Datenschutzerklärung

<h2>Verantwortlicher</h2>

Postbox-Germany Styrumer Str. 56 47138 Duisburg info@postbox-germany.com · +49 203 552 466 52

<h2>Worum es geht</h2>

Dieses Portal hat zwei Bereiche. In der Verwaltung arbeiten unsere Mitarbeiter mit Kunden- und Geschäftsdaten. Im Kundenbereich sehen Sie als Kunde Ihre eigenen Daten, Ihre gebuchten Leistungen und die Unterlagen, die wir für Sie bereitgestellt haben.

Ein Konto legen wir an — eine Selbstregistrierung gibt es nicht.

<h2>Welche Daten wir verarbeiten und warum</h2>

Ihre Stammdaten

Firma, Anrede und Name, E-Mail-Adresse, abweichende Rechnungsadresse, Telefon, Anschrift, USt-IdNr., Kundennummer, Beginn der Geschäftsbeziehung sowie — sofern hinterlegt — Geburtsdatum und die Daten Ihrer Ansprechpartner.

Zweck: Begründung und Durchführung des Vertrags, Rechnungsstellung, Kontakt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für Steuer- und Handelsdaten zusätzlich Art. 6 Abs. 1 lit. c DSGVO.

Ihr Portalzugang als Kunde

Wir speichern Ihre E-Mail-Adresse als Anmeldename. Für den Kundenbereich gibt es kein Passwort: Sie fordern einen Anmeldelink an, den wir Ihnen per E-Mail schicken. Dieser Link ist 60 Minuten gültig und wird als Prüfwert gespeichert, nicht im Klartext. Nach der Anmeldung besteht eine Sitzung, zu der wir einen Sitzungsschlüssel, den Zeitpunkt und Ihre IP-Adresse speichern.

Zweck: Anmeldung ohne Passwort, Schutz des Zugangs. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Schutz vor Missbrauch

Zu jedem Anmeldeversuch speichern wir IP-Adresse, Zeitpunkt und die verwendete Adresse, um automatisierte Angriffe zu bremsen. Vor beiden Anmeldemasken steht zusätzlich Google reCAPTCHA.

Zweck: Sicherheit der Verarbeitung, Art. 32 DSGVO. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse daran, dass fremde Zugänge nicht durchprobiert werden können.

Was im Portal entsteht

<ul>
<li>Nachrichten zwischen Ihnen und unseren Mitarbeitern</li>
<li>Tickets samt Verlauf und den dazu benannten Ansprechpartnern</li>
<li>Dokumente, die wir für Sie bereitstellen oder die Sie hochladen — mit Originalname, Größe, Zeitpunkt und der Angabe, wer sie hochgeladen hat</li>
<li>Erinnerungen zu Terminen und wiederkehrenden Leistungen</li></ul>

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Interne Vermerke

Zu einer Geschäftsbeziehung führen wir interne Notizen, Gesprächsprotokolle mit einer Bewertung des Gesprächsverlaufs sowie Vermerke an Tickets, die im Kundenbereich nicht angezeigt werden.

Zweck: Betreuung und Nachvollziehbarkeit unserer Arbeit. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Diese Vermerke unterliegen Ihrem Auskunftsrecht nach Art. 15 DSGVO, obwohl sie Ihnen im Portal nicht angezeigt werden.

Daten unserer Mitarbeiter

Für eigene Beschäftigte verarbeiten wir Name, Kontaktdaten, Abteilung, Beschäftigungsart und Geburtsdatum. Rechtsgrundlage: § 26 BDSG (Beschäftigtendatenschutz), nicht Art. 6 Abs. 1 lit. b DSGVO.

Zugänge unserer Mitarbeiter

Anders als der Kundenbereich verlangt die Verwaltung ein Passwort. Wir speichern es ausschließlich als kryptografischen Prüfwert, nie im Klartext — auch wir können es nicht lesen. Eingerichtet wird ein Zugang über einen einmaligen Link per E-Mail, der 72 Stunden gültig ist; auch dieser Link wird nur als Prüfwert gespeichert. Das Passwort vergibt der Mitarbeiter selbst. Zu jedem Zugang halten wir fest, wann er zuletzt angemeldet war.

Zweck: Sicherung des Zugangs zur Verwaltung. Rechtsgrundlage: § 26 BDSG, ergänzend Art. 32 DSGVO.

<h2>Wer die Daten sieht</h2>

Innerhalb unseres Hauses nur Beschäftigte mit einem eigenen Zugang, abgestuft nach Rolle. Andere Kunden sehen Ihre Daten nicht — der Kundenbereich zeigt ausschließlich den eigenen Datensatz, es gibt keine Kundenliste und keine Suche über andere Kunden.

Technischer Support: Der Anbieter der Software kann zur Unterstützung auf das Portal zugreifen, aber erst nach einem Freigabecode, den wir selbst erzeugen. Jeder Zugriff wird mit Zeitpunkt, Dauer und Anlass protokolliert und ist jederzeit sofort beendbar. Grundlage ist ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

<h2>Empfänger außerhalb unseres Hauses</h2>

<ul>
<li>IONOS SE (Server in Deutschland) — Betrieb des Servers · alle im Portal gespeicherten Daten</li>
<li>Alfahosting GmbH — Versand der E-Mails aus dem Portal · Empfängeradresse, Betreff, Inhalt</li>
<li>Google Ireland Ltd. — reCAPTCHA vor den Anmeldemasken · IP-Adresse und Interaktionsdaten</li>
<li>OpenStreetMap Foundation (Vereinigtes Königreich) — Kartenansicht der Tourenplanung · IP-Adresse</li></ul>

Google reCAPTCHA prüft, ob eine Anmeldung von einem Menschen stammt. Dabei werden Daten an Google übertragen, auch in die USA. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; Grundlage der Übermittlung sind das EU-US Data Privacy Framework, hilfsweise die Standardvertragsklauseln der EU-Kommission. Weitere Informationen: <https://policies.google.com/privacy>

Kartenansicht in der Tourenplanung. Die Karte wird erst geladen, wenn sie ausdrücklich aufgerufen wird; bis dahin steht an ihrer Stelle eine Skizze, die ohne Verbindung nach außen auskommt. Beim Aufruf lädt der Browser die Kartenausschnitte bei der OpenStreetMap Foundation. Dabei wird die IP-Adresse der aufrufenden Person dorthin übertragen; Daten Ihrer Kunden werden nicht übermittelt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — Darstellung von Standorten für die Einsatz- und Tourenplanung. Weitere Informationen: <https://osmfoundation.org/wiki/Privacy_Policy>

Ermittlung von Koordinaten. Damit sich Entfernungen berechnen lassen, wird zu jeder Anschrift eine Position gespeichert. In der Voreinstellung geschieht das im Haus aus einer eigenen Postleitzahlentabelle — dabei verlässt keine Anschrift den Server. Nur wenn in den Einstellungen auf die hausnummerngenaue Ermittlung umgestellt wird, wird die jeweilige Anschrift an den Dienst Nominatim der OpenStreetMap Foundation übermittelt.

*(Diese beiden Absätze und den Eintrag in der Liste darüber entfernen, wenn die Tourenplanung nicht genutzt wird.)*

Eine Webanalyse findet im Portal nicht statt. Schriften und Programmcode werden vom eigenen Server ausgeliefert; außer für reCAPTCHA und die ausdrücklich aufgerufene Kartenansicht wird beim Aufruf keine Verbindung zu Dritten hergestellt.

<h2>Wie lange wir speichern</h2>

<ul>
<li>Stamm- und Vertragsdaten — für die Dauer der Geschäftsbeziehung, danach nach den handels- und steuerrechtlichen Fristen (6 bzw. 10 Jahre)</li>
<li>Anmeldelinks (Kunden) — 60 Minuten gültig, spätestens nach einem Tag gelöscht</li>
<li>Einrichtungslinks für Mitarbeiterzugänge — 72 Stunden gültig, mit dem Setzen des Passworts sofort entwertet</li>
<li>Sitzungen — bis zur Abmeldung, spätestens zwei Tage nach Ablauf gelöscht</li>
<li>Anmeldeversuche — 30 Tage</li>
<li>Versandprotokoll der E-Mails — 12 Monate</li>
<li>Hinweise im Portal — 30 bis 365 Tage je nach Zustand</li>
<li>Protokoll der Support-Zugriffe — dauerhaft, als Nachweis</li></ul>

Gelöschte Datensätze liegen zunächst in einem Papierkorb und sind erst nach dem endgültigen Entfernen unwiederbringlich gelöscht.

<h2>Ihre Rechte</h2>

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21).

Unabhängig davon können Sie sich bei einer Datenschutz-Aufsichtsbehörde beschweren. Zuständig ist die Behörde des Bundeslandes, in dem wir unseren Sitz haben.

<h2>Pflicht zur Bereitstellung</h2>

Ohne Ihre Stammdaten können wir den Vertrag nicht erfüllen. Ohne Ihre E-Mail-Adresse ist eine Anmeldung am Portal nicht möglich. Eine automatisierte Entscheidungsfindung oder ein Profiling findet nicht statt.