Datenschutzerklärung

Verantwortlicher ist Tim Hausl-Kramper, handelnd unter THK-Media, Einzelunternehmen, Sonnweg 17, 3463 Stetteldorf am Wagram, Österreich.

Datenschutzanfragen können an [email protected] oder telefonisch an +43 660 133 0906 gerichtet werden. Es wurde kein Datenschutzbeauftragter bestellt, da Selfpost in seinem derzeitigen Umfang nicht der Bestellpflicht gemäß Art. 37 DSGVO unterliegt; der Verantwortliche ist der direkte Datenschutzkontakt.

Status der DSFA-Prüfung: Der Verantwortliche prüft bei jeder neu eingeführten Verarbeitungstätigkeit mit hohem Risiko, ob eine Datenschutz-Folgenabschätzung erforderlich ist.

Diese Erklärung gilt für die Selfpost-Website, Webanwendung, den Support, die Warteliste, die Abrechnung und Publishing-Integrationen. Die meisten Daten stammen direkt von dir. Verbundene Plattformen stellen nach deiner Autorisierung außerdem Kontoidentität, Berechtigungen, Veröffentlichungsstatus und Analysedaten bereit.

Wenn ein Workspace-Kunde weitere Personen einlädt oder ein Kundenkonto verwaltet, ist er dafür verantwortlich, zur Bereitstellung dieser Daten berechtigt zu sein und erforderliche zusätzliche Informationen nach Art. 14 DSGVO zu erteilen.

Wir verarbeiten Kontokennungen, E-Mail-Adresse, Anzeigename, optionales Profilbild, Anmeldeidentitäten, Sitzungs- und Sicherheitsdaten, Team-Einladungen, Rollen, Workspace-Mitgliedschaften sowie Benachrichtigungs-, Darstellungs- und Supportdaten.

Für den Publishing-Dienst verarbeiten wir Kennungen und Profildaten verbundener Social-Media-Konten, verschlüsselte Zugriffs- und Aktualisierungs-Tokens, Medien und Metadaten, Texte, Titel, erste Kommentare, Plattformeinstellungen und Bestätigungen, Entwürfe, Zeitpläne, Publishing-Versuche, Provider-Kennungen, Status und verfügbare Analysedaten.

Selfpost KI (optional): Wenn du oder jemand aus deinem Team eine KI-Funktion nutzt, senden wir dem KI-Anbieter, was diese Anfrage braucht: Stimme und Themen des Workspaces, Captions, Titel, Zusammenfassungen von Statistiken, Review-Kommentare, die du zusammenfassen lässt, Chat-Nachrichten und für das Videoverständnis einige Standbilder sowie die Sprache im Video (in Text umgewandelt). Anfragen, die mit Selfpost-Guthaben bezahlt werden, gehen an OpenAI als unseren Auftragsverarbeiter; mit deinem eigenen ChatGPT-Plan oder OpenAI-Schlüssel gehen sie im Rahmen deiner eigenen Vereinbarung mit OpenAI an OpenAI. Die Ergebnisse (Videozusammenfassungen, Transkripte, Ideen, Auswertungen, Chat-Nachrichten) bewahren wir im Workspace auf, bis du sie oder den Workspace löschst, dazu ein Nutzungsprotokoll (Funktion, Modell, Tokens, Guthaben) für die Abrechnung. KI-Vorschläge sind nur Vorschläge: Nichts wird ohne deine Bestätigung veröffentlicht, und es werden keine Entscheidungen mit rechtlicher Wirkung automatisch getroffen.

Rechtsgrundlage ist die Vertragserfüllung beziehungsweise die Durchführung gewünschter vorvertraglicher Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO). Sicherheit, Missbrauchsabwehr, Diagnose und zuverlässige Wiederholungen beruhen auf unserem berechtigten Interesse an einem sicheren und verlässlichen Dienst (Art. 6 Abs. 1 lit. f DSGVO).

Instagram (Meta): Wenn du ein professionelles Instagram-Konto verbindest, erhalten und speichern wir die Instagram-Nutzer-ID und die ID des professionellen Kontos, den Benutzernamen, den Kontotyp und das Profilbild, ein verschlüsseltes Zugriffstoken mit einer Gültigkeit von etwa 60 Tagen, das wir während der bestehenden Verbindung aktualisieren, die IDs und Permalinks der über Selfpost veröffentlichten Beiträge, den Verarbeitungsstatus sowie Kommentar-IDs für von dir angeforderte erste Kommentare. Mit der Insights-Berechtigung lesen und speichern wir Aufrufe, Reichweite, Likes, Kommentare, geteilte Inhalte und Speicherungen dieser Beiträge. Mit der Kommentar-Berechtigung veröffentlichen wir den von dir angeforderten ersten Kommentar unter deinem eigenen Beitrag und speichern dessen Kommentar-ID; andere Kommentare lesen wir nicht. Verwendete Berechtigungen: instagram_business_basic, instagram_business_content_publish, instagram_business_manage_comments, instagram_business_manage_insights.

TikTok: Wenn du ein TikTok-Konto verbindest, erhalten und speichern wir die TikTok-Open-ID, den Anzeigenamen, den Benutzernamen und eine temporäre Avatar-URL, verschlüsselte Zugriffs- und Aktualisierungs-Tokens, die von TikTok zurückgegebenen Creator-Info-Optionen (verfügbare Privatsphäre-Optionen, Interaktionseinstellungen, maximale Videolänge) sowie Publish-IDs und Verarbeitungsstatus und, sofern das Konto es erteilt hat, die Aufruf-, Like-, Kommentar- und Teilen-Zahlen der über Selfpost veröffentlichten Videos. Verwendete Berechtigungen: video.publish und video.list (nur Statistiken). Bei der Anmeldung mit TikTok liefert die Berechtigung user.info.basic ausschließlich deinen Anzeigenamen und Avatar.

YouTube (Google): Selfpost nutzt YouTube API Services. Wenn du einen YouTube-Kanal verbindest, erhalten und speichern wir die Kanal-ID, den Titel, das Handle und das Vorschaubild, verschlüsselte OAuth-Tokens, die IDs und URLs der über Selfpost hochgeladenen Videos, Upload- und Privatsphäre-Status die in Selfpost angezeigten Aufruf-, Like- und Kommentarzahlen sowie die Kommentar-ID eines von dir angeforderten ersten Kommentars. Verwendete Berechtigungen: youtube.upload und youtube.force-ssl. Die Nutzung und Weitergabe von über Google-APIs erhaltenen Informationen durch Selfpost an andere Anwendungen richtet sich nach der Google API Services User Data Policy (https://developers.google.com/terms/api-services-user-data-policy), einschließlich der Limited-Use-Anforderungen. Datenschutzerklärung von Google: https://policies.google.com/privacy. YouTube-Nutzungsbedingungen: https://www.youtube.com/t/terms. Bei der Anmeldung mit Google liefern die Scopes openid, email und profile ausschließlich deinen Namen, deine E-Mail-Adresse und dein Profilbild.

Wir nutzen Plattformdaten ausschließlich, um das verbundene Konto anzuzeigen, geplante Inhalte zu veröffentlichen, den Verarbeitungsstatus anzuzeigen, die von dir eingesehenen Statistiken zu aktualisieren und einen von dir angeforderten ersten Kommentar zu veröffentlichen. Wir verkaufen sie nicht, nutzen sie nicht für Werbung und geben sie nicht an andere Anwendungen weiter.

Workspace-Mitglieder können einen Freigabe-Link teilen, über den eine Kundin, ein Kunde oder eine Kollegin ein Video oder Bild ohne Selfpost-Konto ansehen, freigeben, Änderungen anfordern oder kommentieren kann. Der Link selbst ist der Zugang; die Seiten werden nicht indexiert und erscheinen in keinem Workspace.

Beim Öffnen eines solchen Links verarbeiten wir das Link-Token, das optional eingegebene Ansichtspasswort und den Zeitpunkt des Zugriffs. Bei einer Antwort speichern wir die Entscheidung, deine Kommentare, den eingegebenen Namen (optional) und den Zeitpunkt. Dein Name und deine Kommentare werden allen angezeigt, die denselben oder einen daraus weitergegebenen Link öffnen, sowie den Mitgliedern des Workspace, der ihn geteilt hat. Dein Browser hält die Ansichtsberechtigung und deinen Namen nur bis zum Schließen des Tabs im Session-Storage.

Der Workspace, der den Link teilt, entscheidet, an wen er geht, und ist Verantwortlicher für die damit eingeholte Freigabe; Selfpost verarbeitet die Daten in seinem Auftrag im Rahmen des Selfpost-Vertrags (Art. 6 Abs. 1 lit. b DSGVO) und für Sicherheitsprotokolle und Missbrauchsabwehr auf Grundlage unseres berechtigten Interesses an einem verlässlichen Dienst (Art. 6 Abs. 1 lit. f DSGVO). Freigabe-Antworten bleiben so lange gespeichert wie die Medien und der Link bestehen und werden mit ihnen gelöscht; der Workspace kann einen Link jederzeit widerrufen.

Die kostenlosen Tools (selfpost.app/tools) brauchen kein Konto. Die meisten laufen vollständig in deinem Browser: Dateien, die du dort öffnest, prüfst, zuschneidest oder aufnimmst, und Text, den du eingibst, werden nicht an uns übertragen.

Selfpost Send (selfpost.app/tools/send) ist die Ausnahme, weil Teilen sein Zweck ist. Wir speichern die gesendeten Dateien mit Namen, Größe und Typ in unserem Objektspeicher bei OVHcloud in Frankfurt und löschen sie 7 Tage nach Abschluss des Uploads, oder früher, wenn du sie löschst. Wer den Link hat, kann sie herunterladen. Damit der kostenlose Dienst nicht missbraucht wird, speichern wir zu jedem Versand einen schlüsselbasierten Hash deiner IP-Adresse und zählen die Versände pro Adresse über 24 Stunden. Wer einen Versand meldet, kann Details und eine E-Mail-Adresse für unsere Antwort angeben. Versanddaten (ohne Dateinamen) und Meldungen löschen wir 30 Tage nach den Dateien. Rechtsgrundlage ist unser berechtigtes Interesse, einen kostenlosen Dienst anzubieten und vor Missbrauch zu schützen (Art. 6 Abs. 1 lit. f DSGVO).

Wartelisteneinträge enthalten E-Mail-Adresse, Sprache, Quelle und Zeitstempel. Wer das Spiel Selfpost Invaders (selfpost.app/play) schafft und seine E-Mail einträgt, kommt ebenfalls auf die Warteliste; zusätzlich speichern wir den Zeitpunkt des Siegs und den besten Punktestand, um zum Launch den versprochenen Gutschein zu schicken. Sie dienen dem gewünschten Launch-Update (samt Gutschein) auf Grundlage deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Die Einwilligung kann jederzeit widerrufen werden; die Rechtmäßigkeit früherer Verarbeitung bleibt unberührt.

Einladungen und Partnerprogramm: Wer über einen Einladungs- oder Partnerlink kommt, dem merkt der Browser den Code des Links für 60 Tage (lokaler Speicher); Selfpost zählt Aufrufe eines Links pro Tag ohne Personenbezug. Erstellt jemand über einen Link ein Konto oder trägt sich mit einem Link in die Warteliste ein, speichern wir, über wessen Link das geschah, sowie Gutschriften und Zahlungseingänge, die für die Belohnung nötig sind (Art. 6 Abs. 1 lit. b DSGVO, Durchführung des Empfehlungsprogramms). Wer einlädt, sieht den Vornamen der eingeladenen Person und ob sie zahlt; Partner sehen ihre Kunden nur als Nummer, ohne Namen. Um Selbsteinladungen zu erkennen, vergleichen wir den Karten-Fingerabdruck von Stripe (nicht die Kartennummer). Partner-Bewerbungen enthalten Name, E-Mail, Kanäle, Reichweite, Land und deine Nachricht; Auszahlungsdaten (Kontoinhaber, IBAN oder PayPal-Adresse, Anschrift, optional UID) werden verschlüsselt gespeichert und nur für Auszahlungen und Buchhaltung verwendet (Art. 6 Abs. 1 lit. b und c DSGVO). Abgelehnte Bewerbungen löschen wir nach sechs Monaten.

Supportanfragen enthalten Konto- und optionalen Workspace-Kontext, Kategorie, Betreff, Nachricht, Status und Zeitstempel. Sie werden zur Vertragserfüllung, für gewünschte vorvertragliche Schritte oder aufgrund unseres berechtigten Interesses an der Problemlösung verarbeitet.

Betriebliche E-Mails zu Verifizierung, Sicherheit, Veröffentlichung, Wiederverbindung, Abrechnung und Einladungen sind für Vertrag oder Sicherheit erforderlich. Provider-Tokens, private Medien-URLs und vollständige Zahlungskartendaten werden nicht in Supportnachrichten aufgenommen.

Stripe verarbeitet Checkout- und Zahlungsmitteldaten, wenn die Abrechnung aktiviert ist. Aktueller Bereitstellungsstatus: wird für Kaufabwicklung, Abonnements und Rechnungsstellung verwendet. Selfpost erhält Kunden- und Abonnementkennungen, Tarif, Mengen, Zahlungs- und Abonnementstatus, Rechnungs- oder Wiederherstellungslinks sowie Metadaten signierter Abrechnungsereignisse, jedoch keine vollständigen Kartendaten.

Die Verarbeitung ist für den Vertrag (Art. 6 Abs. 1 lit. b DSGVO), steuerliche und unternehmensrechtliche Pflichten (Art. 6 Abs. 1 lit. c) sowie Betrugsprävention und Abgleich aufgrund berechtigter Interessen (Art. 6 Abs. 1 lit. f) erforderlich.

Wenn du Instagram, TikTok oder YouTube verbindest oder dorthin veröffentlichst, weist du Selfpost an, ausgewählte Kontoidentität, Medien, Texte, Einstellungen und Publishing-Befehle an die Plattform zu senden und Status sowie Analysedaten abzurufen. Die Plattform verarbeitet Daten zusätzlich nach deinem dortigen Vertrag und ihren Datenschutzbedingungen: Meta unter https://privacycenter.instagram.com/policy, TikTok unter https://www.tiktok.com/legal/page/eea/privacy-policy/en und Google unter https://policies.google.com/privacy.

Die Infrastruktur-Anbieter von Selfpost sind Contabo (Rechenzentrum in der Europäischen Union) für Server und Datenbank, OVHcloud (Rechenzentren in der Europäischen Union, Standort Frankfurt am Main, Deutschland) für Medienspeicher und Backups, Cloudflare als Netzwerk-Proxy vor Website und API, Zoho/ZeptoMail für Transaktions-E-Mails und Stripe für Abrechnung. Ihre Vertragspartner und Übermittlungsgarantien sind auf der Seite Auftragsverarbeiter aufgeführt.

Von dir gewählte Plattformempfänger sind Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Irland; Meta Platforms, Inc. (Vereinigte Staaten) im Rahmen des EU-US Data Privacy Framework, TikTok Technology Limited, Dublin, Irland, und TikTok Information Technologies UK Limited, London; Konzerngesellschaften außerhalb des EWR können im Rahmen der Übermittlungsgarantien von TikTok auf Daten zugreifen und Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; Google LLC (Vereinigte Staaten) im Rahmen des EU-US Data Privacy Framework. Widerrufe den Zugriff von Selfpost jederzeit: bei Instagram unter https://www.instagram.com/accounts/manage_access/ (Einstellungen → Website-Berechtigungen → Apps und Websites); bei TikTok in der TikTok-App unter Einstellungen und Datenschutz → Sicherheit und Berechtigungen → App-Berechtigungen verwalten. Du kannst den Zugriff von Selfpost auch auf der Google-Sicherheitsseite unter https://security.google.com/settings/security/permissions widerrufen. Das Trennen in Selfpost widerruft außerdem die TikTok- und Google-Tokens und löscht zwischengespeicherte Plattformdaten.

Wenn du einen KI-Assistenten wie Claude oder ChatGPT verbindest (Kontoeinstellungen → KI-Assistenten), weist du Selfpost an, dessen Anfragen zu beantworten: Er erhält Beiträge, Texte, Mediendetails, Statistiken, Namen verbundener Konten und Review-Notizen deiner Kunden aus den Workspaces, die du gewählt hast, und kann dort Entwürfe vorbereiten, die auf deine Bestätigung warten. Den Anbieter des Assistenten (zum Beispiel Anthropic oder OpenAI) wählst du selbst; er verarbeitet diese Daten nach deinem Vertrag mit ihm und ist kein Auftragsverarbeiter von Selfpost. Selfpost gibt ihm nie deine Plattform-Tokens weiter und protokolliert, wann und für welche Workspaces du den Assistenten erlaubt hast. Trenne ihn jederzeit unter Kontoeinstellungen → KI-Assistenten; sein Zugriff endet sofort.

Server und Datenbank von Selfpost betreibt Contabo (Rechenzentrum in der Europäischen Union), Medienspeicher und Backups OVHcloud (Rechenzentren in der Europäischen Union, Standort Frankfurt am Main, Deutschland). Jede Anfrage an Website und API läuft über Cloudflare (globales Netzwerk von Cloudflare; eine Anfrage wird in der Regel im Rechenzentrum verarbeitet, das dem Besucher am nächsten liegt; Zertifizierung der Cloudflare, Inc. nach dem EU-US Data Privacy Framework und Standardvertragsklauseln im Cloudflare Data Processing Addendum). Die Veröffentlichung auf einer Plattform übermittelt die ausgewählten Inhalte, Einstellungen und die Kontoidentität an diese Plattform: Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Irland; Meta Platforms, Inc. (Vereinigte Staaten) im Rahmen des EU-US Data Privacy Framework (EU-US Data Privacy Framework und die Standardvertragsklauseln von Meta); TikTok Technology Limited, Dublin, Irland, und TikTok Information Technologies UK Limited, London; Konzerngesellschaften außerhalb des EWR können im Rahmen der Übermittlungsgarantien von TikTok auf Daten zugreifen (Standardvertragsklauseln der Europäischen Kommission in den Datenverarbeitungsbedingungen von TikTok sowie die dokumentierten ergänzenden Maßnahmen von TikTok); Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; Google LLC (Vereinigte Staaten) im Rahmen des EU-US Data Privacy Framework (EU-US Data Privacy Framework und die Standardvertragsklauseln von Google). Selfpost stützt sich auf die oben genannten Standardvertragsklauseln und ergänzenden Maßnahmen; Informationen zur Bewertung der Übermittlung sind beim Datenschutzkontakt erhältlich. Kopien der anwendbaren Garantien können bei [email protected] angefordert werden.

Wenn ein Gericht, eine Strafverfolgungsbehörde, eine Abgabenbehörde, eine Regulierungsbehörde oder eine sonstige öffentliche Stelle von THK-Media die Offenlegung personenbezogener Daten verlangt, prüfen wir vor jeder Offenlegung, ob das Ersuchen schriftlich vorliegt, von einer für uns zuständigen Behörde stammt, eine Rechtsgrundlage nennt und uns nach österreichischem oder Unionsrecht tatsächlich bindet. Auf ein formloses oder auf Freiwilligkeit gerichtetes Ersuchen legen wir keine personenbezogenen Daten offen.

Erscheint ein Ersuchen rechtswidrig, geht es über die genannte Rechtsgrundlage hinaus oder steht es im Widerspruch zur DSGVO – insbesondere bei einer Anordnung einer Drittstaatsbehörde ohne anerkannten Weg über österreichisches oder Unionsrecht –, bekämpfen wir es mit den uns zur Verfügung stehenden Rechtsmitteln. Solange ein Rechtsmittel mit aufschiebender Wirkung anhängig ist, legen wir die Daten nicht offen.

Wir legen ausschließlich jene Datensätze offen, die vom Ersuchen erfasst sind. Wir übergeben kein ganzes Konto, keinen ganzen Workspace und keine ganze Mediathek, wenn ein engerer Umfang das Ersuchen beantwortet, wir schließen Daten anderer Workspace-Mitglieder und anderer Kunden aus, und wir legen Zugriffstokens, Sitzungstokens und Zugangsdaten nur offen, wenn eine Anordnung sie ausdrücklich benennt und die vorstehende Prüfung besteht.

Soweit das Recht es zulässt, informieren wir dich vor der Offenlegung, damit du eigene Rechtsbehelfe ergreifen kannst. Untersagt ein Ersuchen diese Information, ersuchen wir die Behörde, dieses Verbot aufzuheben. Bei Daten, die wir als Auftragsverarbeiter für einen Workspace-Kunden verarbeiten, leiten wir das Ersuchen an diesen Kunden weiter und informieren ihn nach Ziffer 4 unseres Auftragsverarbeitungsvertrags.

Wir dokumentieren jedes solche Ersuchen und unsere Reaktion darauf: Behörde und Aktenzeichen, das Ersuchen im Wortlaut, die genannte Rechtsgrundlage, unsere eigene Beurteilung samt Begründung, die entscheidenden Personen, was wir offengelegt und was wir zurückgehalten haben, ob wir dich informiert haben und welche Rechtsmittel wir ergriffen haben. Aggregierte, nicht identifizierende Informationen über eingehende Ersuchen stellen wir Kunden auf Anfrage unter [email protected] zur Verfügung.

Normale Sitzungen laufen nach 7 Tagen ab, Sitzungen mit Merkfunktion nach 30 Tagen. Authentifizierungs- und OAuth-Zustände verfallen nach 10 Minuten, Aktionstokens nach 30 Minuten, Einladungen nach 7 Tagen, abgebrochene Upload-Reservierungen nach ungefähr 1 Stunde und Idempotenzdaten nach ungefähr 24 Stunden.

Medien, Entwürfe, Beiträge, verbundene Konten und Workspace-Daten werden solange das betreffende Konto oder der Workspace besteht und bis zur Löschung durch den Nutzer; Dateien der Mediathek, die 30 Tage lang niemand verwendet hat, werden automatisch gelöscht, nachdem der Workspace mindestens 7 Tage vorher darauf hingewiesen wurde (in bezahlten Tarifen pro Datei abschaltbar); speichert ein Konto 30 Tage lang mehr, als sein Tarif umfasst, etwa nach dem Ende eines Abonnements, werden ältere Versionen und danach die am längsten nicht verwendeten Dateien gelöscht, bis es passt, nachdem der Kontoinhaber zu Beginn der 30 Tage und 7 Tage vorher benachrichtigt wurde; die Löschung eines Workspaces oder Kontos entfernt sie unverzüglich, vorbehaltlich der Backup-Rotation gespeichert. Plattform-Tokens werden sofort gelöscht, wenn du ein Konto trennst oder den Workspace beziehungsweise dein Konto löschst. Plattform-Analyse- und Funktionsdaten: Analyse- und Funktions-Snapshots der Anbieter werden durch die geplante Synchronisierung aktualisiert und 30 Tage nach der letzten Aktualisierung oder unverzüglich bei Trennung des Kontos gelöscht; Prüfprotokolle werden nach 12 Monaten gelöscht. Support- und E-Mail-Aufzeichnungen: Support-Anfragen werden 24 Monate nach ihrer Schließung gelöscht; Aufzeichnungen zugestellter E-Mails werden nach 30 Tagen gelöscht.

Wartelistendaten werden bis zum Widerruf der Einwilligung oder bis der Eintrag für die angeforderte Startinformation nicht mehr erforderlich ist gespeichert. Abrechnungsunterlagen werden für die anwendbare österreichische steuer- und unternehmensrechtliche Aufbewahrungsfrist, grundsätzlich sieben Jahre, und länger, soweit ein anhängiges Verfahren dies erfordert gespeichert. Damit jedes Instagram-, TikTok- und YouTube-Konto die kostenlose Testphase nur einmal bekommt, speichert Selfpost von jedem während einer Testphase verbundenen Konto einen mit Schlüssel gebildeten Einweg-Fingerabdruck (nicht Name oder ID) für 24 Monate, auch nach Löschung des Selfpost-Kontos (berechtigtes Interesse, Missbrauch der Testphase zu verhindern). Kontolöschung entfernt oder anonymisiert operative personenbezogene Daten vorbehaltlich zwingender Aufbewahrung. Das Trennen widerruft den Google- und TikTok-Zugriff beim jeweiligen Anbieter und löscht die lokalen Tokens; bei Instagram löscht Selfpost sein Token sofort, und du kannst Selfpost zusätzlich unter Apps und Websites in Instagram entfernen.

Backups: Datenbank-Backups werden täglich und vor jeder Migration erstellt und automatisch rotiert; tägliche Backups werden 30 Tage auf dem Server und verschlüsselt höchstens 31 Tage an einem getrennten Speicherort von OVHcloud in Deutschland aufbewahrt, wo sie weder verändert noch vorzeitig gelöscht werden können; die letzten 14 Backups vor Migrationen bleiben auf dem Server.

Selfpost nutzt ein sicheres HttpOnly-Sitzungscookie und lokale Speicherungen für Sprache, Theme und Animationen. Sie sind für Anmeldung, gewünschte Einstellungen und Anwendungsfunktionen erforderlich und keine Werbecookies.

Weitere lokale Oberflächeneinstellungen, Navigationsverlauf und letzte Suchen werden im Local- oder Session-Storage deines Geräts gespeichert und können über den Browser gelöscht werden.

Optionale Reichweitenmessung darf nur cookielos und ohne Werbeprofile konfiguriert werden. Falls künftig nicht notwendige Informationen am Gerät gespeichert oder ausgelesen werden, bleibt die Funktion deaktiviert, bis wirksame Einwilligungssteuerung und diese Erklärung aktualisiert wurden.

Selfpost misst Besuche der öffentlichen Website selbst, ohne Cookies und ohne etwas auf deinem Gerät zu speichern oder auszulesen. Pro Seitenaufruf speichert unser Server die Seitenadresse ohne Parameter, die Domain der verweisenden Website, Kampagnen-Kennzeichen (utm_source, utm_medium, utm_campaign), eine Geräteklasse (Mobil, Tablet oder Desktop), das Land der Verbindung, sofern unser Netzwerkdienstleister es meldet, und einen Hash aus IP-Adresse und Browserkennung unter einem täglich wechselnden Salz, mit dem wir eindeutige Besucher pro Tag zählen. Das Salz wird nach zwei Tagen gelöscht, ältere Hashes lassen sich danach niemandem mehr zuordnen; die IP-Adresse selbst wird nie gespeichert. Seiten der angemeldeten App, Freigabe-Links und Einladungen werden nie gemessen, und Browser mit Global Privacy Control oder Do Not Track werden übersprungen. Rechtsgrundlage ist unser berechtigtes Interesse zu verstehen, wie Menschen Selfpost finden (Art. 6 Abs. 1 lit. f DSGVO). Die Einträge bleiben auf unseren eigenen Systemen und werden nach 400 Tagen gelöscht.

Je nach Voraussetzungen bestehen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Eine Einwilligung kann jederzeit widerrufen werden. Gegen Verarbeitung aufgrund berechtigter Interessen kannst du aus Gründen deiner besonderen Situation widersprechen; Direktwerbung kann jederzeit widersprochen werden.

Viele Daten lassen sich in der Anwendung löschen, einschließlich des gesamten Kontos über Kontoeinstellungen → „Deine Daten“. Weitere Anträge können an [email protected] gesendet werden. Zur Identitätsprüfung dürfen angemessene Nachweise verlangt werden. Gesetzliche Ausnahmen, Aufbewahrungspflichten und Rechte anderer Personen können Rechte begrenzen.

Datenexport: Angemeldete Nutzer können in den Kontoeinstellungen einen maschinenlesbaren JSON-Export ihres Kontos, ihrer Workspaces, Beiträge, Medienmetadaten und Analysedaten herunterladen; Anfragen für andere Formate werden über den Datenschutzkontakt bearbeitet.

Konto-, Anmelde-, Workspace- und plattformspezifische Publishing-Daten sind für die angeforderte Leistung erforderlich. Ohne sie kann die jeweilige Funktion nicht angeboten werden. Die Warteliste ist freiwillig.

Selfpost trifft keine ausschließlich automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung nach Art. 22 DSGVO. Preflight-, Capability-, Analyse- und Assistenzfunktionen liefern betriebliche Ergebnisse oder Vorschläge; Nutzer entscheiden über Inhalte, Ziele, Einstellungen und Veröffentlichung.

Maßnahmen umfassen rollenbasierte Workspace-Autorisierung, verschlüsselte Provider-Tokens, gehashte Sitzungs- und Aktionstokens, privaten Medienspeicher mit kurzlebigen signierten URLs, Eingabevalidierung, Rate-Limits, Audit-Daten, Log-Redaktion und eingeschränkte Produktionskonfiguration. Absolute Sicherheit kann kein Internetdienst versprechen.

Selfpost richtet sich an Erwachsene und geschäftliche Nutzung, nicht an Kinder. Übermittle sensible Daten anderer nur, wenn dies erforderlich ist und eine Rechtsgrundlage besteht.

Du kannst dich bei der Österreichischen Datenschutzbehörde, Barichgasse 40-42, 1030 Wien, [email protected], oder einer anderen zuständigen Aufsichtsbehörde beschweren. Sonstige Rechtsbehelfe bleiben unberührt.

Bei wesentlichen Änderungen der Verarbeitung aktualisieren wir diese Erklärung. Aktuelle Fassung und Datum stehen dauerhaft unter dieser URL; wesentliche Änderungen für registrierte Nutzer werden zusätzlich angemessen im Konto oder per E-Mail mitgeteilt.