese Protokolle nur im Störungs- und Angriffsfall zu und werten sie nicht aus.

Hosting. Unsere Website, das Kundenportal, die Datenbank und unsere E-Mail-Postfächer liegen bei der IONOS SE, Elgendorfer Straße 57, 56410 Montabaur. IONOS verarbeitet die Daten als Auftragsverarbeiter für uns, auf Grundlage eines Vertrags nach Art. 28 DSGVO. Serverstandort ist Deutschland.

Vier Adressen, eine Anwendung. Unter postsalto.de findest du Website und Bestellung, unter dashboard.postsalto.de dein Kundenkonto, unter impressum.postsalto.de die öffentlichen Kundenseiten und unter scan.postsalto.de die Posterfassung unseres Teams. Dahinter steht dieselbe Anwendung auf denselben Servern, es findet also keine Übermittlung zwischen ihnen statt.

4. Cookies und Zugriff auf dein Endgerät

Der Grundsatz. Ohne deine Einwilligung speichern wir nichts auf deinem Gerät und lesen nichts von deinem Gerät aus, was nicht technisch notwendig ist. Das gilt nicht nur für Cookies, sondern auch für lokale Speicher und vergleichbare Techniken (§ 25 TDDDG, das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz).

Technisch notwendig und deshalb einwilligungsfrei (§ 25 Abs. 2 Nr. 2 TDDDG) sind bei uns die folgenden Zugriffe. Wir zählen sie einzeln auf, weil § 25 TDDDG nicht nur Cookies erfasst, sondern jede Speicherung auf deinem Gerät und jedes Auslesen von deinem Gerät.

Name	Art	Wozu	Dauer
postsalto-session	Cookie	Sitzung und Anmeldung	bis zum Ende der Sitzung, spätestens 120 Minuten nach deiner letzten Aktivität
XSRF-TOKEN	Cookie	Schutz vor Formularmissbrauch (CSRF)	Dauer der Sitzung
remember_web_…	Cookie	„Angemeldet bleiben", nur wenn du das Kästchen bei der Anmeldung selbst anhakst	bis zur Abmeldung, längstens fünf Jahre
postsalto_consent	Cookie	speichert deine Cookie-Entscheidung und ein Zufallskennzeichen	6 Monate
postsalto_wartung	Cookie	Zugang während einer Wartungspause, wird nur nach Passworteingabe gesetzt	12 Stunden
postsalto.nacht	lokaler Speicher	dein Dunkel- oder Hellmodus im Kundenportal, damit die Seite nicht bei jedem Aufruf hell aufblitzt	bis du die Einstellung änderst oder deinen Browserspeicher leerst
postsalto:motion	lokaler Speicher	deine Bewegungsvorliebe: Animationen trotz systemweit reduzierter Bewegung anzeigen. Wird nur gesetzt, wenn du sie über den Adresszusatz ?motion=an selbst wählst	bis du sie mit ?motion=aus zurücknimmst
ps_intro	Cookie ohne Ablaufdatum	merkt sich, dass du die Startanimation in dieser Browsersitzung schon gesehen hast. Enthält nur den Wert 1, keine Kennung, keine Nummer, nichts, woran sich jemand wiedererkennen ließe	bis du den Browser schließt
bio-tab	Sitzungsspeicher	merkt sich den zuletzt geöffneten Reiter im Bearbeiten-Bereich deiner Bio-Link-Seite	bis du den Browser-Tab schließt

Diese Zugriffe sind für den von dir ausdrücklich gewünschten Dienst unbedingt erforderlich oder von dir selbst ausgelöst. Ohne sie könntest du dich nicht anmelden, kein Formular absenden, deine Cookie-Entscheidung ginge bei jedem Seitenwechsel verloren, und die von dir gewählte Darstellung wäre nach jedem Klick wieder weg. Keiner dieser Einträge dient der Werbung, der Reichweitenmessung oder der Wiedererkennung über Websites hinweg.

Stripe.js auf der Bezahlseite. Auf den beiden Bezahlseiten unter „Buchen" und „Bestellung" lädt dein Browser das Skript js.stripe.com/dahlia/stripe.js unmittelbar von Stripe. Dabei erfährt Stripe deine IP-Adresse und die technischen Angaben deines Browsers, und Stripe kann in diesem Rahmen selbst auf dein Endgerät zugreifen. Das Skript ist nötig, damit du deine Kartendaten direkt und verschlüsselt bei Stripe eingeben kannst; sie erreichen unseren Server dadurch gar nicht erst. Wir laden es deshalb nach § 25 Abs. 2 Nr. 2 TDDDG ohne gesonderte Einwilligung, aber ausschließlich auf diesen Bezahlseiten, die du nur erreichst, wenn du gerade eine Buchung abschließen willst. Auf allen anderen Seiten und auf allen öffentlichen Kundenseiten wird nichts von Stripe geladen. Möchtest du das nicht, kannst du stattdessen den klassischen Bezahlweg wählen, der dich direkt zu Stripe weiterleitet.

Kundenportal: Offline-Seite und Push. Öffnest du das Kundenportal, richtet dein Browser einen sogenannten Service Worker ein. Er hält eine Offline-Seite bereit und nimmt Push-Benachrichtigungen entgegen. Beides ist Teil des Portals. Push-Benachrichtigungen selbst schalten wir erst ein, wenn du sie im Portal ausdrücklich anforderst und dein Browser dich zusätzlich fragt.

Passkeys. Meldest du dich mit einem Passkey an, spricht deine Seite die Schlüsselverwaltung deines Geräts an. Der Fingerabdruck oder das Gesichtsbild bleibt dabei auf deinem Gerät und erreicht uns nie.

Adminbereich. Im internen Adminbereich, den nur unser Team benutzt, merken sich einzelne Werkzeuge zusätzlich Anzeigeeinstellungen und Entwürfe im lokalen Speicher des jeweiligen Arbeitsgeräts. Kundinnen, Kunden und Besucher sind davon nicht betroffen.

Keine fremden Schriften, Bilder oder Skripte. Schriften, Bilder und Programmbausteine unserer Seiten liegen auf unserem eigenen Server. Wir binden kein Auslieferungsnetz (CDN), keine Google Fonts, keinen Analysedienst, keinen Fehlerberichtsdienst und kein Werbeskript ein. Der einzige Kontakt deines Browsers zu einem fremden Server ist das oben genannte Stripe.js auf der Bezahlseite.

Alles andere nur mit Einwilligung. Dienste, die nicht notwendig sind, laden wir erst, nachdem du zugestimmt hast. Die Sperre greift auf dem Server: Ohne Einwilligung wird der fremde Inhalt gar nicht erst ausgeliefert, nicht nur optisch verdeckt. Solange keine solchen Dienste eingerichtet sind, erscheint auch kein Banner. Rechtsgrundlage ist § 25 Abs. 1 TDDDG in Verbindung mit Art. 6 Abs. 1 Buchstabe a DSGVO.

Ablehnen ist genauso leicht wie Zustimmen. Im Banner stehen „Nur notwendige" und „Alle akzeptieren" auf derselben Ebene, in derselben Größe und in derselben Gestaltung. Es gibt keine Voreinstellung zu deinen Lasten: Alle wählbaren Kategorien sind ausgeschaltet, bis du sie anschaltest.

Nachweis. Wir protokollieren jede Entscheidung, auch die Ablehnung, mit Zeitpunkt, ausgewählten Kategorien, Fassung der Banner-Einstellungen und der Herkunft der Entscheidung (Banner, Einstellungsseite oder eingebetteter Inhalt). Wir tun das, weil Art. 7 Abs. 1 DSGVO von uns verlangt, eine Einwilligung nachweisen zu können. Zugeordnet wird die Entscheidung über ein Zufallskennzeichen, nicht über deinen Namen. Eine IP-Adresse speichern wir dabei ausdrücklich nicht.

Widerruf. Deine Entscheidung kannst du jederzeit unter /cookie-einstellungen ändern oder vollständig widerrufen. Der Widerruf ist genauso einfach wie die Zustimmung und gilt ab sofort für die Zukunft. Nach sechs Monaten fragen wir ohnehin erneut. Ändern wir die Zwecke, ist deine alte Entscheidung verbraucht und wir fragen neu, statt eine Zustimmung auf Dienste zu erstrecken, die es beim Zustimmen noch gar nicht gab.

Signal deines Browsers. Sendet dein Browser das Signal „Global Privacy Control", behandeln wir das als Ablehnung und laden nichts Einwilligungspflichtiges. Ein solches Signal kann nur ablehnen, niemals einwilligen. Einen nach der Einwilligungsverwaltungsverordnung anerkannten Einwilligungsverwaltungsdienst binden wir nicht ein; deine Entscheidung triffst du unmittelbar bei uns.

Derzeit eingerichtete einwilligungspflichtige Dienste: derzeit keine. Solange dieser Satz so lautet, erscheint auf unserer Website auch kein Banner, weil es nichts einzuwilligen gibt. Richten wir einen solchen Dienst ein, steht er hier mit Anbieter, Zweck, Speicherdauer und Empfängerland, bevor er zum ersten Mal geladen wird.

5. Dein Kundenkonto

Was wir verarbeiten. Name, E-Mail-Adresse, Passwort (nur als nicht umkehrbarer Hashwert), Kundennummer, Rechtsform, Privatanschrift, Geburtsdatum, Telefonnummer, Projekt- oder Künstlername, Umsatzsteuer-Identifikationsnummer, sofern du eine hast.

Wozu. Anlage und Verwaltung deines Kontos, Zuweisung deiner Anschrift, Zuordnung eingehender Post.

Rechtsgrundlage. Art. 6 Abs. 1 Buchstabe b DSGVO (Erfüllung des Vertrags).

Pflichtangaben. Ohne Name, Anschrift und E-Mail-Adresse können wir den Vertrag nicht erfüllen. Diese Angaben sind vertraglich erforderlich. Machst du sie nicht, kommt kein Vertrag zustande.

Speicherdauer. Bis zur Löschung des Kontos, danach bis zum Ablauf gesetzlicher Aufbewahrungsfristen (siehe Abschnitt 16).

Sitzungsdaten. Solange du angemeldet bist, speichert unser Server zu deiner Sitzung die IP-Adresse und die Browserkennung. Das ist die technische Grundlage dafür, dass du zwischen zwei Seitenaufrufen angemeldet bleibst. Die Sitzung verfällt spätestens 120 Minuten nach deiner letzten Aktivität.

Anmeldeprotokoll. Wir speichern zu jeder Anmeldung Zeitpunkt, Anmeldeart, IP-Adresse und eine Gerätebezeichnung, damit du im Portal erkennen kannst, ob eine fremde Anmeldung dabei war. Rechtsgrundlage ist Art. 6 Abs. 1 Buchstabe f DSGVO, unser Interesse ist die Sicherheit deines Kontos, an dem deine Post hängt. Speicherdauer: 90 Tage, danach löscht die Software die Einträge automatisch. Eine IP-Adresse länger zu halten wäre Vorratsdatenhaltung.

Zwei-Faktor-Anmeldung und Passkeys. Nutzt du sie, speichern wir die dafür nötigen Schlüssel und Ersatzcodes. Biometrische Daten erreichen uns dabei nicht: Bei einem Passkey bleibt der Fingerabdruck oder das Gesichtsbild auf deinem Gerät.

Interne Vermerke. Unser Team kann zu deinem Konto Notizen und Aufgaben anlegen, etwa zum Stand einer Rückfrage, und eine interne Risikoeinstufung setzen. Das fühlt sich nach Hausdaten an, sind aber Daten über dich. Sie stehen deshalb vollständig in deinem Datenexport nach Art. 15 DSGVO. Nicht enthalten ist, wer aus unserem Team den Vermerk geschrieben hat: Das ist ein Beschäftigtendatum und gehört nicht dir.

6. Buchung, Zahlung und Rechnungen

Was wir verarbeiten. Gebuchtes Paket, Zahlweise, Preis, Bestellzeitpunkt, deine Rechnungsdaten, Zahlungsstatus, Rechnungsnummern und Zahlungsbelege, dazu Kartenart, die letzten vier Ziffern und das Ablaufdatum deines hinterlegten Zahlungsmittels. Deine Bestätigungen zu AGB, Widerrufsbelehrung, sofortigem Leistungsbeginn und Nutzungsbeschränkung speichern wir mit Zeitpunkt, IP-Adresse und der Fassung des jeweiligen Textes.

Wozu. Abwicklung des Vertrags, Rechnungsstellung, Buchführung, Nachweis der abgegebenen Erklärungen.

Rechtsgrundlage. Art. 6 Abs. 1 Buchstabe b DSGVO für die Abwicklung, Art. 6 Abs. 1 Buchstabe c DSGVO für die steuer- und handelsrechtlichen Aufbewahrungspflichten, Art. 6 Abs. 1 Buchstabe f DSGVO für den Nachweis der Erklärungen.

Zahlungsdienstleister. Die Zahlung wickelt Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland ab. Deine Zahlungsdaten, insbesondere Kartennummern, gibst du unmittelbar bei Stripe ein. Sie erreichen unseren Server nicht. Wir erhalten von Stripe nur die Information, ob und wann eine Zahlung erfolgreich war, sowie die für die Rechnung nötigen Angaben.

Meldungen von Stripe. Stripe schickt uns zu jedem Vorgang eine Ereignismeldung, etwa „Zahlung erfolgreich" oder „Abo gekündigt". Diese Meldungen enthalten in ihrer Rohfassung auch Name, E-Mail-Adresse und die letzten vier Kartenziffern. Wir kürzen die Rohfassung nach 90 Tagen auf einen Vermerk ein, dass die Meldung eintraf und wie sie verarbeitet wurde. Die verbleibende Zeile löschen wir nach 730 Tagen.

Rechnungen kommen von uns. Deine Rechnung stellen wir selbst aus, nicht Stripe. Als Kleinunternehmer nach § 19 UStG weisen wir dabei keine Umsatzsteuer aus.

Drittlandübermittlung. Unser Vertragspartner ist die irische Stripe Payments Europe, Limited. Sie gibt Daten an die US-amerikanische Stripe, LLC weiter, die bis Anfang 2026 als Stripe, Inc. firmierte. Grundlage sind in erster Linie die Standardvertragsklauseln der Europäischen Kommission, ergänzt um den Angemessenheitsbeschluss der Europäischen Kommission zum EU-US Data Privacy Framework vom 10.07.2023, solange dieser gilt und Stripe danach zertifiziert ist. Wir stützen uns bewusst auf beides und nicht nur auf den Angemessenheitsbeschluss: Gegen ihn ist ein Rechtsmittel beim Europäischen Gerichtshof anhängig, und sollte er wegfallen, tragen die Standardvertragsklauseln die Übermittlung weiter. Die Datenschutzerklärung von Stripe findest du unter https://stripe.com/de/privacy.

Speicherdauer. Rechnungen und Buchungsbelege acht Jahre (§ 147 Abs. 3 Satz 1 AO, § 14b Abs. 1 Satz 1 UStG). Die Frist läuft ab Schluss des Kalenderjahres, in dem der Beleg entstanden ist (§ 147 Abs. 4 AO). Die zehnjährige Frist gilt seit dem 1. Januar 2025 nicht mehr für Buchungsbelege. Die handelsrechtliche Frist des § 257 HGB gilt für Kaufleute und trifft auf uns als Gesellschaft bürgerlichen Rechts regelmäßig nicht zu.

7. Identitätsprüfung

Warum wir sie brauchen. Wir stellen dir eine ladungsfähige Anschrift zur Verfügung. Wer eine solche Anschrift bekommt, muss identifizierbar sein. Andernfalls wäre der Dienst ein Werkzeug, um die eigene Erreichbarkeit zu verschleiern.

Weg 1: Upload. Du lädst eine Kopie deines Ausweisdokuments hoch. Wir gleichen Name und, falls hinterlegt, Geburtsdatum mit deinem Profil ab.

Weg 2: Automatisierte Prüfung über Stripe Identity. Sofern dieser Weg freigeschaltet ist, kannst du die Prüfung stattdessen über Stripe Identity erledigen. Dabei fotografierst du dein Ausweisdokument und, je nach Einstellung, dein Gesicht. Der Abgleich findet bei Stripe statt. Ausweis- und Gesichtsbilder erreichen uns in diesem Fall nicht; wir erhalten nur das Prüfergebnis sowie Vorname, Nachname und Geburtsdatum aus dem Dokument. In der Voreinstellung ist dieser Weg ausgeschaltet. Ob er dir angeboten wird, siehst du im Kundenportal unter „Verifikation".

Stripe ist dabei eigenständig verantwortlich. Für die Aufnahme der Bilder, die Berechnung und den Abgleich der biometrischen Merkmale sowie für Betrugsabwehr, Sicherheit und die Verbesserung des eigenen Prüfverfahrens entscheidet Stripe selbst über Zwecke und Mittel. Stripe ist insoweit nicht unser Auftragsverarbeiter, sondern eigenständig Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO. Du kannst deine Betroffenenrechte deshalb auch unmittelbar gegenüber Stripe geltend machen, unter privacy@stripe.com. Dabei werden Daten in die Vereinigten Staaten übermittelt. Grundlage der Übermittlung sind die Standardvertragsklauseln, ergänzt um den Angemessenheitsbeschluss zum EU-US Data Privacy Framework, soweit dieser gilt, und vor allem deine ausdrückliche Einwilligung in genau diese Übermittlung (Art. 49 Abs. 1 Buchstabe a DSGVO). Alle Einzelheiten und die dafür nötige ausdrückliche Einwilligung stehen im eigenen Text „Einwilligung in den biometrischen Abgleich", den du vor dem Start dieses Wegs zu lesen bekommst.

Besondere Datenkategorien. Wird beim automatisierten Weg ein Abgleich deines Gesichts mit dem Ausweisfoto durchgeführt, entstehen biometrische Daten zur eindeutigen Identifizierung. Das sind besondere Kategorien personenbezogener Daten nach Art. 9 Abs. 1 DSGVO. Wir verarbeiten sie ausschließlich auf Grundlage deiner ausdrücklichen Einwilligung nach Art. 9 Abs. 2 Buchstabe a DSGVO. Du bist dazu nicht verpflichtet: Der Upload-Weg steht dir immer offen und ist gleichwertig. Eine erteilte Einwilligung kannst du jederzeit widerrufen.

Keine Kopplung. Die Einwilligung in den biometrischen Abgleich ist ein eigener Schalter, getrennt von der Scan-Vollmacht für deine Post. Du kannst den Scan-Dienst nutzen, ohne dein Gesicht vermessen zu lassen, und umgekehrt. Ein gemeinsamer Schalter wäre eine Kopplung, die eine Einwilligung unfreiwillig macht (Art. 7 Abs. 4 DSGVO).

Speicherdauer. Hochgeladene Ausweisbilder löschen wir 30 Tage nach der Entscheidung automatisch, spätestens 180 Tage nach dem Upload. Erhalten bleibt nur der Prüfvermerk, also wer wann mit welchem Ergebnis und mit welcher Begründung entschieden hat. Beim automatisierten Weg lassen wir die Daten bei Stripe nach der Entscheidung schwärzen. Bleibt eine Prüfung ohne Entscheidung liegen, weil du sie abgebrochen hast oder wir sie nicht abgeschlossen haben, brechen wir sie nach 30 Tagen selbst ab und lassen auch dann bei Stripe schwärzen. Ohne diese Frist lägen Ausweis- und Gesichtsbilder unbefristet bei einem Dienstleister, und für Daten nach Art. 9 DSGVO wäre das nicht zu rechtfertigen.

Automatisierte Entscheidungen. Stimmen die von Stripe geprüften Angaben mit deinem Profil überein, kann die Freigabe automatisch erfolgen. Weicht irgendetwas ab, entscheidet immer ein Mensch. Umgekehrt pausieren wir dein Konto automatisch, wenn du bis zum Fristende keinen Nachweis eingereicht hast. Beides stützen wir auf Art. 22 Abs. 2 Buchstabe a DSGVO, weil es für die Durchführung des Vertrags erforderlich ist. Du kannst in jedem Fall verlangen, dass ein Mensch die Entscheidung überprüft, deinen Standpunkt darlegen und die Entscheidung anfechten. Melde dich dafür einfach über den Support.

8. Deine Post

Dieser Abschnitt ist der Kern unseres Dienstes und deshalb ausführlicher.

8.1 Annahme und Erfassung

Was wir verarbeiten. Eingangsdatum, Kategorie der Sendung, Absenderangaben, soweit außen erkennbar, ein Foto des Umschlags, gelesene Barcodes vom Aufkleber, deine Kundennummer und den Bearbeitungsverlauf.

Wozu. Zuordnung der Sendung zu dir, Benachrichtigung und Nachweis der Bearbeitung.

Rechtsgrundlage. Art. 6 Abs. 1 Buchstabe b DSGVO.

Das Foto des Umschlags. Ein Foto von außen ist kein Öffnen von Post. Für Sendungen ohne Scan-Vollmacht ist es der einzige Erfassungsweg, der nicht aus Abtippen besteht, und du erkennst daran im Portal, was da für dich liegt. Auf dem Umschlag steht allerdings der Absender, also eine dritte Person, die uns nie beauftragt hat. Diese Fotos liegen deshalb ausschließlich auf einer nicht öffentlich erreichbaren Ablage.

Angekündigte Sendungen. Du kannst uns eine Sendung vorab ankündigen und dafür Sendungsnummer, Zusteller und eine Notiz hinterlegen. Wir gleichen die Nummer beim Wareneingang ab. Kommt die Sendung nicht, läuft die Ankündigung nach 60 Tagen ab; sie verschwindet dann aus deinen offenen Ankündigungen, bleibt für den Abgleich aber noch auffindbar, weil ein Paket am 61. Tag keine Rechenfrage ist. 180 Tage nach Fristablauf löschen wir die Ankündigung. Eine Sendungsnummer verrät, wer wann von wem etwas erwartet hat, und für eine Sendung, die nie ankam, trägt kein Zweck mehr die weitere Speicherung. Angekommene Sendungen bleiben als Nachweis am Poststück stehen.

8.2 Weiterleitung

Was wir verarbeiten. Deine Privatanschrift, den gewählten Versanddienstleister und die Sendungsnummer.

Empfänger. Der von uns beauftragte Versanddienstleister, derzeit die Deutsche Post AG und DHL. Setzen wir weitere Dienstleister ein, ergänzen wir sie hier. Die Dienstleister handeln dabei nicht in unserem Auftrag, sondern in eigener Verantwortung.

Rechtsgrundlage. Art. 6 Abs. 1 Buchstabe b DSGVO.

8.3 Öffnen und Scannen

Nur mit deiner Einwilligung. Deine Post ist durch das Briefgeheimnis geschützt (Art. 10 Grundgesetz). Wer fremde verschlossene Sendungen unbefugt öffnet, macht sich nach § 202 StGB strafbar. Wir öffnen deshalb keine einzige Sendung ohne deine ausdrückliche, vorher erteilte Einwilligung.

Die Einwilligung wirkt technisch, nicht nur als Hausregel. Ein geöffneter und eingescannter Brief lässt sich in unserer Software keinem Kunden zuordnen, solange für diesen Kunden keine gültige, nicht widerrufene Scan-Vollmacht vorliegt. Der Versuch wird abgewiesen, nicht nur protokolliert. Umgekehrt vermerken wir bei jedem zugeordneten Scan als eigenes Ereignis, welche Vollmacht geprüft wurde und wann sie erteilt wurde. Damit können wir nicht nur behaupten, sondern belegen, dass geprüft wurde (Art. 5 Abs. 2 DSGVO).

Was wir verarbeiten. Den vollständigen Inhalt der geöffneten Sendung als PDF, den Absender, das Datum und die Zuordnung zu dir.

Rechtsgrundlage. Art. 6 Abs. 1 Buchstabe a DSGVO für die Einwilligung in das Öffnen und Scannen, ergänzend Art. 6 Abs. 1 Buchstabe b DSGVO für die vertragliche Bereitstellung des Scans im Portal.

Widerruf. Du kannst die Einwilligung jederzeit im Kundenportal widerrufen. Ab dem Widerruf öffnen wir keine Sendung mehr. Bereits erstellte Scans bleiben zunächst in deinem Portal verfügbar, damit du sie sichern kannst, und werden auf deinen Wunsch sofort gelöscht.

Zugriff. Auf Scans greifen nur die Mitglieder unseres Teams zu, die das Recht zum Lesen von Post haben. Jeder Zugriff wird protokolliert. Für Konten mit Zugriff auf Post und Ausweiskopien kann die Zwei-Faktor-Anmeldung verpflichtend geschaltet werden.

Speicherdauer. Briefscans bleiben 24 Monate im Portal. Danach löschen wir das PDF und leeren den erkannten Volltext; erhalten bleibt nur der Nachweis, dass ein Brief einging und wem er zugeordnet wurde. Löschst du einen Scan vorher selbst oder endet dein Konto, verschwindet er früher.

Warum gerade 24 Monate. Der Scan ist eine Zweitfassung. Das Original geht an dich oder wird vernichtet, und ab deinem Zugang läuft deine eigene Aufbewahrungspflicht, nicht unsere. Zwei Jahre decken den laufenden und den vorangegangenen Geschäftsvorfall ab, also die Zeit, in der jemand eine Sendung im Portal noch einmal sucht. Wichtig: Für die Fristen, die dich selbst treffen, etwa § 147 AO, ist unsere Kopie kein Ersatz. Sichere steuerlich oder rechtlich wichtige Unterlagen selbst.

Originalsendungen. Das Papier bewahren wir nach dem Scan für eine feste Frist auf und vernichten es danach datenschutzgerecht. Auf deinen Wunsch leiten wir es dir stattdessen weiter; sag uns das rechtzeitig, ein vernichtetes Blatt kommt nicht zurück. Jede Vernichtung ist bei uns eine Einzelentscheidung mit Grund und wird protokolliert, sie läuft nicht von selbst ab. Ausgenommen sind Fristsachen sowie Post von Gerichten, Behörden und Inkassostellen: Wer solche Sendungen vernichtet, vernichtet unter Umständen eine Klagefrist. Sie werden nur weitergeleitet oder zurückgesandt. Die Frist und der Vernichtungsstandard stehen im Block „Noch einzutragen" am Ende dieses Textes; dieselbe Frist nennt auch der Text der Scan-Vollmacht.

8.4 Texterkennung und durchsuchbarer Volltext (OCR)

Dieser Abschnitt betrifft eine Verarbeitung, die man dem Wort „Scan" nicht ansieht, und die wir deshalb einzeln beschreiben.

Was passiert. Aus jedem Scan und aus jedem Umschlagfoto machen wir per Texterkennung (englisch: Optical Character Recognition, OCR) durchsuchbaren Text. Bei geöffneter Post ist das der vollständige Text des Briefes, Wort für Wort. Bei einem Umschlagfoto ist es der Text, der außen auf dem Umschlag steht.

Wo dieser Text landet. Er wird nicht nur einmal angezeigt und dann verworfen, sondern in unserer Datenbank gespeichert, in derselben Zeile wie der Scan. Er ist damit durchsuchbar. Das ist ein eigener Eingriff und keine Nebenfolge des Scannens: Ein PDF-Bild muss man lesen, einen gespeicherten Volltext kann man abfragen.

Warum wir ihn speichern. Erstens, damit du deine Post im Portal durchsuchen kannst. Zweitens, damit unsere Software vorschlagen kann, zu wem ein Brief gehört, siehe unten. Drittens, weil maschinell ausgelesene Daten bei Belegen nach den Grundsätzen ordnungsmäßiger Buchführung (GoBD) zu den aufbewahrungspflichtigen Unterlagen zählen und nicht flüchtig sein dürfen.

Wer die Texterkennung durchführt. Sie läuft auf einem Rechner in unserer eigenen Poststelle, nicht bei einem Cloud-Dienst. Auf unserem Webspace läuft keine Texterkennung, deshalb holt sich ein von uns betriebenes Werkzeug in der Poststelle die Aufträge ab, erkennt den Text vor Ort und liefert ihn zurück. Der Inhalt deiner Briefe geht dafür an keinen Dritten. Digital erzeugte PDF-Dateien, etwa Rechnungen unserer eigenen Lieferanten, lesen wir sogar ganz ohne Bilderkennung direkt aus der Textebene aus.

Rechtsgrundlage. Für die Texterkennung an geöffneter Post gilt dieselbe Grundlage wie für das Öffnen selbst: deine ausdrückliche Einwilligung nach Art. 6 Abs. 1 Buchstabe a und, soweit besondere Kategorien betroffen sind, Art. 9 Abs. 2 Buchstabe a DSGVO. Für den Text auf einem Umschlag stützen wir uns auf Art. 6 Abs. 1 Buchstabe b DSGVO, weil er nur der Zuordnung der Sendung dient, sowie auf Art. 6 Abs. 1 Buchstabe f DSGVO im Verhältnis zum Absender.

Automatischer Zuordnungsvorschlag. Aus dem erkannten Text sucht unsere Software heraus, zu wem die Sendung gehört. Sie prüft in dieser Reihenfolge: die Kundennummer, dann den im Impressum hinterlegten Projekt- oder Künstlernamen, dann den Klarnamen. Dafür wird der Text mit den Namen aller aktiven Kunden abgeglichen. Passen mehrere Kunden gleich gut, ordnet die Software ausdrücklich nichts zu, sondern meldet „mehrdeutig". Der Vorschlag ist nur ein Vorschlag: Zugeordnet wird eine Sendung erst, wenn ein Mensch aus unserem Team sie bestätigt, und bei geöffneter Post zusätzlich erst nach der oben beschriebenen Vollmachtsprüfung. Eine automatisierte Entscheidung im Sinne des Art. 22 DSGVO ist das deshalb nicht.

Speicherdauer. Der Volltext lebt genau so lange wie der Scan, zu dem er gehört: 24 Monate. Nach Ablauf wird er geleert, nicht nur ausgeblendet. Bei Belegen, die in unsere eigene Buchhaltung laufen, gilt stattdessen die steuerliche Frist von acht Jahren.

8.5 Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO)

Worum es geht. In geöffneter Post kann alles Mögliche stehen. Ein Schreiben deiner Krankenkasse oder deiner Ärztin enthält Gesundheitsdaten. Ein Beitragsbescheid einer Gewerkschaft offenbart deine Gewerkschaftszugehörigkeit, ein Schreiben einer Kirche oder Religionsgemeinschaft deine religiöse Bindung. Auch Angaben zur sexuellen Orientierung, zur ethnischen Herkunft oder zu politischen Meinungen können in einem Brief stehen. Das sind besondere Kategorien personenbezogener Daten nach Art. 9 Abs. 1 DSGVO, für die die DSGVO ein grundsätzliches Verarbeitungsverbot mit engen Ausnahmen aufstellt.

Das gilt für zwei Datensätze zugleich. Für den Scan als Bild und für den daraus erzeugten, durchsuchbaren Volltext. Der Volltext ist dabei der empfindlichere von beiden.

Unsere Rechtsgrundlage. Wir verarbeiten diese Daten ausschließlich auf Grundlage deiner ausdrücklichen Einwilligung nach Art. 9 Abs. 2 Buchstabe a DSGVO. Diese Einwilligung ist in der Scan-Vollmacht enthalten, die du im Kundenkonto erteilst und deren Text du dort vor dem Erteilen liest. Eine andere Ausnahme des Art. 9 Abs. 2 passt auf unseren Fall nicht, und wir stützen uns auch nicht hilfsweise auf eine.

Was das für dich bedeutet. Erteilst du die Scan-Vollmacht nicht oder widerrufst du sie, öffnen wir keine Sendung, erzeugen keinen Scan und keinen Volltext. Du bekommst dann ein Foto des Umschlags und wir leiten die Sendung ungeöffnet weiter. Der Dienst funktioniert also auch ohne diese Einwilligung, nur eben ohne digitale Post. Deine Entscheidung hat keine Auswirkung auf den Preis und auf keine andere Leistung.

Was das für uns bedeutet. Wir behandeln Scans und Volltexte gesondert: eigene Zugriffsrechte, die nur einzelne Teammitglieder haben, protokollierter Zugriff, eine nicht öffentlich erreichbare Ablage, die Möglichkeit, für die betroffenen Team-Konten die Zwei-Faktor-Anmeldung verpflichtend zu schalten, und die kürzeste Frist, die der Dienst verträgt.

Ein Hinweis, den wir dir schuldig sind. Wir können nicht vorher wissen, was in einem Brief steht. Deine Einwilligung deckt deshalb notwendigerweise auch Post ab, deren Inhalt du selbst nicht kennst, solange sie nicht geöffnet ist. Willst du bestimmte Absender vom Öffnen ausnehmen, etwa deine Krankenkasse, schreib uns. Wir vermerken das bei deinem Konto, und die Poststelle leitet Sendungen dieser Absender dann ungeöffnet weiter.

8.6 Daten der Absender

Wenn dir jemand schreibt, verarbeiten wir auch die Daten dieser Person, obwohl wir sie nicht von ihr selbst erhalten haben. Dafür gilt Art. 14 DSGVO.

Kategorien. Name und Anschrift des Absenders, der auf dem Umschlag außen sichtbare Text, bei geöffneten Sendungen zusätzlich der gesamte Inhalt des Schreibens und dessen maschinell erfasster Volltext.

Herkunft. Aus der Sendung selbst.

Zweck und Rechtsgrundlage. Zuordnung und Bearbeitung der Sendung im Auftrag des Empfängers, Art. 6 Abs. 1 Buchstabe f DSGVO. Unser berechtigtes Interesse und das Interesse unseres Kunden ist es, dass Post ihren Empfänger erreicht.

Speicherdauer. Dieselben Fristen wie für die Sendung, zu der die Daten gehören: 24 Monate für Scan und Volltext, 12 Monate für ein von uns beim Erfassen hochgeladenes Umschlagfoto.

Information der Absender. Absender einzeln zu benachrichtigen, wäre bei laufend eingehender Post von wechselnden, uns unbekannten Personen mit unverhältnismäßigem Aufwand verbunden. Wir stützen uns deshalb auf die Ausnahme in Art. 14 Abs. 5 Buchstabe b DSGVO und informieren stattdessen an dieser Stelle öffentlich.

Rechte der Absender. Auch Absender haben die in Abschnitt 2 genannten Rechte und können sich unter kontakt@postsalto.de an uns wenden. Beachte dabei: Der Inhalt eines Briefes gehört auch dem Empfänger. Ein Auskunftsersuchen kann deshalb dort an Grenzen stoßen, wo es die Rechte anderer Personen beeinträchtigen würde (Art. 15 Abs. 4 DSGVO).

8.7 Förmliche Zustellungen

Nimmt unser Team eine förmliche Zustellung für dich entgegen, verarbeiten wir zusätzlich die Angaben der Zustellungsurkunde. Rechtsgrundlage ist Art. 6 Abs. 1 Buchstabe b DSGVO in Verbindung mit der von dir erteilten Empfangs- und Zustellungsvollmacht. Diese Vollmacht ist der Grund, warum deine Anschrift ladungsfähig ist; ohne sie ist sie nur eine Adresse. Den Nachweis, dass und wann du sie erteilt hast, bewahren wir auf, weil er im Streitfall über die Wirksamkeit einer Zustellung entscheidet.

9. Dein E-Mail-Postfach

Was wir verarbeiten. Die von dir gewählte E-Mail-Adresse aus unserer Domain sowie die eingehenden Nachrichten mit Absender, Empfänger, Betreff, Inhalt und Anhängen.

Wozu. Bereitstellung des Postfachs als Teil deines Pakets.

Rechtsgrundlage. Art. 6 Abs. 1 Buchstabe b DSGVO. Für die Daten der Absender gilt Art. 6 Abs. 1 Buchstabe f DSGVO entsprechend Abschnitt 8.6.

Speicherdauer. Bis zur Löschung durch dich oder bis zum Ende des Vertrags. Eine automatische Frist gibt es hier bewusst nicht: Ein Postfach, das seine Nachrichten von selbst wegwirft, ist kein Postfach. Sortiere deshalb selbst aus, was du nicht mehr brauchst.

Volltexte im Datenexport. Der Volltext eingegangener E-Mails und der Volltext von Briefscans stehen nicht in deinem Auskunftsexport. Sie enthalten Daten Dritter, die nie gefragt wurden, und Art. 15 Abs. 4 DSGVO nimmt die Rechte anderer ausdrücklich aus. Absender, Betreff und eine Vorschau stehen im Export, den vollständigen Text liest du im Portal.

10. Bio-Link-Seite und Reichweitenmessung

Deine Seite. Die Inhalte deiner Bio-Link-Seite, einschließlich der dort veröffentlichten Impressumsangaben, sind öffentlich abrufbar. Was du dort einstellst, entscheidest du. Von jeder Veröffentlichung deiner Impressumsangaben bewahren wir eine Fassung auf, damit später nachvollziehbar bleibt, welche Angaben wann öffentlich standen.

Reichweitenmessung ohne Cookies. Wenn jemand deine Seite aufruft, speichern wir Zeitpunkt, angeklickten Link, Herkunftsdomain, eine grobe Geräteklasse (mobil oder Rechner), die Kennung erkannter Suchmaschinen-Bots und einen nicht umkehrbaren Hashwert der IP-Adresse. Der Hashwert wird mit einem täglich wechselnden Zufallswert gebildet, ist nicht zurückrechenbar und wird nach der nächtlichen Tagesauswertung gelöscht. Den vollständigen Browserkennungstext speichern wir nicht, aus ihm leiten wir nur die Geräteklasse und ein etwaiges Bot-Kennzeichen ab.

Kein Zugriff auf das Endgerät. Für die Reichweitenmessung setzen wir weder Cookies noch lokale Speicher ein und erstellen keinen Geräte-Fingerabdruck. Eine Einwilligung nach § 25 TDDDG ist dafür nicht erforderlich, weil kein Zugriff auf die Endeinrichtung stattfindet. Die öffentlichen Kundenseiten liefern wir bewusst ohne Cookies aus. Nur wenn du dort ein Kontaktformular absendest, setzt dein Browser für diesen einen Vorgang ein Sitzungs- und ein Formularschutz-Cookie. Beide sind technisch notwendig und deshalb nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei.

Rechtsgrundlage. Art. 6 Abs. 1 Buchstabe f DSGVO. Berechtigtes Interesse ist eine schlichte Reichweitenstatistik für den Seiteninhaber ohne Nachverfolgung einzelner Personen.

Speicherdauer. Einzelereignisse bis zur nächtlichen Verdichtung, also längstens bis zum Morgen des Folgetags. Danach bleiben nur noch Summen je Tag und Seite, die keiner Person mehr zugeordnet werden können. Diese Summen löschen wir nach 730 Tagen.

11. Kontaktformulare, Support-Tickets und Missbrauchsmeldungen

Was wir verarbeiten. Name, E-Mail-Adresse, Betreff und Inhalt deiner Nachricht sowie hochgeladene Anhänge, bei Missbrauchsmeldungen zusätzlich die Angaben zur beanstandeten Seite.

Wozu. Beantwortung deiner Anfrage, Bearbeitung von Meldungen nach Art. 16 der Verordnung (EU) 2022/2065 (Digital Services Act).

Rechtsgrundlage. Art. 6 Abs. 1 Buchstabe b DSGVO bei Vertragsbezug, sonst Art. 6 Abs. 1 Buchstabe f DSGVO, bei Meldungen zusätzlich Art. 6 Abs. 1 Buchstabe c DSGVO.

Speicherdauer. Anhänge zu Support-Tickets löschen wir 36 Monate nach Abschluss des Tickets. Solange ein Ticket offen ist, läuft keine Frist: Ein Anhang darf nicht mitten im laufenden Vorgang verschwinden. Die 36 Monate decken die regelmäßige Verjährung von Ansprüchen aus dem Vertrag ab (§§ 195, 199 BGB), so lange kann ein Anhang Beweismittel sein. Den Text des Tickets selbst und Missbrauchsmeldungen bewahren wir bis zur Löschung deines Kontos auf, längstens bis zum Ablauf der Verjährungs- und Aufbewahrungsfristen. Schreibst du uns ohne Kundenkonto, etwa vor einer Bestellung oder als Melderin oder Melder, bewahren wir die Nachricht auf, bis der Vorgang erledigt ist und keine Ansprüche mehr daraus entstehen können; du kannst ihre Löschung jederzeit unter kontakt@postsalto.de verlangen.

11.1 Kontaktformular auf der Seite einer Kundin oder eines Kunden

Auf Bio-Link-Seiten kann ein eigenes Kontaktformular eingeschaltet sein. Dieser Abschnitt betrifft dich, wenn du über ein solches Formular schreibst.

Was wir verarbeiten. Deinen Namen, deine E-Mail-Adresse, einen Betreff, falls du einen angibst, und den Text deiner Nachricht.

Wozu und an wen. Wir stellen das Formular nur bereit und leiten deine Nachricht weiter. Empfängerin oder Empfänger ist die Kundin oder der Kunde, deren oder dessen Seite du angeschrieben hast; wir schicken ihr oder ihm deine Angaben unverzüglich per E-Mail. Empfängerkategorie ist damit: Inhaberinnen und Inhaber der bei uns gehosteten Kundenseiten. Was diese Person danach mit deiner Nachricht macht, entscheidet sie selbst und ist dafür auch selbst verantwortlich. Wir werten deine Nachricht nicht aus und verwenden sie zu keinem anderen Zweck. Sie liegt allerdings, wie unten beschrieben, in unserem E-Mail-Protokoll, auf das unser Team im Störungsfall zugreifen kann.

Rechtsgrundlage. Art. 6 Abs. 1 Buchstabe f DSGVO. Berechtigtes Interesse ist auf deiner Seite, die Seiteninhaberin oder den Seiteninhaber überhaupt erreichen zu können, ohne dass du eine private Adresse kennen musst, und auf unserer Seite die Bereitstellung dieser Funktion, die wir unserer Kundschaft vertraglich schulden (Art. 6 Abs. 1 Buchstabe b DSGVO im Verhältnis zu ihr).

Speicherdauer. Deine Nachricht bleibt zusammen mit der Weiterleitungs-E-Mail 90 Tage im Inhalt unseres E-Mail-Protokolls stehen, damit sich Zustellprobleme nachvollziehen und die Nachricht nötigenfalls erneut versenden lässt. Danach löschen wir den Inhalt, siehe Abschnitt 13.

Dein Widerspruchsrecht. Weil wir uns auf ein berechtigtes Interesse stützen, kannst du dieser Verarbeitung nach Art. 21 DSGVO widersprechen. Schreib uns dafür an kontakt@postsalto.de.

11.2 Wenn du unseren Team-Postfächern schreibst

Schreibst du an eine unserer Adressen, etwa kontakt@postsalto.de, holt unsere Software die Nachricht aus dem Postfach ab und legt sie im Adminbereich ab, damit sie nicht in einem einzelnen Postfach liegen bleibt und unbeantwortet bleibt. Gespeichert werden Absendername, Absenderadresse, Empfängeradresse, Betreff, der vollständige Text und der Zeitpunkt. Kennen wir deine Adresse aus einem Kundenkonto, verknüpfen wir die Nachricht damit. Rechtsgrundlage ist Art. 6 Abs. 1 Buchstabe b DSGVO bei Vertragsbezug, sonst Art. 6 Abs. 1 Buchstabe f DSGVO mit dem Interesse, Anfragen zuverlässig zu beantworten. Diese Nachrichten löschen wir mit dem zugehörigen Kundenkonto; geschäftlicher E-Mail-Verkehr unterliegt daneben der sechsjährigen Aufbewahrungsfrist für Geschäftsbriefe (§ 147 Abs. 3 Satz 1 AO).

12. Newsletter

Anmeldung im Doppel-Bestätigungsverfahren. Nach der Anmeldung schicken wir dir eine E-Mail mit einem Bestätigungslink. Erst wenn du ihn anklickst, nehmen wir dich in den Verteiler auf.

Was wir verarbeiten. E-Mail-Adresse, IP-Adresse der Anmeldung, Zeitpunkt der Anmeldung und der Bestätigung. Die IP-Adresse dient allein dem Nachweis, dass die Anmeldung von dir kam.

Rechtsgrundlage. Art. 6 Abs. 1 Buchstabe a DSGVO, für den Nachweis der Anmeldung Art. 6 Abs. 1 Buchstabe f DSGVO.

Widerruf. In jeder Newsletter-Mail steht ein Abmeldelink. Nach der Abmeldung speichern wir deine Adresse nur noch, um zu verhindern, dass du erneut angeschrieben wirst.

Unzustellbare Adressen. Kommt eine E-Mail dauerhaft zurück, merken wir uns die Adresse in einer Sperrliste, damit wir sie nicht weiter anschreiben. Rechtsgrundlage ist Art. 6 Abs. 1 Buchstabe f DSGVO, unser Interesse ist die Zustellfähigkeit unserer E-Mails.

13. Benachrichtigungen und E-Mail-Protokoll

E-Mail. Wir schicken dir Systemnachrichten, etwa über eingegangene Post, Rechnungen oder Fristen. Rechtsgrundlage: Art. 6 Abs. 1 Buchstabe b DSGVO. Diese Nachrichten gehören zur Leistung und lassen sich nicht abbestellen, solange der Vertrag läuft.

Push-Benachrichtigungen. Aktivierst du sie, speichern wir die technische Kennung deines Browsers oder Geräts. Rechtsgrundlage: Art. 6 Abs. 1 Buchstabe a DSGVO. Du kannst sie jederzeit im Portal oder in deinem Browser wieder abschalten.

Wer unsere E-Mails versendet. Wir versenden über die Postfächer unseres Hosters IONOS SE, Montabaur, per SMTP. Ein gesonderter E-Mail-Versanddienstleister ist nicht eingeschaltet.

Keine Zählpixel. Unsere E-Mails enthalten kein unsichtbares Bild, das uns meldet, ob und wann du eine Nachricht geöffnet hast. Was wir über eine E-Mail wissen, ist, ob unser Server sie abgeliefert bekommen hat, nicht, ob du sie gelesen hast.

E-Mail-Protokoll. Wir protokollieren zu jeder versendeten Nachricht Empfänger, Betreff, Zeitpunkt, Zustellstatus und die Angaben, mit denen die Vorlage gefüllt wurde. Diese Angaben können den Inhalt der Nachricht enthalten, etwa den Text einer weitergeleiteten Kontaktanfrage. Nur beim Link zum Zurücksetzen des Passworts speichern wir sie ausdrücklich nicht, damit der Link nicht in der Datenbank steht. Zweck ist, Zustellprobleme nachvollziehen und eine Nachricht nötigenfalls erneut senden zu können. Rechtsgrundlage: Art. 6 Abs. 1 Buchstabe f DSGVO.

Speicherdauer des E-Mail-Protokolls. Wir unterscheiden zwei Teile. Den Inhalt, also die eingesetzten Angaben und damit den Text der Nachricht, löschen wir nach 90 Tagen. Erneut senden ist ein Werkzeug für den laufenden Vorgang; eine Nachricht von vor einem Vierteljahr wird neu erzeugt und nicht nachgeschickt. Die Kopfzeile, also dass und wann wir dir etwas geschickt haben und ob es ankam, bleibt so lange stehen, wie wir sie als Nachweis brauchen, längstens bis zur Löschung deines Kontos. Sie ist die Antwort auf die Rückfrage „die Rechnung kam nie an".

14. Kündigungen und Widerrufe

Erklärst du eine Kündigung oder einen Widerruf über unser Formular, verarbeiten wir Name, E-Mail-Adresse, Kundennummer, Art und Zeitpunkt der Erklärung sowie einen etwaigen Grund. Wir müssen den Zugang dokumentieren, weil § 312k BGB das verlangt, die Vorschrift zum Kündigungsbutton. Rechtsgrundlage: Art. 6 Abs. 1 Buchstabe c DSGVO und Art. 6 Abs. 1 Buchstabe b DSGVO. Speicherdauer: bis zum Ablauf der gesetzlichen Verjährungs- und Aufbewahrungsfristen. Der Kündigungsbutton steht jedem offen, auch ohne Anmeldung; kündigst du ohne angemeldet zu sein, haben wir zu dir zunächst nur Name und Adresse aus dem Formular.

15. Empfänger deiner Daten

Wir geben Daten nur weiter, wenn es dafür eine Rechtsgrundlage gibt. Empfänger sind:

Empfänger	Wofür	Grundlage
IONOS SE, Montabaur	Betrieb von Website, Portal, Datenbank und E-Mail-Postfächern, Versand unserer E-Mails	Auftragsverarbeitung, Art. 28 DSGVO
Stripe Payments Europe, Limited, Dublin	Zahlungsabwicklung und Verwaltung deines Abonnements	Art. 6 Abs. 1 Buchstabe b DSGVO
Stripe Payments Europe, Limited, Dublin, und Stripe, LLC, Vereinigte Staaten	automatisierte Identitätsprüfung einschließlich Gesichtsabgleich, nur wenn du diesen Weg wählst und ausdrücklich einwilligst	Art. 9 Abs. 2 Buchstabe a DSGVO. Stripe ist dabei eigenständig Verantwortlicher, nicht unser Auftragsverarbeiter
Deutsche Post AG und DHL	Weiterleitung deiner Post	Art. 6 Abs. 1 Buchstabe b DSGVO, die Dienstleister handeln eigenverantwortlich
Inhaberin oder Inhaber der angeschriebenen Kundenseite	Weiterleitung deiner Nachricht aus dem Kontaktformular dieser Seite	Art. 6 Abs. 1 Buchstabe f DSGVO, siehe Abschnitt 11.1
Steuerberatung, sofern beauftragt	Buchführung und Jahresabschluss	Art. 6 Abs. 1 Buchstabe c DSGVO
Push-Dienst deines Browsers (zum Beispiel Google, Mozilla, Apple)	Zustellung von Push-Benachrichtigungen, nur wenn du sie eingeschaltet hast	Art. 6 Abs. 1 Buchstabe a DSGVO. Der Inhalt ist dabei Ende zu Ende verschlüsselt
Gerichte und Behörden	nur bei gesetzlicher Verpflichtung	Art. 6 Abs. 1 Buchstabe c DSGVO

Keine Texterkennung durch Dritte. Die Texterkennung deiner Post läuft auf unserer eigenen Anlage in der Poststelle. Ein Cloud-Dienst für Texterkennung ist nicht eingeschaltet, siehe Abschnitt 8.4.

Kein Analyse- oder Fehlerberichtsdienst. Wir setzen weder einen Webanalysedienst noch einen externen Dienst für Fehlerberichte ein. Fehler unserer Software protokollieren wir ausschließlich auf unserem eigenen Server.

Konkrete Empfänger auf Nachfrage. Diese Tabelle nennt Empfänger und Empfängerkategorien. Fragst du nach Art. 15 Abs. 1 Buchstabe c DSGVO nach, teilen wir dir die konkreten Empfänger mit, an die deine Daten tatsächlich weitergegeben wurden.

Eine Weitergabe deiner Daten zu Werbezwecken an Dritte findet nicht statt.

16. Wie lange wir speichern

16.1 Fristen im Überblick

Datenart	Dauer
Zugriffsprotokolle unseres Webspace beim Hoster	höchstens 8 Wochen, dann automatische Löschung durch IONOS
Logfiles, die IONOS für eigene Sicherheits- und Betriebszwecke führt	wenige Tage bis höchstens 60 bis 90 Tage, Angabe von IONOS
Kundenkonto und Profil	bis zur Löschung, danach nur noch aufbewahrungspflichtige Daten
Sitzungsdaten mit IP-Adresse und Browserkennung	bis zum Ende der Sitzung, spätestens 120 Minuten nach der letzten Aktivität
Anmeldeprotokoll	90 Tage
Rechnungen und Buchungsbelege	8 Jahre ab Schluss des Kalenderjahres (§ 147 Abs. 3 Satz 1, Abs. 4 AO, § 14b Abs. 1 Satz 1 UStG)
Bücher, Aufzeichnungen und Jahresabschlüsse	10 Jahre (§ 147 Abs. 3 Satz 1 AO)
Geschäftsbriefe, dazu zählt auch der geschäftliche E-Mail-Verkehr	6 Jahre (§ 147 Abs. 3 Satz 1 AO)
Ereignismeldungen von Stripe: Rohdaten	90 Tage, danach nur noch ein Verarbeitungsvermerk
Ereignismeldungen von Stripe: verbleibende Zeile	730 Tage
Ausweisbilder	30 Tage nach der Entscheidung, längstens 180 Tage ab Upload
Abgebrochene oder liegengebliebene Prüfung bei Stripe Identity	30 Tage, dann Abbruch und Schwärzung bei Stripe
Prüfvermerk der Identitätsprüfung	dauerhaft, als Nachweis der erfolgten Prüfung
Briefscans als PDF	24 Monate
OCR-Volltext eines Briefscans	24 Monate, danach geleert
Umschlagfotos aus dem Wareneingang, mit dem Telefon aufgenommen	24 Monate, zusammen mit dem daraus erkannten Text
Umschlagfotos, die wir beim Erfassen einer Sendung hochladen	12 Monate
Originalsendungen nach dem Scan	feste Hausfrist, danach datenschutzgerechte Vernichtung. Die Software löscht hier nichts automatisch, jede Vernichtung ist eine protokollierte Einzelentscheidung. Frist siehe Hinweis unter dieser Tabelle
Angekündigte Sendungen, die nie ankamen	Frist 60 Tage, Löschung 180 Tage nach Fristablauf
Anhänge zu Support-Tickets	36 Monate ab Abschluss des Tickets
Support-Tickets, Missbrauchsmeldungen und E-Mails an unsere Team-Postfächer	bis zur Löschung des Kontos. Soweit ein Schreiben als Geschäftsbrief gilt, bleibt es bis zum Ablauf der sechsjährigen Aufbewahrungsfrist
Nachweise zu Einwilligungen und Vollmachten	solange sie als Nachweis gebraucht werden, längstens bis zum Ablauf der achtjährigen Aufbewahrungsfrist für die Rechnungen desselben Vertragsverhältnisses. Bei einer Löschung streichen wir sofort IP-Adresse und Browserkennung aus dem Nachweis
Cookie-Entscheidung auf deinem Gerät	6 Monate
Nachweis deiner Cookie-Entscheidung bei uns	12 Monate, also 6 Monate Laufzeit plus 6 Monate Nachlauf
Änderungsprotokoll unserer Systeme	730 Tage. Einträge zu Buchungen, Rechnungen und Zahlungen bleiben 9 Jahre, weil sie Teil des steuerlichen Nachweises sind
E-Mail-Protokoll: Inhalt der Nachricht	90 Tage
E-Mail-Protokoll: Empfänger, Betreff, Zeitpunkt und Status	bis zur Löschung des Kontos
Datei deines Datenexports nach Art. 15 DSGVO	14 Tage ab Erstellung
Einzelne Zugriffsereignisse der Bio-Link-Statistik	bis zur nächtlichen Verdichtung, längstens bis zum Morgen des Folgetags
Verdichtete Tageswerte der Bio-Link-Statistik	730 Tage
Interne Benachrichtigungen unseres Teams	90 Tage
Fehlgeschlagene Hintergrundaufträge	30 Tage

Zu den Originalsendungen. Diese Zeile kann nur der Betreiber ausfüllen, sie ist eine Hausregel der Poststelle und keine Frist der Software. Die Angabe steht im Block „Noch einzutragen" am Ende dieses Textes.

Warum acht Jahre und kein Handelsrecht. Seit dem 1. Januar 2025 sind Rechnungen und Buchungsbelege acht statt zehn Jahre aufzubewahren (§ 147 Abs. 3 Satz 1 AO, § 14b Abs. 1 Satz 1 UStG). Die handelsrechtlichen Fristen des § 257 HGB gelten für Kaufleute und treffen auf eine Gesellschaft bürgerlichen Rechts wie uns regelmäßig nicht zu. Für Bücher, Aufzeichnungen und Jahresabschlüsse bleibt es nach der Abgabenordnung bei zehn Jahren.

Was passiert, wenn eine Frist abläuft. Ein nächtlicher Lauf entfernt die abgelaufenen Daten, und zwar die Zeile in der Datenbank und die Datei auf der Platte. Wo ein Nachweis bestehen bleiben muss, etwa dass ein Brief eingegangen ist, bleibt nur dieser Nachweis stehen und der Inhalt verschwindet. Die weitere Aufbewahrung nach Ablauf einer Frist wäre keine Vorsichtsmaßnahme, sondern ein Verstoß gegen den Grundsatz der Speicherbegrenzung (Art. 5 Abs. 1 Buchstabe e DSGVO).

16.2 Was bei einer Löschung wirklich passiert

Beantragst du die Löschung, arbeiten wir sie in drei Schritten ab. Wir beschreiben sie hier so genau, weil „gelöscht" ein Wort ist, das oft mehr verspricht, als dahintersteht.

Erstens, hart gelöscht wird alles, was keiner Aufbewahrungspflicht unterliegt. Dazu zählen dein Login samt Passwort, Zwei-Faktor-Geheimnis und Passkeys, dein Profil, deine Poststücke und deren Scans einschließlich des OCR-Volltexts, dein E-Mail-Postfach mit allen Anhängen, deine Bio-Link-Seite samt Profilbild, deine hochgeladenen Nachweise, deine angekündigten Sendungen, deine Support-Tickets, interne Vermerke über dich, dein Anmeldeprotokoll und deine Push-Anmeldungen. Die zugehörigen Dateien werden von der Platte entfernt, nicht nur die Verweise darauf. Bleibt eine Datei liegen, weil ein aufbewahrungspflichtiger Buchungsbeleg noch auf sie zeigt, wird das ausdrücklich vermerkt statt stillschweigend übergangen.

Zweitens, aufbewahrungspflichtige Daten bleiben, werden aber zusammengestrichen. Das erlaubt Art. 17 Abs. 3 Buchstabe b DSGVO ausdrücklich: Die Löschpflicht gilt nicht, soweit eine rechtliche Verpflichtung zur Aufbewahrung besteht. Konkret bleiben:

• Rechnungen mit ihren Positionen und Zahlungen (§ 14b Abs. 1 Satz 1 UStG, § 147 Abs. 1 Nr. 2 und 3 AO),
• Buchungen und Buchungsbelege (§ 147 Abs. 1 Nr. 4 AO),
• der Nachweis, wann du welchen Rechtstext angenommen hast, und
• die Nachweise über deine Einwilligungen und Vollmachten, also die Scan-Vollmacht, die Empfangs- und Zustellungsvollmacht, deine Zustimmung zum sofortigen Leistungsbeginn und eine etwaige biometrische Einwilligung. Sie tragen wir nach Art. 17 Abs. 3 Buchstabe e DSGVO zur Geltendmachung und Verteidigung von Rechtsansprüchen. Ohne die Scan-Vollmacht hätten wir gegen eine Anzeige nach § 202 StGB keinen Gegenbeweis, und deren Verfolgung verjährt nicht sofort.

Aus diesen verbleibenden Daten entfernen wir sofort, was für den gesetzlichen Zweck nicht gebraucht wird: IP-Adresse und Browserkennung aus allen Nachweisen, Geburtsdatum, Telefonnummer und Wunschname aus dem Rechnungsprofil, den Grund einer abgelehnten Kartenzahlung, Freitextnotizen an Buchungen und den Grund einer Erstattung. Name, Firma und Anschrift bleiben im Rechnungsprofil stehen, weil § 14 Abs. 4 Satz 1 Nr. 1 UStG sie auf der Rechnung verlangt und die aufbewahrte Rechnung aus genau dieser Zeile gebaut wird.

Drittens, dein Kundendatensatz. Gibt es nichts Aufbewahrungspflichtiges, wird auch er gelöscht. Gibt es etwas, bleibt er bestehen, aber gesperrt: jeder Zugang geschlossen, aus allen Listen genommen, Werbecodes und interne Freitexte entfernt, mit einem festen Datum versehen, an dem die Aufbewahrung endet. Danach fällt auch er.

Was ebenfalls mitgeht. Wir räumen bei dieser Gelegenheit die Stellen mit, die man leicht übersieht: die Zwischenspeicher deiner öffentlichen Seite, damit sie nicht weiter mit deinem Namen abrufbar bleibt, die Rohdaten der Stripe-Ereignismeldungen zu deiner Person, die Sperrliste für unzustellbare Adressen, deine Newsletter-Anmeldung und wartende oder fehlgeschlagene Hintergrundaufträge, in denen dein Name und deine Anschrift stecken könnten.

Der Nachweis der Löschung bleibt. Dass gelöscht wurde, halten wir fest, mit Kundennummer, Zeitpunkt und Umfang, ohne Inhalte. Diesen Nachweis verlangt die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO von uns.

Antwortzeit. Wir antworten dir innerhalb eines Monats (Art. 12 Abs. 3 DSGVO) und sagen dir, was gelöscht wurde und was aus welchem Grund bleiben musste.

17. Datensicherheit

Art. 32 DSGVO verlangt technische und organisatorische Maßnahmen, die zum Risiko passen. Weil bei uns fremde Briefpost verarbeitet wird, ist dieses Risiko hoch. Wir setzen deshalb ein:

• Verschlüsselte Übertragung. Die Verbindung zu unserer Website und zum Portal ist durchgehend mit TLS verschlüsselt. Wir setzen HSTS, dein Browser verbindet sich also gar nicht erst unverschlüsselt. Das Sitzungs-Cookie ist als „secure" gesetzt und wird nur über verschlüsselte Verbindungen übertragen.
• Passwörter nur als Hashwert. Passwörter speichern wir ausschließlich als nicht umkehrbaren bcrypt-Hashwert. Wir können dein Passwort nicht lesen und dir deshalb auch nicht nennen. Beim Setzen erzwingen wir eine Mindestlänge.
• Zwei-Faktor-Anmeldung und Passkeys. Beides steht dir offen. Passkeys sind an unsere Domain gebunden, eine nachgebaute Anmeldeseite bekommt den Schlüssel deshalb nicht. Für Team-Konten lässt sich die Zwei-Faktor-Anmeldung verpflichtend schalten; dort liegen Ausweiskopien und die Post anderer Menschen, ein Passwort allein ist dafür zu wenig. Setzt jemand aus dem Team eine zweite Stufe zurück, muss dabei angegeben und protokolliert werden, wie die Identität geprüft wurde.
• Rechte statt Vertrauen. Der Zugriff auf Post, Scans und Ausweiskopien hängt an eigenen Rechten, die einzeln vergeben werden, nicht daran, dass jemand ohnehin im Adminbereich ist. Jede Abfrage ist zusätzlich fest auf einen Kunden eingegrenzt: Ein Fremdzugriff scheitert an der Berechtigung, nicht erst daran, dass etwas nicht angezeigt wird.
• Protokollierter Zugriff. Jeder Zugriff auf Post und Nachweise wird protokolliert, ebenso jede Änderung an Kundendaten, jede Freischaltung, jede Ablehnung und jede Postentscheidung. Das Protokoll ist so angelegt, dass Einträge nur hinzukommen und nicht überschrieben werden.
• Nicht öffentliche Ablage. Scans, Umschlagfotos, Ausweiskopien und Belege liegen auf einer Ablage, die über das Web nicht direkt erreichbar ist. Jeder Abruf läuft über eine Prüfung, ob die abrufende Person Eigentümerin der Datei ist, und bei Umschlagfotos zusätzlich über eine Prüfung der Dokumentart, damit über diesen Weg kein Ausweisbild ausgeliefert werden kann.
• Schutzangaben an den Browser. Jede Antwort unseres Servers trägt Kopfzeilen, die deinen Browser absichern: Unsere Seiten dürfen nicht in einen fremden Rahmen gelegt werden, damit niemand deine Klicks abfängt, der Browser soll den mitgelieferten Dateityp glauben statt zu raten, und beim Klick auf einen fremden Link geben wir die Adresse der Portalseite nicht mit, auf der du gerade warst.
• Fremde Zugangsdaten verschlüsselt. Die Zugangsdaten zu unseren E-Mail-Postfächern liegen verschlüsselt in der Datenbank, nicht im Klartext.
• Getrennte Zugänge für Geräte. Das Scan-Werkzeug und die Telefone in der Poststelle melden sich mit eigenen, einzeln sperrbaren Zugangsschlüsseln an. Bei uns liegt davon nur ein Hashwert. Ein Gerät kommt nur an die Aufnahmen heran, die es selbst gemacht hat.
• Datenminimierung durch Automatik. Die Fristen aus Abschnitt 16 werden nicht von Hand eingehalten, sondern jede Nacht von einem Aufräumlauf vollzogen. Dass ein Löschtermin vergessen wird, ist damit kein Thema der Aufmerksamkeit mehr, sondern eines der Software.
• Nichts, was nicht gebraucht wird. Die Seitenbilder eines Scans werden gelöscht, sobald das PDF daraus erzeugt ist. Was nicht mehr da ist, kann keine Löschung verpassen.
• Die Poststelle selbst. Sie ist verschlossen, und unbearbeitete Post liegt dort nicht offen herum. Die beste Verschlüsselung nützt nichts, wenn der Umschlag auf einem Tisch liegt.
• Rechenzentrum. Unsere Server stehen bei der IONOS SE in Deutschland, in nach ISO 27001 zertifizierten Rechenzentren.
• Sicherungskopien. Unsere Daten werden täglich durch IONOS gesichert. Eine Löschung wirkt in den laufenden Beständen sofort; aus turnusmäßigen Sicherungen verschwinden die Daten, sobald die jeweilige Sicherung überschrieben wird.
• Überwachung des Betriebs. Eine stündliche Betriebswache meldet uns ausgefallene Hintergrundarbeit, stehende Warteschlangen und E-Mails, die nicht rausgehen. Ein Ausfall fällt damit binnen Minuten auf statt nach Tagen.

Keine Maßnahme dieser Art ist ein Versprechen absoluter Sicherheit. Wird trotzdem eine Verletzung des Schutzes deiner Daten bekannt, melden wir sie der Aufsichtsbehörde binnen 72 Stunden (Art. 33 DSGVO) und informieren dich, wenn ein hohes Risiko für dich besteht (Art. 34 DSGVO).

18. Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, wenn sich unsere Verarbeitung oder die Rechtslage ändert. Es gilt jeweils die auf dieser Seite veröffentlichte Fassung. Ändert sich etwas Wesentliches an dem, was wir mit deinen Daten tun, sagen wir dir das aktiv und holen, wo nötig, eine neue Einwilligung ein, statt uns auf eine alte zu berufen.

Stand: 27.08.2026

Noch einzutragen

Die folgenden Angaben kann nur der Betreiber liefern. Sie stehen bewusst gesammelt hier und nicht verstreut im Text, damit sie beim Veröffentlichen nicht übersehen werden.

1. Telefonnummer. Gehört in Abschnitt 1 neben die E-Mail-Adresse. Art. 13 Abs. 1 Buchstabe a DSGVO verlangt die Kontaktdaten des Verantwortlichen, und § 5 DDG verlangt für das Impressum ohnehin eine schnelle Kontaktaufnahme. Sobald die Nummer feststeht, gehört sie in beide Texte.

2. Datenschutzbeauftragte oder Datenschutzbeauftragter. Zu klären ist, ob eine Benennungspflicht besteht, und falls ja, sind Name und Kontaktdaten in Abschnitt 1 aufzunehmen (Art. 13 Abs. 1 Buchstabe b DSGVO). Die Frage ist hier nicht akademisch, und drei Wege führen zur Pflicht. Erstens die Kopfzahl: Die Schwelle des § 38 Abs. 1 Satz 1 BDSG, in der Regel mindestens 20 Personen, die ständig mit automatisierter Verarbeitung beschäftigt sind, wird bei zwei Gesellschaftern nicht erreicht. Zweitens Art. 37 Abs. 1 Buchstabe c DSGVO: Er knüpft nicht an die Kopfzahl an, sondern daran, ob die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Kategorien besteht. Dass das Öffnen und Volltext-Erfassen fremder Post die Kerntätigkeit ist, liegt auf der Hand; offen ist allein das Merkmal „umfangreich", und dafür kommt es nach den Leitlinien WP243 auf Zahl der Betroffenen, Datenvolumen, Dauer und geografische Ausdehnung an. Drittens, und praktisch am wichtigsten, § 38 Abs. 1 Satz 2 BDSG: Ist die Verarbeitung einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO unterworfen, besteht die Pflicht unabhängig von der Personenzahl. Genau das ist hier naheliegend, denn Nummer 3 der Muss-Liste der Datenschutzkonferenz nennt die umfangreiche Verarbeitung von Daten, die einem Berufs- oder Sozialgeheimnis unterliegen, und Arztbriefe, Anwaltspost und Krankenkassenpost sind der Alltag eines Postscan-Dienstes. Zu entscheiden ist deshalb beides zusammen: Datenschutz-Folgenabschätzung und Benennung. Die Bewertung gehört in anwaltliche Hände, deshalb steht hier keine Behauptung.

3. Aufbewahrungsfrist und Vernichtungsstandard für die Papieroriginale. Einzutragen in Abschnitt 8.3 und in die Tabelle in Abschnitt 16.1. Die Software kennt hier keine Frist: Vernichtung ist bei uns immer eine Einzelentscheidung mit Grund und Protokoll. Für die Poststelle braucht es trotzdem eine Hausregel, wie lange Papier nach dem Scan liegen bleibt. Zum Standard: Für Post, in der Gesundheitsdaten stehen können, ist DIN 66399, Schutzklasse 2, Sicherheitsstufe P-4 üblich und angemessen. Einzutragen ist, was der tatsächlich eingesetzte Aktenvernichter leistet oder was der beauftragte Entsorger bestätigt; eine Angabe, die das Gerät nicht erreicht, wäre schlechter als keine. Beide Werte müssen mit dem Text der Scan-Vollmacht übereinstimmen, dort steht dieselbe Lücke. Zu bedenken: Fristsachen und Post von Gerichten, Behörden und Inkassostellen bleiben von jeder Vernichtungsregel ausgenommen.

4. Name und Anschrift der Steuerberatung, falls beauftragt. Einzutragen in die Empfängertabelle in Abschnitt 15. Solange keine Steuerberatung beauftragt ist, ist die Zeile zu streichen, statt sie vorsorglich stehen zu lassen.

5. Aufbewahrungsdauer der Sicherungskopien. Einzutragen in Abschnitt 17. Gemeint ist, nach welcher Zeit eine turnusmäßige Sicherung überschrieben wird, denn davon hängt ab, wie lange gelöschte Daten dort noch stecken. Die Angabe zur täglichen Sicherung durch IONOS kommt vom Hoster. Die eigene Deploy-Dokumentation sieht daneben einen täglichen Datenbank-Auszug vor, der 14 Tage auf dem Server bleibt, plus eine wöchentliche lokale Kopie. Bevor diese Zahl hier im Text steht, muss belegt sein, dass dieser Auszug tatsächlich läuft: In der Livegang-Checkliste ist der Punkt noch offen, und eine Sicherung, die niemand laufen sah, ist keine.

6. Feste Löschfrist für Support-Tickets und Missbrauchsmeldungen. Der Text nennt in Abschnitt 11 und in der Tabelle in Abschnitt 16.1 als Kriterium die Löschung des Kontos und die gesetzliche Aufbewahrung für Geschäftsbriefe. Das ist als Kriterium nach Art. 13 Abs. 2 Buchstabe a DSGVO tragfähig, aber es ist keine Frist. Anders als bei Scans, Umschlagfotos und Ticket-Anhängen gibt es für den Ticket-Text selbst bislang keinen automatischen Löschlauf. Der Betreiber sollte eine Frist festlegen und sie in der Software hinterlegen; danach gehört sie hier in den Text. Bis dahin bleibt die vorsichtige Formulierung stehen, weil sie beschreibt, was tatsächlich passiert.

7. Gewählte Aufbewahrungsfristen der Poststelle, falls sie von den hier genannten abweichen. Die Fristen für Briefscans (24 Monate), Umschlagfotos (12 Monate) und Ticket-Anhänge (36 Monate) sind in der Software einstellbar. Wird einer dieser Werte im Adminbereich unter Einstellungen, Poststelle geändert, muss derselbe Wert in Abschnitt 8.3, 8.4, 8.6, 11 und in der Tabelle in Abschnitt 16.1 nachgezogen werden. Ein Text, der eine andere Frist nennt als die Software vollzieht, ist schlechter als gar keiner.