Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) für die Verarbeitung personenbezogener Daten beim Betrieb von Amaposta unter [Domain] ist:

[Firmenname]
[Rechtsform, vertreten durch Name der vertretungsberechtigten Person]
[Anschrift]
E-Mail: [Datenschutz-E-Mail-Adresse]
Telefon: [Telefonnummer]

[Falls benannt: Datenschutzbeauftragter mit Kontaktdaten. Falls erforderlich: Vertreter in der EU nach Art. 27 DSGVO. Sonst diesen Absatz entfernen.]

Inhalte, die du und dein Team in einen Workspace einstellen, verarbeiten wir im Auftrag des Eigentümers dieses Workspaces als Auftragsverarbeiter nach Art. 28 DSGVO. Für diese Inhalte ist der Eigentümer des Workspaces verantwortlich; die Einzelheiten regelt ein Vertrag zur Auftragsverarbeitung. [Vertrag zur Auftragsverarbeitung bereitstellen und hier verlinken.]

2. Welche Daten wir verarbeiten

• Kontodaten: Name, E-Mail-Adresse und dein Passwort, das wir nur als Hashwert speichern.
• Workspace-Inhalte: Beiträge, Texte, Hashtags, Mediendateien, Veröffentlichungstermine, Kommentare in Prüfungen und das Aktivitätsprotokoll.
• Verbundene Konten: die Zugriffstokens, die Plattformen beim Verbinden eines Kanals ausstellen, sowie grundlegende Profildaten wie Kontoname, Handle und Profilbild.
• Technische Daten: IP-Adresse, User-Agent deines Browsers, Sitzungsdaten und Anfrageprotokolle, die wir für die Sicherheit und die Fehlersuche verwenden.
• Abrechnungsdaten: Die Zahlungen wickelt unser Zahlungsdienstleister ab. Wir erhalten den Tarif, den Zahlungsstatus und den Rechnungskontakt, aber keine vollständigen Kartennummern.

[Falls die Anmeldung mit Google aktiviert ist: ergänzen, welche Daten dabei von Google übermittelt werden.]

3. Zwecke und Rechtsgrundlagen

• Bereitstellung des Dienstes: Wir führen dein Konto, veröffentlichen Beiträge auf deinen Kanälen, benachrichtigen dich über Prüfungen, fehlgeschlagene Veröffentlichungen und ablaufende Verbindungen und wickeln die Abrechnung ab. Rechtsgrundlage ist die Erfüllung des Vertrags mit dir (Art. 6 Abs. 1 lit. b DSGVO).
• Sicherheit und Fehlersuche: Wir verwenden technische Daten, um dein Konto und den Dienst zu schützen, Missbrauch abzuwehren und Fehler zu finden. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und stabilen Betrieb (Art. 6 Abs. 1 lit. f DSGVO).
• Gesetzliche Pflichten: Rechnungs- und Buchungsunterlagen bewahren wir auf, weil das Handels- und Steuerrecht es verlangt (Art. 6 Abs. 1 lit. c DSGVO).

[Falls Einwilligungen eingeholt werden, etwa für einen Newsletter: hier mit Art. 6 Abs. 1 lit. a DSGVO ergänzen.]

Ohne die Angaben, die für dein Konto nötig sind, können wir dir Amaposta nicht bereitstellen. Wir verkaufen keine personenbezogenen Daten und verwenden deine Inhalte nicht, um KI-Modelle zu trainieren. Eine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO findet nicht statt.

4. Empfänger und Auftragsverarbeiter

• Verbundene Plattformen: Wenn du veröffentlichst, übermitteln wir deine Inhalte an die Plattformen, die du ausgewählt hast, etwa YouTube, Instagram, TikTok, X oder Facebook. Die Betreiber verarbeiten sie dort in eigener Verantwortung nach ihren eigenen Datenschutzbestimmungen.
• Hosting, Dateispeicherung und E-Mail-Versand: Hierfür setzen wir Dienstleister ein, die als Auftragsverarbeiter nach Art. 28 DSGVO für uns tätig sind und die Daten nur nach unseren Weisungen und nur für ihre Leistung an uns verwenden dürfen: [Anbieter mit Sitz und Zweck auflisten].
• Zahlungen: Zahlungen wickelt Stripe ab ([Stripe-Gesellschaft, mit der der Vertrag besteht, für Kunden im EWR in der Regel Stripe Payments Europe, Limited, Irland]). Zahlungsdaten wie Kartennummern gibst du direkt bei Stripe ein. Stripe verarbeitet sie zum Teil in eigener Verantwortung, zum Beispiel zur Betrugsprävention und zur Erfüllung gesetzlicher Pflichten; dafür gilt die Datenschutzerklärung von Stripe.

5. Übermittlung in Drittländer

Einige Empfänger sitzen außerhalb der EU und des Europäischen Wirtschaftsraums, insbesondere in den USA. Das betrifft vor allem die Plattformen, an die du veröffentlichst, sowie Google beim Laden der Schriftarten (siehe Abschnitt 8). Übermittlungen in Drittländer finden nur unter den Voraussetzungen der Art. 44 ff. DSGVO statt: auf Grundlage eines Angemessenheitsbeschlusses der EU-Kommission (Art. 45 DSGVO), etwa des EU-U.S. Data Privacy Framework, soweit der Empfänger danach zertifiziert ist, oder mit geeigneten Garantien wie den Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO).

[Angeben, wo die Daten gespeichert werden, welche Empfänger in Drittländern sitzen und welche Garantie jeweils gilt.]

6. Speicherdauer

Konto- und Workspace-Daten speichern wir, solange der Workspace besteht. Nach dem Löschen eines Workspaces löschen wir seine Daten innerhalb von [Frist], soweit keine gesetzliche Aufbewahrungspflicht besteht. Rechnungs- und Buchungsunterlagen bewahren wir so lange auf, wie das Gesetz es verlangt, in Deutschland je nach Unterlage bis zu zehn Jahre (§ 257 HGB, § 147 AO).

[Angeben, wie lange Protokolle und Backups aufbewahrt werden und welche Aufbewahrungsfristen für Abrechnungsdaten konkret gelten.]

7. Cookies

Amaposta setzt nur Cookies, die für den Betrieb unbedingt erforderlich sind. Dafür ist nach § 25 Abs. 2 Nr. 2 TDDDG keine Einwilligung nötig. Die damit verbundene Verarbeitung stützen wir auf die Erfüllung des Vertrags mit dir (Art. 6 Abs. 1 lit. b DSGVO) und auf unser berechtigtes Interesse an einer sicheren, funktionierenden Website (Art. 6 Abs. 1 lit. f DSGVO). Werbe-, Analyse- oder Tracking-Cookies verwenden wir nicht.

• ss_session: hält dich angemeldet. Gespeichert für 30 Tage oder bis du dich abmeldest.
• ss_csrf: schützt Formulare vor gefälschten Anfragen (CSRF). Gelöscht, wenn du den Browser schließt.
• ss_lang: merkt sich die Sprache, in der du die Website zuletzt gelesen hast. Gespeichert für ein Jahr.
• ss_google: wird nur gesetzt, wenn du dich mit Google anmeldest, und sichert diesen Anmeldevorgang ab. Gespeichert für 10 Minuten.

8. Schriftarten

Diese Website lädt ihre Schriftarten derzeit von Google Fonts, einem Dienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Dein Browser stellt dafür beim Aufruf einer Seite eine Verbindung zu Servern von Google her und übermittelt dabei unter anderem deine IP-Adresse. Eine Übermittlung an Google LLC in den USA ist dabei nicht auszuschließen.

[Diese Einbindung ist datenschutzrechtlich riskant: Das LG München I hat 2022 entschieden, dass die Weitergabe der IP-Adresse beim Laden von Google Fonts ohne Einwilligung unzulässig ist. Empfehlung: Schriftarten auf dem eigenen Server bereitstellen und diesen Abschnitt dann entfernen. Andernfalls Rechtsgrundlage festlegen und prüfen lassen.]

9. Sicherheit

Wir schützen deine Daten mit technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Passwörter speichern wir nur als Einweg-Hashwerte. Zugriffstokens der Plattformen und API-Secrets speichern wir verschlüsselt. Webhooks und Anfragen an Kanäle mit eigener API werden signiert, damit die Empfänger prüfen können, dass sie von uns stammen.

Unsere Mitarbeitenden sehen Konto-, Workspace-, Abrechnungs- und Zustellungsdaten (etwa Namen, E-Mail-Adressen, Tarife, verbundene Kanäle und Fehler beim Veröffentlichen), um den Dienst zu betreiben und Supportanfragen zu beantworten. Die Inhalte deiner Beiträge und deine Medien sehen sie nicht. Jeder Blick in einen Workspace oder auf eine Person wird protokolliert, und der Zugang ist nur mit Anmeldung in zwei Schritten möglich.

[Hosting, Zugriffskontrollen und das Vorgehen bei Sicherheitsvorfällen beschreiben.]

10. Deine Rechte

Nach der DSGVO hast du gegenüber uns das Recht auf:

• Auskunft über die Daten, die wir über dich verarbeiten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung deiner Daten (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit, also eine Kopie deiner Daten in einem gängigen, maschinenlesbaren Format (Art. 20 DSGVO).

Widerspruchsrecht: Verarbeiten wir Daten auf Grundlage unseres berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO), kannst du dieser Verarbeitung aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen (Art. 21 DSGVO). Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die deine Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Hast du eine Einwilligung erteilt, kannst du sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO).

Um deine Rechte auszuüben, schreib uns an [Datenschutz-E-Mail-Adresse]. Liegen deine Daten in einem Workspace, der jemand anderem gehört, verweisen wir dich unter Umständen an den Eigentümer dieses Workspaces.

Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat, in dem du dich gewöhnlich aufhältst oder arbeitest oder in dem der mutmaßliche Verstoß stattgefunden hat. [Für den Betreiber zuständige Aufsichtsbehörde nennen.]

11. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich der Dienst oder die Rechtslage ändert. Die aktuelle Fassung findest du immer auf dieser Seite. Über wesentliche Änderungen informieren wir die Eigentümer der Workspaces per E-Mail.

12. Kontakt

Bei Fragen zum Datenschutz erreichst du uns hier: [Firmenname], [Anschrift]. E-Mail: [Datenschutz-E-Mail-Adresse].