Postfluss

Datenschutzhinweise

Stand: 5. November 2026

1. Wer verantwortlich ist

Saimon Misiaki (Simon Misiak), Individueller Unternehmer georgischen Rechts, Nino-und-Ilia-Nakaschidse-Straße 1, Wohnung 3, Gebäude 3, Bezirk Krzanisi, Tbilissi, Georgien (amtliche Schreibweise im Impressum), E-Mail: info@nighthopper.de.

Vertreterin in der EU nach Art. 27 DSGVO: Thaleia Melas, Frantz-Soumpert-Straße 11, 6028 Larnaka, Zypern.

Einen Datenschutzbeauftragten haben wir nicht benannt. Fragen zum Datenschutz schickt ihr an die Adresse oben.

2. Wofür diese Hinweise gelten

Diese Hinweise gelten für unsere Website, die Registrierung, die Konten der Nutzer in Postfluss, die Abrechnung und unsere Hilfe beim Einrichten.

Sie gelten nicht für die Inhalte, die Firmen mit Postfluss bearbeiten, also die Mails und Chats ihrer Kunden. Dafür ist die jeweilige Firma verantwortlich. Wir verarbeiten diese Inhalte nur in ihrem Auftrag, nach dem Vertrag zur Auftragsverarbeitung. Wer als Kunde einer Firma Fragen dazu hat, wendet sich an diese Firma. Eine Ausnahme ist das Schwarmwissen, das eine Firma einschalten kann (Abschnitt 10).

3. Besuch der Website

Unsere Website setzt keine Cookies, speichert nichts in eurem Browser und nutzt keine Analyse- oder Werbedienste. Sie lädt nichts von fremden Servern, auch die Schriften liegen bei uns.

Damit die Seite bei euch ankommt, verarbeitet der Server eure IP-Adresse für die Dauer des Abrufs. Zugriffsprotokolle mit IP-Adresse speichern wir nicht. Gehostet wird die Website auf unserem eigenen Server bei DeinServerHost (Christian Ralph Hennig, Grubenstraße 21, 66265 Heusweiler, Deutschland), Rechenzentrum bei Frankfurt am Main.

Rechtsgrundlage ist unser berechtigtes Interesse, die Website bereitzustellen (Art. 6 Abs. 1 lit. f DSGVO).

4. Registrierung

Wenn ihr ein Konto erstellt, verarbeiten wir:

An die Adresse schicken wir einen Link, mit dem ihr euer Passwort festlegt. Legt innerhalb von 7 Tagen niemand ein Passwort fest, löschen wir das Konto samt diesen Angaben.

Gegen Missbrauch zählen wir, wie oft von einer IP-Adresse und für eine E-Mail-Adresse Registrierungen kommen. Dafür speichern wir nur einen Hashwert, nie die Adresse selbst. Die Zähler gelten eine Stunde bzw. einen Tag, danach werden sie gelöscht.

Rechtsgrundlage ist das berechtigte Interesse eurer Firma und unseres, den Vertrag anzubahnen und zu erfüllen und den Dienst sicher zu betreiben (Art. 6 Abs. 1 lit. f DSGVO). Ohne Firmenname und E-Mail-Adresse können wir kein Konto anlegen.

5. Konten der Nutzer

Für jede Person, die in einer Firma mit Postfluss arbeitet, speichern wir:

Gegen das Durchprobieren von Passwörtern zählen wir Fehlversuche je E-Mail-Adresse, IP-Adresse und Nutzer. Auch das nur als Hashwert und höchstens 24 Stunden lang.

Name, E-Mail-Adresse, Signatur und das Geheimnis für den zweiten Faktor sind mit dem Schlüssel der Firma verschlüsselt. Diese Daten bleiben, bis ein Admin die Person entfernt oder die Firma gelöscht wird. Das Protokoll bleibt, bis die Firma gelöscht wird.

Im Browser legt die App nur das Anmelde-Token ab: für die Sitzung im Sitzungsspeicher, mit „Angemeldet bleiben“ im lokalen Speicher. Dazu kommt, ob die Seitenleiste auf- oder zugeklappt ist. Außerdem richtet die App einen Service Worker ein, damit sie sich wie eine App installieren lässt und Push-Meldungen empfangen kann. Er speichert keine Inhalte. Das ist für den Dienst, den ihr nutzt, technisch nötig (§ 25 Abs. 2 Nr. 2 TDDDG). Cookies setzt die App nicht.

Push-Meldungen gibt es nur, wenn ihr sie auf einem Gerät einschaltet. Dann geht über den Push-Dienst eures Browsers (Google, Apple, Mozilla oder Microsoft) nur die Art der Meldung und eine Kennung oder Anzahl, nie Betreff, Absender oder Text. Diese Dienste sitzen in den USA. Soweit ein Anbieter unter dem EU-US Data Privacy Framework zertifiziert ist, gilt für ihn der Angemessenheitsbeschluss der EU-Kommission. Ausschalten könnt ihr die Meldungen jederzeit in der App oder im Browser.

Rechtsgrundlage ist das berechtigte Interesse eurer Firma und unseres, den Vertrag zu erfüllen und den Dienst sicher bereitzustellen (Art. 6 Abs. 1 lit. f DSGVO).

6. Abrechnung und Zahlung

Wir speichern Tarif, Guthaben und Buchungen eurer Firma. Bei einer Überweisung erfassen wir Name und IBAN des Auftraggebers, Betrag, Datum und Verwendungszweck. Auf ein Konto, von dem ihr eingezahlt habt, zahlen wir auch aus.

Zahlt ihr per PayPal, leiten wir euch zu PayPal weiter. Dort gelten die Datenschutzhinweise von PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg, als eigenem Verantwortlichen. Von PayPal erhalten wir den Namen des Zahlers, den Betrag und die Kennung der Zahlung.

Rechtsgrundlagen sind der Vertrag (Art. 6 Abs. 1 lit. b DSGVO) und unsere Pflichten aus Steuer- und Handelsrecht (Art. 6 Abs. 1 lit. c DSGVO). Buchungsdaten bewahren wir so lange auf, wie diese Gesetze es verlangen, in der Regel bis zu 10 Jahre.

7. Hilfe und Kontakt

Schreibt ihr uns, per E-Mail oder über das Kontaktformular unter app.postfluss.com/#/kontakt, verarbeiten wir eure Angaben (Name, E-Mail-Adresse, Firma, Nachricht) und den Inhalt, um euch zu helfen. Das Formular schickt die Nachricht als E-Mail an unser Postfach und speichert selbst nichts. Wir löschen die Unterlagen, wenn die Sache erledigt ist, es sei denn, sie gehören zum Vertrag oder wir müssen sie aufbewahren. Rechtsgrundlage ist der Vertrag bzw. die Anbahnung (Art. 6 Abs. 1 lit. b DSGVO) oder unser berechtigtes Interesse, Anfragen zu beantworten (Art. 6 Abs. 1 lit. f DSGVO).

Mails von Postfluss selbst, etwa den Link zur Registrierung oder für ein neues Passwort, verschicken wir über [Anbieter für Systemmails, Land]. Nach dem Versand löschen wir den Auftrag.

8. Empfänger

Eure Daten erhalten nur Dienstleister, die wir für den Betrieb brauchen und die an unsere Weisungen gebunden sind:

PayPal erhält Daten als eigener Verantwortlicher, wenn ihr dort bezahlt. Behörden erhalten Daten nur, wenn das Gesetz uns dazu verpflichtet.

9. Wo die Daten liegen

Server, Datenbank und Sicherungen stehen in der EU. Wir selbst sitzen in Georgien und greifen von dort auf die Server zu, etwa für Betrieb und Hilfe. Für unsere Verarbeitung gilt die DSGVO (Art. 3 Abs. 2 DSGVO).

10. Schwarmwissen

Das gilt für Nutzer der App und für Kunden und Beschäftigte von Firmen, die Schwarmwissen einschalten. Schwarmwissen ist ein Schalter, den ein Admin der Firma in den Einstellungen einschaltet. Ohne Schalter zählt nichts mit.

Nimmt eine Firma teil, legen wir für jede neue Kundenanfrage eine Zeile im Konto der Firma an. Sie enthält nur Werte aus festen Listen:

Nie gespeichert werden Texte, Namen, Adressen, Nummern oder Kennungen, auch nicht verschlüsselt oder gehasht, und nicht, welcher Nutzer geantwortet hat. Die Zeile wartet höchstens 14 Tage im Konto der Firma auf das Ergebnis. Dann wird sie in einen Zähler je Monat eingerechnet und gelöscht. Löscht die Firma die Anfrage vorher, verschwindet die Zeile mit.

Für die Zeile im Konto verarbeiten wir im Auftrag der Firma (AVV § 11). Für die Bildung und Nutzung der anonymen Zähler sind wir selbst verantwortlich. Rechtsgrundlage ist unser berechtigtes Interesse, Vorschläge und Vergleichswerte für teilnehmende Firmen zu verbessern (Art. 6 Abs. 1 lit. f DSGVO). Die Zähler sind so grob, und wir werten sie erst ab Mindestzahlen aus (mindestens 5 Firmen und 50 Fälle je Kategorie), dass sie weder eine Person noch eine einzelne Firma erkennen lassen. Wir verkaufen sie nie, geben sie nie an Dritte und nutzen sie nie zum Trainieren von Modellen.

Die Zähler bleiben, bis die Firma Schwarmwissen ausschaltet oder ihr Konto gelöscht wird. Dann löschen wir alle Zähler der Firma. Wer als Kunde oder Beschäftigter einer Firma nicht möchte, dass seine Anfragen mitzählen, wendet sich an diese Firma oder an uns (Adresse in Abschnitt 1). Einzelne Beiträge lassen sich nach dem Abschluss nicht mehr herauslösen, weil die Zähler keine Kennung enthalten. Die Firma kann aber alles löschen, was sie beigetragen hat. Was wir genau speichern, steht auf der Seite Schwarmwissen: was wir speichern, was nie.

11. Eure Rechte

Ihr habt das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit (Art. 15 bis 20 DSGVO). Wo wir uns auf ein berechtigtes Interesse stützen, könnt ihr aus Gründen, die sich aus eurer besonderen Situation ergeben, widersprechen (Art. 21 DSGVO). Schreibt dafür an die Adresse in Abschnitt 1.

Ihr könnt euch bei einer Datenschutz-Aufsichtsbehörde beschweren, besonders in dem EU-Staat, in dem ihr wohnt oder arbeitet (Art. 77 DSGVO).

Automatisierte Entscheidungen nach Art. 22 DSGVO treffen wir nicht.

12. Änderungen

Ändert sich der Dienst, passen wir diese Hinweise an. Es gilt die Fassung auf dieser Seite.