1. Verantwortlicher
Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:
ElementarySupplies UG (haftungsbeschränkt)
Ringbahnstr. 42
12099 Berlin
Germany
E-Mail: support@postbox.so
Telefon: +49 (0) 30 / 398 216 398
Datenschutzbeauftragter
Andreas Wieser
Anschrift siehe oben
E-Mail: hello@postbox.so
2. Übersicht der Datenverarbeitungen
Postbox ist ein Analyse-Tool für öffentliche Social-Media-Profile. Wir verarbeiten personenbezogene Daten nur, soweit dies für die Bereitstellung unserer Dienste erforderlich ist. Diese Datenschutzerklärung informiert dich darüber, welche Daten wir erheben, zu welchem Zweck und auf welcher Rechtsgrundlage.
3. Hosting und Serverstandort
Unsere Server stehen in Deutschland. Sämtliche Daten werden auf Servern innerhalb der Bundesrepublik Deutschland verarbeitet und gespeichert. Die Kommunikation zwischen deinem Browser und unseren Servern ist durchgehend per SSL/TLS verschlüsselt.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer sicheren und performanten Bereitstellung unseres Angebots).
4. Zugriffsdaten und Server-Logfiles
Bei jedem Aufruf unserer Website werden automatisch folgende Daten durch den Webserver erfasst:
IP-Adresse des anfragenden Geräts
Datum und Uhrzeit des Zugriffs
Aufgerufene Seite bzw. Datei
HTTP-Statuscode
Übertragene Datenmenge
Referrer-URL (zuvor besuchte Seite)
Browser-Typ und Version
Betriebssystem
Diese Daten werden für den technischen Betrieb, die Erkennung von Angriffen und die Fehleranalyse benötigt. Server-Logfiles werden regelmäßig rotiert und nach kurzer Zeit gelöscht.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit und Stabilität unseres Angebots).
5. Registrierung und Benutzerkonto
Für die Nutzung unserer Dienste ist eine Registrierung erforderlich. Dabei erheben wir folgende Daten:
Name – zur Personalisierung deines Kontos
E-Mail-Adresse – zur Anmeldung, Verifizierung und Kommunikation
Passwort – wird ausschließlich als kryptografischer Hash (bcrypt) gespeichert; dein Klartext-Passwort ist uns zu keinem Zeitpunkt bekannt
Zeitzone – zur korrekten Darstellung von Zeitangaben
Dein Benutzerkonto kannst du jederzeit in den Einstellungen verwalten. Du kannst die Löschung deines Kontos per E-Mail an uns beantragen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung – Bereitstellung des Dienstes).
6. Anmeldung über Google (OAuth)
Alternativ bieten wir die Anmeldung über dein Google-Konto an. Dabei werden folgende Daten von Google an uns übermittelt:
Name
E-Mail-Adresse
Profilbild-URL
Wir erhalten keinen Zugriff auf weitere Daten deines Google-Kontos (z. B. Kontakte, Google Drive oder Suchverlauf). Die Übermittlung erfolgt ausschließlich zur Authentifizierung und Kontoerstellung.
Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (Muttergesellschaft: Google LLC, USA).
Datenschutzerklärung: policies.google.com/privacy
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung – Bereitstellung einer alternativen Anmeldemethode).
7. Zwei-Faktor-Authentifizierung (2FA)
Du kannst optional eine Zwei-Faktor-Authentifizierung aktivieren. Dabei werden folgende zusätzliche Daten gespeichert:
2FA-Secret – verschlüsselt gespeichert, zur Generierung der Einmalpasswörter
Wiederherstellungscodes – verschlüsselt gespeichert, für den Notfallzugang
Diese Daten werden bei Deaktivierung der 2FA sofort gelöscht.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung – Kontosicherheit auf deinen Wunsch).
8. Session-Daten und Cookies
Wir verwenden ausschließlich technisch notwendige Cookies. Werbe- oder Tracking-Cookies werden nicht eingesetzt.
Eingesetzte Cookies
Session-Cookie – Identifiziert deine aktive Sitzung. Ablauf: nach 120 Minuten Inaktivität. Attribute: HttpOnly, Secure, SameSite=Lax.
CSRF-Token-Cookie – Schützt Formulare vor Cross-Site-Request-Forgery-Angriffen.
Remember-Me-Cookie (optional) – Hält deine Anmeldung über mehrere Browser-Sitzungen aufrecht, falls du diese Funktion nutzt.
In der Session gespeicherte Daten
Die serverseitige Session speichert neben dem Sitzungsstatus auch deine IP-Adresse und deinen User-Agent (Browser-Kennung). Diese Daten werden nach Ablauf der Sitzung automatisch gelöscht.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO i. V. m. § 25 Abs. 2 TDDDG (technisch unbedingt erforderliche Cookies; keine Einwilligung nötig).
9. Kontaktformular
Wenn du unser Kontaktformular nutzt, erheben wir folgende Daten:
Name
E-Mail-Adresse
Telefonnummer (optional)
Thema der Anfrage
Nachrichtentext
Dateianhänge (optional)
Zusätzlich speichern wir deine IP-Adresse und den User-Agent zum Schutz vor Missbrauch. Die Anfrage wird per E-Mail an uns weitergeleitet und in unserer Datenbank archiviert, damit wir sie bearbeiten können.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bearbeitung von Anfragen).
Speicherdauer: Kontaktanfragen werden so lange gespeichert, wie es für die Bearbeitung und etwaige Nachfragen erforderlich ist.
10. Feedback-Formular
Eingeloggte Nutzer können über ein Feedback-Formular Fehlermeldungen und Verbesserungsvorschläge einreichen. Dabei werden erfasst:
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verbesserung unseres Dienstes).
11. E-Mail-Kommunikation
Wir versenden folgende Arten von E-Mails:
Verifizierung – Bestätigung deiner E-Mail-Adresse bei Registrierung
Passwort-Reset – Einmaliger Link zum Zurücksetzen deines Passworts (gültig für 60 Minuten)
Benachrichtigungen – Informationen zu Aktivitäten in deinem Konto (z. B. abgeschlossene Importe, Statusänderungen)
Kontaktformular – Weiterleitung deiner Anfrage
Du kannst Art und Umfang der Benachrichtigungs-E-Mails in deinen Kontoeinstellungen konfigurieren. Es ist zudem möglich, Ruhezeiten festzulegen, in denen keine Benachrichtigungen versendet werden.
Wir protokollieren den Versand von E-Mails (Empfänger, Typ, Zeitpunkt, Zustellstatus) zur Fehleranalyse und Missbrauchsvermeidung.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Kommunikation mit Nutzern).
12. Verarbeitung öffentlicher Social-Media-Daten
Die Kernfunktion von Postbox ist die Analyse öffentlich zugänglicher Social-Media-Profile. Dabei verarbeiten wir ausschließlich Daten, die von den Profilinhabern selbst öffentlich zugänglich gemacht wurden:
Öffentlicher Benutzername und Profilname
Öffentliches Profilbild
Öffentlich einsehbare Followerzahlen, Abonnentenzahlen und Aufrufzahlen
Öffentliche Beitrags- und Videoanzahl
Öffentliche Engagement-Metriken
Öffentliche Profilbeschreibungen
Es werden keine privaten Nachrichten, geschützten Profile, Login-Daten oder sonstige nicht-öffentliche Informationen von Social-Media-Plattformen erfasst.
YouTube Data API
Für die Erfassung öffentlicher YouTube-Kanaldaten nutzen wir die offizielle YouTube Data API von Google. Es gelten die YouTube API-Nutzungsbedingungen sowie die Google-Datenschutzerklärung.
Instagram
Für Instagram werden ausschließlich öffentlich zugängliche Profilinformationen erfasst.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Analyse öffentlich verfügbarer Daten für statistische und analytische Zwecke).
13. Echtzeitbenachrichtigungen (WebSockets)
Für die Zustellung von Echtzeitbenachrichtigungen (z. B. Fortschrittsanzeigen bei Importen) nutzen wir eine WebSocket-Verbindung. Diese Verbindung wird auf unseren eigenen Servern betrieben – es wird kein externer Dienst eingebunden. Die übertragenen Daten beschränken sich auf Benachrichtigungsinhalte und werden über verschlüsselte, authentifizierte Kanäle gesendet.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer zeitnahen Informationsbereitstellung).
14. Cloudflare Turnstile (Bot-Schutz)
Zum Schutz vor automatisierten Zugriffen und Missbrauch setzen wir Cloudflare Turnstile ein. Turnstile wird bei der Anmeldung, der Registrierung und im Kontaktformular (für nicht eingeloggte Nutzer) geladen.
Dabei können folgende Daten an Cloudflare übermittelt werden:
Anbieter: Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA.
Datenschutzerklärung: cloudflare.com/privacypolicy
Drittlandtransfer: Cloudflare ist nach dem EU-US Data Privacy Framework zertifiziert und verwendet Standardvertragsklauseln (SCCs) zur Absicherung der Datenübermittlung.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Schutz vor Missbrauch und Spam).
15. Fehlerüberwachung (Sentry)
Zur Erkennung und Behebung technischer Fehler setzen wir Sentry ein. Sentry erfasst:
Session Replay
Für einen Teil der Browsersitzungen (stichprobenartig) sowie bei auftretenden Fehlern kann Sentry eine Aufzeichnung der Sitzung erstellen. Diese Aufzeichnung umfasst DOM-Änderungen, Nutzerinteraktionen und Konsolenausgaben. Formular-Eingabefelder werden dabei standardmäßig maskiert. Die Aufzeichnungen dienen ausschließlich der Fehlerbehebung.
Anbieter: Functional Software, Inc. (d/b/a Sentry), 132 Hawthorne Street, San Francisco, CA 94107, USA.
Datenschutzerklärung: sentry.io/privacy
Drittlandtransfer: Sentry ist nach dem EU-US Data Privacy Framework zertifiziert und verwendet Standardvertragsklauseln (SCCs).
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Stabilität und Fehlerfreiheit unseres Dienstes).
16. Webanalyse (Matomo)
Wir setzen Matomo als Webanalyse-Tool ein. Matomo wird auf unseren eigenen Servern in Deutschland betrieben – es findet keine Datenübermittlung an Dritte statt.
Die Analyse erfolgt serverseitig, ohne dass Cookies auf deinem Gerät gesetzt werden. Dabei werden erfasst:
Aufgerufene Seiten
IP-Adresse (anonymisiert verarbeitet)
Browser und Betriebssystem
Referrer-URL
Spracheinstellungen des Browsers
Da kein Cookie gesetzt wird und die Verarbeitung rein serverseitig auf eigener Infrastruktur stattfindet, ist keine Einwilligung nach § 25 TDDDG erforderlich.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der statistischen Auswertung der Nutzung zur Verbesserung unseres Angebots).
17. KI-gestützte Profilanalyse (Google Gemini)
Zur automatischen Spracherkennung und Kategorisierung öffentlicher Social-Media-Profile verwenden wir die Google Gemini API. Dabei werden ausschließlich öffentlich verfügbare Profildaten (Name, Beschreibung) an die API übermittelt. Persönliche Nutzerdaten werden nicht an Gemini gesendet.
Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (Muttergesellschaft: Google LLC, USA).
Datenschutzerklärung: policies.google.com/privacy
Drittlandtransfer: Google ist nach dem EU-US Data Privacy Framework zertifiziert.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Aufbereitung öffentlicher Profildaten).
18. Externe Ressourcen (CDN)
Zur Darstellung unserer Website laden wir folgende Ressourcen von externen Servern:
Bunny Fonts
Wir nutzen Bunny Fonts als datenschutzfreundliche Alternative zu Google Fonts. Bunny Fonts erhebt nach eigenen Angaben keine personenbezogenen Daten und setzt keine Cookies.
Anbieter: BunnyWay d.o.o., Slowenien (EU).
Datenschutzerklärung: bunny.net/privacy
jsDelivr
Für bestimmte JavaScript-Bibliotheken (Chart-Darstellungen) nutzen wir das Open-Source-CDN jsDelivr. Beim Laden dieser Ressourcen wird deine IP-Adresse an jsDelivr übermittelt.
Datenschutzerklärung: jsdelivr.com/privacy
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer optimierten und schnellen Bereitstellung unserer Website).
19. Datenweitergabe an Dritte
Wir verkaufen deine personenbezogenen Daten nicht und geben sie nicht zu Werbezwecken an Dritte weiter.
Eine Übermittlung personenbezogener Daten an Dritte erfolgt nur in den folgenden Fällen:
Auftragsverarbeiter: Wir setzen sorgfältig ausgewählte Dienstleister ein, die Daten in unserem Auftrag und nach unserer Weisung verarbeiten (z. B. Fehlerüberwachung, E-Mail-Versand). Mit allen Auftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO.
Gesetzliche Pflicht: Wenn wir gesetzlich oder durch behördliche Anordnung zur Herausgabe verpflichtet sind.
Rechtswahrung: Soweit dies zur Durchsetzung unserer Rechte erforderlich ist.
Eingesetzte Auftragsverarbeiter
Cloudflare, Inc. (USA) – Bot-Schutz (Turnstile)
Functional Software, Inc. (Sentry) (USA) – Fehlerüberwachung
Google Ireland Limited / Google LLC (Irland/USA) – OAuth-Anmeldung, YouTube Data API, Gemini API
E-Mail-Dienstleister – zum Versand transaktionaler E-Mails (je nach Konfiguration)
Übermittlung in Drittländer
Einzelne der genannten Dienstleister haben ihren Sitz in den USA. Die Übermittlung personenbezogener Daten in die USA erfolgt auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission zum EU-US Data Privacy Framework (DPF) gemäß Art. 45 DSGVO, sofern der jeweilige Anbieter zertifiziert ist. Ergänzend setzen wir auf Standardvertragsklauseln (SCCs) gemäß Art. 46 Abs. 2 lit. c DSGVO.
20. Speicherdauer
Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen:
Benutzerkonto: Bis du die Löschung beantragst
Session-Daten: 120 Minuten nach letzter Aktivität (automatisch)
Passwort-Reset-Token: 60 Minuten (automatisch)
Kontaktanfragen: Für die Dauer der Bearbeitung und angemessene Nachfrist
E-Mail-Versandprotokolle: Zur Fehleranalyse für einen begrenzten Zeitraum
In-App-Benachrichtigungen: Je nach Typ 3 bis 90 Tage (automatische Bereinigung)
Server-Logfiles: Werden regelmäßig rotiert
Öffentliche Profildaten: Solange das Tracking für das jeweilige Profil aktiv ist
21. Datensicherheit
Wir setzen technische und organisatorische Maßnahmen ein, um deine Daten vor Verlust, Manipulation und unberechtigtem Zugriff zu schützen:
Durchgehende SSL/TLS-Verschlüsselung (HTTPS)
Passwörter werden ausschließlich als bcrypt-Hashes gespeichert
2FA-Secrets werden verschlüsselt abgelegt
Session-Cookies mit HttpOnly-, Secure- und SameSite-Attributen
CSRF-Schutz für alle Formulare und Aktionen
Regelmäßige Sicherheitsupdates
22. Deine Rechte
Du hast gegenüber uns folgende Rechte hinsichtlich deiner personenbezogenen Daten:
Auskunftsrecht (Art. 15 DSGVO) – Du kannst Auskunft über die von uns verarbeiteten Daten verlangen.
Recht auf Berichtigung (Art. 16 DSGVO) – Du kannst die Korrektur unrichtiger Daten verlangen.
Recht auf Löschung (Art. 17 DSGVO) – Du kannst die Löschung deiner Daten verlangen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO) – Du kannst die Einschränkung der Verarbeitung deiner Daten verlangen.
Recht auf Datenübertragbarkeit (Art. 20 DSGVO) – Du kannst die Herausgabe deiner Daten in einem strukturierten, maschinenlesbaren Format verlangen.
Widerspruchsrecht (Art. 21 DSGVO) – Du kannst jederzeit Widerspruch gegen die Verarbeitung deiner Daten einlegen, soweit diese auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) beruht.
Zur Ausübung deiner Rechte wende dich bitte an: support@postbox.so
23. Beschwerderecht bei einer Aufsichtsbehörde
Wenn du der Ansicht bist, dass die Verarbeitung deiner personenbezogenen Daten gegen die DSGVO verstößt, hast du das Recht, eine Beschwerde bei einer Datenschutz-Aufsichtsbehörde einzulegen (Art. 77 DSGVO). Du kannst dich an die Aufsichtsbehörde deines Wohnsitzes, deines Arbeitsplatzes oder des Ortes des mutmaßlichen Verstoßes wenden.
24. Änderungen dieser Datenschutzerklärung
Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte Rechtslagen, technische Neuerungen oder Änderungen unseres Dienstes anzupassen. Die jeweils aktuelle Fassung findest du stets auf dieser Seite.
