Datenschutzerklärung
Zuletzt aktualisiert:
Postamory ist ein Abonnement-Dienst, bei dem Familien im Laufe des Monats Fotos und kurze Texte teilen und ein gedrucktes Familienmagazin erhalten. Diese Erklärung beschreibt, wie personenbezogene Daten verarbeitet werden, wenn du unsere Website besuchst, ein Konto anlegst oder den Dienst nutzt. Sie enthält die Informationen nach Art. 13 und 14 der Datenschutz-Grundverordnung (DSGVO) sowie die Aufklärung nach Art. 10 des türkischen Datenschutzgesetzes Nr. 6698 (KVKK).
1. Verantwortlicher
Verantwortlicher im Sinne der DSGVO (in der Türkei "veri sorumlusu") ist Postamory, Heidelberg. Bei allen Datenschutzfragen erreichst du uns unter i116@pm.me. Weitere Angaben zum Betreiber stehen im Impressum. Wir haben unseren Sitz in Deutschland.
Wenn ein Familienmitglied Fotos oder Texte hochlädt, die andere Personen zeigen oder betreffen, entscheidet dieses Mitglied, was mit der Familie geteilt wird. Wir verarbeiten diese Inhalte nur, um der Familie den Dienst wie unten beschrieben bereitzustellen.
2. Welche Daten wir verarbeiten
- Kontodaten: Name, E-Mail-Adresse, Sprache und dein Passwort (von unserem Authentifizierungsanbieter nur als Hash gespeichert).
- Profilfoto (optional) und der von dir gewählte Anzeigename. Die Anzeigenamen der Familienmitglieder, die zu einer Ausgabe beigetragen haben, werden auf der Rückseite (letzte Seite) des gedruckten Magazins deiner Familie gedruckt; das Profilfoto wird nicht gedruckt.
- Familiendaten: Familienname, Mitglieder der Familie, Name und Postanschrift der Empfängerin oder des Empfängers des Magazins, Zeitzone und Widmung.
- Inhalte: Fotos (die auch Kinder und andere Familienangehörige zeigen können), Bildunterschriften und kurze Texte, Emoji-Reaktionen sowie die daraus erstellten Magazin-PDFs und Seitenlayouts. Fotos werden vor dem Hochladen in deinem Browser aufbereitet, sodass Kamera-Metadaten wie der Standort (GPS) nicht übertragen werden.
- Abonnement- und Zahlungsdaten: gewählter Tarif und Abrechnungsintervall, Referenzen des Zahlungsdienstleisters, Beträge, Daten und Status. Kartennummern erhalten und speichern wir nicht; Kartendaten werden bei Stripe eingegeben und dort verarbeitet.
- Einladungen, Support- und Feedback-Nachrichten, die du uns sendest, sowie die E-Mails, die wir dir senden (Art, Zeitpunkt, Zustellstatus).
- Technische und Sicherheitsdaten: Protokolle wichtiger Aktionen, Zähler für Anmeldeversuche (E-Mail-Adresse und IP-Adresse) zum Missbrauchsschutz, Server-Logs und technische Daten, die dein Browser sendet (IP-Adresse, Browsertyp, aufgerufene Seite, Zeitpunkt).
Die meisten dieser Daten stammen von dir oder von Mitgliedern deiner Familie. Referenzen und Zustellstatus stammen von unseren Dienstleistern.
3. Zwecke und Rechtsgrundlagen
| Zweck | Daten | Rechtsgrundlage (DSGVO / KVKK) |
|---|---|---|
| Anlegen und Betrieb deines Kontos und deines Familienbereichs | Konto-, Familiendaten, Inhalte | Vertragserfüllung, Art. 6 Abs. 1 lit. b DSGVO / KVKK Art. 5 Abs. 2 lit. c |
| Erstellung, Druck und Zustellung des Familienmagazins | Familiendaten, Empfängeradresse, Inhalte, Magazindateien | Vertragserfüllung, Art. 6 Abs. 1 lit. b DSGVO / KVKK Art. 5 Abs. 2 lit. c |
| Abonnement, Abrechnung und Zahlungsabwicklung | Tarif, Zahlungsreferenzen, Beträge, Status | Vertragserfüllung; rechtliche Verpflichtung (Buchhaltung, Steuern), Art. 6 Abs. 1 lit. b, c DSGVO / KVKK Art. 5 Abs. 2 lit. c, a |
| Nennung der Familienmitglieder, die zu einer Ausgabe beigetragen haben, auf der Rückseite des Familienmagazins: dein Anzeigename | Anzeigename | Vertragserfüllung, Art. 6 Abs. 1 lit. b DSGVO / KVKK Art. 5 Abs. 2 lit. c, und berechtigtes Interesse an einem Magazin, das die Familie nennt, für die es gemacht wurde, Art. 6 Abs. 1 lit. f DSGVO / KVKK Art. 5 Abs. 2 lit. f. Du kannst deinen Anzeigenamen jederzeit ändern (Einstellungen); das gilt für alle künftigen Ausgaben |
| Versand von Service-E-Mails (Bestätigung, Einladungen, Passwort-Zurücksetzen, Zahlungshinweise) | Kontodaten, E-Mail-Protokoll | Vertragserfüllung, Art. 6 Abs. 1 lit. b DSGVO / KVKK Art. 5 Abs. 2 lit. c |
| Sicherheit, Missbrauchsschutz (Anmeldelimits, Bot-Schutz), Betrugsprävention, Protokolle | Zähler für Anmeldeversuche, IP-Adresse, Audit- und technische Logs | Berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO / KVKK Art. 5 Abs. 2 lit. f |
| Messung von Seitenleistung und Nutzung der Website ohne personenbezogene Kennungen | Aggregierte, cookielose Analysedaten | Berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO / KVKK Art. 5 Abs. 2 lit. f |
| Beantwortung deiner Anfragen und Support-Nachrichten | Kontaktdaten, Nachrichteninhalt | Vertragserfüllung oder berechtigtes Interesse, Art. 6 Abs. 1 lit. b, f DSGVO / KVKK Art. 5 Abs. 2 lit. c, f |
| Fotos von Kindern und anderen Dritten, die Familienmitglieder teilen | Fotos, Bildunterschriften | Gegenüber dem hochladenden Mitglied: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO / KVKK Art. 5 Abs. 2 lit. c); gegenüber den abgebildeten Personen: berechtigtes Interesse an der Bereitstellung des Dienstes (Art. 6 Abs. 1 lit. f DSGVO / KVKK Art. 5 Abs. 2 lit. f) und, soweit erforderlich, Einwilligung der betroffenen Personen bzw. bei Kindern der Eltern oder Sorgeberechtigten (Art. 6 Abs. 1 lit. a, Art. 8 DSGVO / KVKK Art. 5 Abs. 1), die das teilende Mitglied einholt; siehe Abschnitt 11 |
| Erfüllung rechtlicher Pflichten und Verteidigung von Rechtsansprüchen | Rechnungen, Zahlungsbelege, Korrespondenz | Rechtliche Verpflichtung und berechtigtes Interesse, Art. 6 Abs. 1 lit. c, f DSGVO / KVKK Art. 5 Abs. 2 lit. a, ç, e |
Ohne die in den Formularen als erforderlich markierten Daten können wir Konto und Magazin nicht bereitstellen. Stellst du sie nicht bereit, können wir den Dienst nicht anbieten.
4. Empfänger deiner Daten
Wir verkaufen keine personenbezogenen Daten und nutzen sie nicht für Werbung. Wir geben sie nur an die folgenden Empfänger weiter, die, soweit nicht anders angegeben, als Auftragsverarbeiter für uns tätig sind, oder an Behörden, wenn das Gesetz es verlangt. Mit unseren Auftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO.
| Empfänger | Rolle | Betroffene Daten |
|---|---|---|
| Supabase | Konto-Authentifizierung, Datenbank und Dateispeicher (Fotos, Magazin-PDFs) | Kontodaten, Familiendaten, Inhalte, Logs |
| Vercel | Hosting und Auslieferung der Website; cookielose Web Analytics und Speed Insights | Technische Anfragedaten (z. B. IP-Adresse), aggregierte Nutzungs- und Leistungsdaten |
| Stripe | Zahlungsabwicklung und Abo-Abrechnung. Stripe verarbeitet Kartendaten selbst und ist für einzelne Verarbeitungen eigenständig Verantwortlicher | Name, E-Mail, Tarif, Betrag, bei Stripe eingegebene Zahlungsdaten |
| Resend | Versand von Service-E-Mails | E-Mail-Adresse, Name, E-Mail-Inhalt |
| Cloudflare (Turnstile) | Bot-Schutz bei Registrierung und Anmeldung | IP-Adresse und Browser-Signale, um Menschen von Bots zu unterscheiden |
| Unsere Druck- und Zustellpartner | Druck des Magazins und Zustellung per Post | Name und Postanschrift der Empfängerin oder des Empfängers, Magazindatei |
| Behörden, Gerichte, Berater | Wenn gesetzlich erforderlich oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen | Nur die im Einzelfall erforderlichen Daten |
Mitglieder deiner Familie sehen die Inhalte und Familiendaten dieser Familie; das ist der Zweck des Dienstes. Ein aus einer Familie entferntes Mitglied verliert den Zugriff auf diese Familie.
Die optionale Schreibhilfe im Zeitungsstil läuft standardmäßig mit festen Regeln auf unserem eigenen Server; der Text wird an keinen Dritten gesendet. Nur wenn wir bewusst einen externen Anbieter (Anthropic) einschalten, wird der Text, den du mit dieser Schaltfläche einreichst, und sonst nichts an ihn übermittelt; die App weist dann neben der Schaltfläche darauf hin.
5. Übermittlung in Drittländer
Einige unserer Dienstleister (zum Beispiel Vercel, Stripe, Resend und Cloudflare) können Daten außerhalb des Europäischen Wirtschaftsraums oder außerhalb der Türkei verarbeiten, insbesondere in den USA. Dann stützen wir uns auf einen Angemessenheitsbeschluss der Europäischen Kommission (etwa das EU-US Data Privacy Framework bei zertifizierten Anbietern) oder auf die Standardvertragsklauseln der Europäischen Kommission, bei Bedarf mit zusätzlichen Garantien. Für Übermittlungen aus der Türkei nutzen wir die Mechanismen nach Art. 9 KVKK. Eine Kopie der Garantien kannst du unter i116@pm.me anfordern. Die Übermittlung erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.
6. Speicherdauer
| Daten | Speicherdauer |
|---|---|
| Kontodaten | Solange das Konto besteht. Nachdem du die Löschung des Kontos verlangt hast, löschen wir es innerhalb von 30 Tagen, außer Daten, die wir gesetzlich aufbewahren müssen. |
| Fotos, Bildunterschriften, Texte und Reaktionen | Solange der Familienbereich besteht. Ein von einem Mitglied gelöschter Beitrag wird sofort aus der Ansicht entfernt und innerhalb von 30 Tagen endgültig gelöscht. |
| Profilfoto | Bis du es entfernst oder das Konto löschst. Das Entfernen gilt für künftige Ausgaben; ein bereits erstelltes oder gedrucktes Magazin behält, was darin gedruckt ist. |
| Magazin-PDFs und Seitenlayouts | Solange der Familienbereich besteht, damit die Familie auf frühere Ausgaben zugreifen kann. |
| Rechnungen und Zahlungsbelege | Solange Steuer- und Handelsrecht es verlangen (in Deutschland je nach Dokument sechs bis zehn Jahre, in der Türkei in der Regel bis zu zehn Jahre). |
| Empfängeradresse | Solange der Familienbereich besteht; eine Änderung ersetzt die bisherige Adresse. |
| Support- und Feedback-Nachrichten | Bis die Anfrage erledigt ist und danach bis zu 24 Monate. |
| E-Mail-Protokolle und Audit-Einträge | Bis zu 24 Monate. |
| Zähler für Anmeldeversuche und Server-Logs | Kurzlebig: Zähler laufen nach Stunden oder Tagen ab; Server-Logs werden einige Wochen aufbewahrt. |
Daten, die wir gesetzlich aufbewahren müssen, werden für andere Zwecke gesperrt und nach Ende der Aufbewahrungspflicht gelöscht. Sicherungen unseres Datenbankanbieters werden in dessen regulärem Zyklus überschrieben.
7. Deine Rechte
Nach Art. 15 bis 21 DSGVO und Art. 11 KVKK hast du das Recht,
- zu erfahren, ob wir deine Daten verarbeiten, und eine Kopie sowie weitere Informationen zu erhalten (Auskunft);
- unrichtige oder unvollständige Daten berichtigen zu lassen (Berichtigung);
- deine Daten löschen zu lassen, wenn die gesetzlichen Voraussetzungen vorliegen (Löschung);
- die Verarbeitung in den gesetzlich vorgesehenen Fällen einschränken zu lassen;
- die Daten, die du bereitgestellt hast, in einem strukturierten, gängigen, maschinenlesbaren Format zu erhalten und an einen anderen Anbieter übertragen zu lassen (Datenübertragbarkeit);
- einer Verarbeitung auf Grundlage berechtigter Interessen aus Gründen, die sich aus deiner besonderen Situation ergeben, und jederzeit der Direktwerbung zu widersprechen (wir betreiben keine);
- eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen;
- zu verlangen, dass Berichtigungen und Löschungen den Empfängern deiner Daten mitgeteilt werden, und einem Ergebnis zu widersprechen, das sich ausschließlich aus automatisierter Analyse zu deinem Nachteil ergibt (wir treffen keine solchen Entscheidungen);
- Ersatz des Schadens zu verlangen, der durch rechtswidrige Verarbeitung entstanden ist (KVKK).
Um deine Rechte auszuüben, schreibe an i116@pm.me, am besten von der E-Mail-Adresse deines Kontos, oder weise dich anders aus, damit wir keine Daten an die falsche Person herausgeben. Wir antworten innerhalb von 30 Tagen und in der Regel kostenfrei; nur bei offensichtlich unbegründeten oder exzessiven Anfragen können wir ein angemessenes Entgelt verlangen oder sie ablehnen. Derzeit bearbeiten wir solche Anfragen persönlich per E-Mail; eine Selbstbedienungs-Funktion für Export oder Löschung gibt es noch nicht.
8. Beschwerderecht
Du kannst dich bei einer Aufsichtsbehörde beschweren. In der Europäischen Union ist das die Behörde an deinem gewöhnlichen Aufenthaltsort, deinem Arbeitsplatz oder dem Ort des mutmaßlichen Verstoßes (die Liste veröffentlicht der Europäische Datenschutzausschuss). In der Türkei ist es die Datenschutzbehörde (Kişisel Verileri Koruma Kurumu, KVKK). Wir freuen uns, wenn du dich zuerst an uns wendest, damit wir dein Anliegen klären können. Für uns zuständig ist die Datenschutzaufsichtsbehörde, die für den Sitz des Betreibers zuständig ist (Art. 77 DSGVO).
9. Sicherheitsmaßnahmen
- Verschlüsselte Übertragung (HTTPS) zwischen deinem Gerät und unseren Servern.
- Inhalte, Mitglieder und Abonnementdaten einer Familie sind nur für Mitglieder dieser Familie lesbar, in der Datenbank durch zeilenbasierte Zugriffsregeln erzwungen; Fotos werden privat gespeichert und über kurzlebige signierte Links ausgeliefert.
- Passwörter werden nur als gesalzene Hashes gespeichert; Registrierung, Anmeldung und Passwort-Zurücksetzen sind durch Ratenbegrenzung und Bot-Schutz gesichert.
- Fotos werden vor dem Hochladen in deinem Browser neu kodiert, wodurch Kamera-Metadaten einschließlich GPS-Standort entfernt werden.
- Der Zugriff von Mitarbeitenden auf Familieninhalte ist begrenzt, getrennt geregelt und wird in Audit-Protokollen festgehalten.
- Kartendaten erreichen unsere Server nie; sie werden von Stripe verarbeitet.
Kein System ist vollständig sicher. Wenn eine Datenschutzverletzung voraussichtlich ein Risiko für deine Rechte bedeutet, informieren wir dich und die zuständige Behörde, wie es das Gesetz verlangt.
11. Kinder und Fotos anderer Personen
Konten sind für Erwachsene. Für ein Konto musst du mindestens 18 Jahre alt sein; wir legen wissentlich keine Konten für Jüngere an. Familien teilen oft Fotos von Kindern. Das Mitglied, das ein Foto hochlädt, ist dafür verantwortlich, die Einwilligung der abgebildeten Personen oder bei Kindern ihrer Eltern oder Sorgeberechtigten einzuholen und nur Fotos zu teilen, die mit der Familie geteilt werden dürfen. Alle Fotos sind privat für die Familie und werden nicht veröffentlicht. Wenn du ein Elternteil bist und ein Foto entfernt haben möchtest, schreibe an i116@pm.me. Bei Kindern unter 16 Jahren holt das teilende Mitglied die Einwilligung der Eltern oder Sorgeberechtigten ein (Art. 8 DSGVO).
12. Automatisierte Entscheidungen
Wir treffen keine ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidungen, die dir gegenüber rechtliche Wirkung entfalten oder dich in ähnlicher Weise erheblich beeinträchtigen, und wir erstellen kein Profil von dir. Die optionale Schreibhilfe macht nur einen Vorschlag, den du annehmen, bearbeiten oder ignorieren kannst. Wir führen keine Gesichtserkennung durch und werten Fotos nicht aus.
13. Hinweise für Nutzer und Empfänger in der Türkei (KVKK)
Wenn du in der Türkei wohnst oder dein Magazin dorthin geliefert wird, ist Postamory auch im Sinne des Gesetzes Nr. 6698 (KVKK) der Verantwortliche (veri sorumlusu). Zwecke, Rechtsgrundlagen (Art. 5 KVKK), Empfänger und Speicherdauer sind in den obigen Abschnitten genannt; damit ist die Aufklärungspflicht nach Art. 10 KVKK erfüllt. Die Daten erheben wir über das Konto, die Formulare und die Mitglieder der Familie, automatisiert und teilweise nicht automatisiert über Website und App.
Da wir und unsere Dienstleister Daten im Ausland verarbeiten, übermitteln wir personenbezogene Daten ins Ausland nach Art. 9 KVKK: auf Grundlage eines Angemessenheitsbeschlusses, geeigneter Garantien (insbesondere Standardverträge nach den Vorgaben der türkischen Datenschutzbehörde oder verbindliche Unternehmensregeln) oder, nur wenn kein anderer Mechanismus greift und nur in den gesetzlich vorgesehenen Ausnahmefällen, auf Grundlage deiner nach Aufklärung gesondert erteilten ausdrücklichen Einwilligung, die du jederzeit widerrufen kannst.
Deine Rechte nach Art. 11 KVKK kannst du mit einer Anfrage an i116@pm.me ausüben (Absender- und Identitätsnachweis wie oben beschrieben); wir antworten kostenfrei spätestens innerhalb von 30 Tagen. Bleibt deine Anfrage unbeantwortet oder ist die Antwort unzureichend, kannst du dich nach Art. 14 KVKK an die türkische Datenschutzbehörde wenden.
14. Änderungen dieser Erklärung
Wir aktualisieren diese Erklärung, wenn sich der Dienst, unsere Dienstleister oder die Rechtslage ändern. Das Datum oben zeigt die aktuelle Fassung. Betrifft dich eine Änderung wesentlich, informieren wir dich in geeigneter Weise, zum Beispiel per E-Mail.