Datenschutzerklärung
Stand: 27.10.2026
1. Verantwortlicher
maxiFIT Sebersdorf e.U., Inhaberin Sabine Schreiber, Oberlimbach 33, 8271 Bad Waltersdorf, Österreich
E-Mail: support@postaro.at
Einen Datenschutzbeauftragten müssen wir nicht bestellen. Bei allen Fragen zum Datenschutz schreib uns an die oben genannte Adresse.
2. Wofür wir verantwortlich sind
Postaro ist ein Dienst für Unternehmen. Wir unterscheiden zwei Rollen:
- Wir sind Verantwortlicher für die Daten, die wir für unsere Website, die kostenlose Vorschau, dein Kundenkonto, die Abrechnung und den Kontakt mit dir verarbeiten. Darum geht es in dieser Datenschutzerklärung.
- Wir sind Auftragsverarbeiter für die Inhalte, die du uns als Kunde zur Verarbeitung gibst: Inhalte deiner Website, Wissensbausteine, Fotos, Videos, Logos, Beiträge und die Daten der darauf gezeigten oder genannten Personen. Dafür gilt unser Vertrag zur Auftragsverarbeitung; verantwortlich bist dann du.
3. Aufruf der Website, Server
Postaro läuft auf einem eigenen Server in einem Rechenzentrum in Frankfurt am Main (Deutschland), angemietet bei Hostinger International Ltd., 61 Lordou Vironos, 6023 Larnaka, Zypern. Wenn du eine Seite aufrufst, überträgt dein Browser technisch bedingt deine IP-Adresse, die aufgerufene Adresse, Datum und Uhrzeit sowie Browser-Angaben. Die Verbindung ist durchgehend verschlüsselt (HTTPS).
Unsere Anwendung protokolliert Aufrufe ohne deine IP-Adresse (im Protokoll steht nur die Adresse unseres internen Weiterleitungsdienstes, die aufgerufene Adresse, Zeit und Statuscode). Das Protokoll wird laufend überschrieben (höchstens 30 MB je Dienst).
Schutz vor Passwort-Angriffen: Bei fehlgeschlagenen Anmeldungen speichern wir einen nicht umkehrbaren Prüfwert (Hash) der eingegebenen E-Mail-Adresse und der IP-Adresse samt Zeitpunkt, um wiederholte Versuche vorübergehend zu sperren. Diese Einträge werden nach 2 Tagen ohne neuen Fehlversuch gelöscht.
Rechtsgrundlage: unser berechtigtes Interesse an einem sicheren und stabilen Betrieb (Art. 6 Abs. 1 lit. f DSGVO).
Unsere öffentlichen Seiten laden keine Inhalte von fremden Servern: keine Analyse-Werkzeuge, keine Werbe- oder Tracking-Dienste, keine Social-Media-Plugins. Die Schriften liefern wir selbst aus.
4. Kostenlose Vorschau (Demo)
Für die kostenlose Vorschau gibst du den Namen eines Unternehmens und die Adresse seiner Website ein. Eine Anmeldung oder Angaben zu deiner Person sind nicht nötig. Unser Server ruft die öffentliche Website mit einem automatischen Browser auf und liest Texte, Bilder, Farben, Schriften und das Logo aus. Daraus erstellt ein KI-Dienst (siehe Punkt 8) ein Wissensprofil und Beispiel-Beiträge; Fotos der Website können zur Bildbeschreibung und -prüfung an den KI-Dienst gehen, dazu kommen KI-erzeugte Bilder.
Auf öffentlichen Websites können personenbezogene Daten stehen (z. B. Namen und Fotos von Mitarbeitern). Bitte nutze die Vorschau nur für das eigene Unternehmen oder mit dessen Einverständnis.
Die Vorschau ist über einen zufälligen Teilen-Link erreichbar, der 90 Tage gilt; danach ist sie über diesen Link nicht mehr abrufbar. Die Vorschau-Daten löschen wir auf Wunsch jederzeit; wird daraus ein Kundenkonto, gelten die Regeln für Kunden.
Rechtsgrundlage: berechtigtes Interesse, dir auf deine Anfrage eine Vorschau zu zeigen (Art. 6 Abs. 1 lit. f DSGVO) bzw. vorvertragliche Maßnahmen (lit. b).
5. Kundenkonto und Portal
Für dein Konto verarbeiten wir deine E-Mail-Adresse, dein Passwort (nur als nicht umkehrbarer Prüfwert, scrypt-Verfahren), deine Einstellungen (Arbeitsweise, Posting-Plan, Design, Sprache), Links zu deinen Social-Media-Profilen, die Verbindung zu deinem Buffer-Konto (Zugangsschlüssel nur verschlüsselt gespeichert) und die Inhalte, die du im Portal anlegst. Dazu führen wir ein technisches Protokoll wichtiger Ereignisse (z. B. Anmeldung, Passwort zurücksetzen, Kündigung, Fehler) mit Kontonummer und Zeit.
Je KI-Aufruf speichern wir für die Kostenkontrolle nur Zeit, Kundennummer, Zweck, Anbieter, Modell und Verbrauch – nie den Inhalt der Anfrage oder Antwort.
Beim Abschluss speichern wir als Nachweis, dass du als Unternehmer abgeschlossen und unseren AGB samt Auftragsverarbeitungsvertrag zugestimmt hast (Zeit, E-Mail-Adresse, Kontonummer, Stand der Texte).
Rechtsgrundlage: Vertrag (Art. 6 Abs. 1 lit. b DSGVO); Nachweis der Zustimmung und Protokoll: berechtigtes Interesse (lit. f).
6. Bezahlung (Stripe)
Die Bezahlung läuft über Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Dublin 2, Irland. Deine Zahlungsdaten (z. B. Karte oder Konto), Name, E-Mail- und Rechnungsadresse gibst du direkt auf der Bezahlseite von Stripe ein; wir erhalten sie nicht. Wir bekommen von Stripe die Kunden- und Abo-Kennung, den Zahlungsstatus und die Rechnungen. Stripe verarbeitet Daten teilweise auch in den USA (EU-US Data Privacy Framework bzw. Standardvertragsklauseln) und ist für eigene Zwecke wie Betrugsvorbeugung selbst verantwortlich: stripe.com/at/privacy.
Rechtsgrundlage: Vertrag (Art. 6 Abs. 1 lit. b DSGVO) und gesetzliche Aufbewahrungspflichten (lit. c).
7. E-Mails
Wir schicken dir nur Mails, die zum Dienst gehören: Link zum Zurücksetzen des Passworts, eine Willkommens-Mail mit Anleitung nach dem Abschluss und Hinweise, wenn bei deinen Beiträgen etwas nicht funktioniert hat. Agenturen können über Postaro ihren Kunden Freigabe-Links schicken. Wir verschicken keinen Newsletter und keine Werbung. Versand über den Mailserver der easyname GmbH, Wien, Österreich.
Rechtsgrundlage: Vertrag (Art. 6 Abs. 1 lit. b DSGVO).
8. KI-Dienste
Postaro erstellt Texte, Bilder und Sprecherstimmen mit künstlicher Intelligenz. Dafür übermitteln wir die jeweils nötigen Inhalte an:
- Anthropic (Anthropic PBC, San Francisco, USA): Beiträge schreiben und prüfen (Faktencheck), Wissensprofil erstellen, Fotos beschreiben und auf Passung prüfen, Stock-Videos prüfen.
- OpenAI (OpenAI Ireland Ltd., Dublin, Irland, bzw. OpenAI, L.L.C., USA): Ersatz-Textmodell, wenn Anthropic nicht erreichbar ist, KI-Bilder und die Sprecherstimme in Reels.
Übermittelt werden Inhalte deiner Website und deines Wissensprofils, Themen, Beitragstexte, deine Stil-Vorgaben und Fotos aus deiner Bibliothek, soweit sie für den jeweiligen Schritt nötig sind. Nicht übermittelt werden dein Passwort, deine Zahlungsdaten und die E-Mail-Adresse deines Kontos. Beide Anbieter verwenden Daten aus ihren Programmierschnittstellen nach ihren Geschäftsbedingungen nicht zum Training ihrer Modelle. Die Verarbeitung kann in den USA stattfinden (EU-US Data Privacy Framework bzw. Standardvertragsklauseln).
Rechtsgrundlage: Vertrag (Art. 6 Abs. 1 lit. b DSGVO); für die Inhalte unserer Kunden gilt der Auftragsverarbeitungsvertrag. Was KI-erzeugt ist, erklärt unser KI-Hinweis.
9. Veröffentlichung über Buffer
Veröffentlicht wird über dein eigenes Konto bei Buffer (Buffer Inc., USA), das du mit Postaro verbindest. Wir übermitteln Buffer die freigegebenen Beitragstexte, die Bild- oder Videoadresse, die gewählten Kanäle und den Zeitpunkt; Buffer gibt sie an Instagram, Facebook bzw. TikTok weiter. Für Buffer und die Plattformen gelten deren eigene Bedingungen und Datenschutzerklärungen; das Buffer-Konto ist dein Vertrag mit Buffer.
Damit Buffer und die Plattformen Grafiken und Reels abholen können, sind diese Dateien unter einer zufälligen, nicht erratbaren Adresse ohne Anmeldung abrufbar.
10. Bilder, Videos, Musik, Schriften
- Stock-Videos: Für Reels suchen wir bei Pixabay (Pixabay GmbH, Berlin) mit englischen Stichworten nach passenden Videos. Dabei werden keine personenbezogenen Daten übermittelt; die Videos werden auf unseren Server geladen und von dort verwendet.
- Musik: Hintergrundmusik stammt aus unserer eigenen, lizenzierten Bibliothek oder aus deiner eigenen Bibliothek.
- Schriften: Unsere öffentlichen Seiten verwenden Schriften von unserem eigenen Server. In der Live-Vorschau des Design-Studios im Portal lädt dein Browser die Schriften der gewählten Vorlage direkt von Google Fonts (Google Ireland Limited, Dublin, Irland); dabei wird deine IP-Adresse an Google übertragen. Rechtsgrundlage: Vertrag (Art. 6 Abs. 1 lit. b DSGVO) – du siehst die Vorschau so, wie die Grafik später aussieht.
11. Agenturen und Partnerprogramm
Agenturen: Für Agentur-Konten verarbeiten wir Name, E-Mail-Adresse, Rolle und Passwort-Prüfwert der Mitarbeiter, das gebuchte Paket und die Zuordnung der betreuten Kunden. Kunden einer Agentur können über persönliche Links Beiträge freigeben oder Änderungswünsche schreiben; diese Rückmeldungen speichern wir beim jeweiligen Beitrag. Gegenüber ihren Kunden ist die Agentur verantwortlich.
Partnerprogramm: Kommst du über den Empfehlungslink eines Partners (Adresse /r/…), speichern wir für 90 Tage ein Cookie mit dem Partnercode, damit wir einen späteren Abschluss dem Partner zuordnen und die Provision abrechnen können. Für Partner speichern wir Name, E-Mail-Adresse und die Provisionsabrechnung. Rechtsgrundlage: berechtigtes Interesse an der Abrechnung (Art. 6 Abs. 1 lit. f DSGVO) bzw. Vertrag mit dem Partner (lit. b).
12. Cookies
Wir verwenden keine Analyse-, Werbe- oder Tracking-Cookies. Postaro setzt nur eigene Cookies, die für die jeweilige Funktion nötig sind:
| Name | Zweck | Dauer |
|---|---|---|
| ap | Anmeldung im Kundenportal | 60 Tage |
| ag, ak | Anmeldung im Agentur-Bereich, gewählter Kunde | 30 bzw. 60 Tage |
| ap_lang | gewählte Sprache | 1 Jahr |
| ap_bo | Verbindung mit Buffer (Schutz vor gefälschten Anfragen) | 15 Minuten |
| ap_partner | Partnercode, nur nach Aufruf eines Empfehlungslinks | 90 Tage |
Die Portal-App (Startbildschirm) legt im Browser einen Zwischenspeicher für die Offline-Seite an. Rechtsgrundlage: § 165 Abs. 3 TKG 2021 und Art. 6 Abs. 1 lit. b bzw. f DSGVO.
13. Sicherungen
Die Datenbank und die Dateien von Postaro werden jede Nacht gesichert: auf einen Rechner des Betreibers in Österreich (14 Tagesstände, danach überschrieben) und – nur verschlüsselt, ohne dass der Anbieter Einsicht hat – der jeweils aktuelle Stand bei Dropbox (Dropbox International Unlimited Company, Dublin, Irland). Rechtsgrundlage: berechtigtes Interesse an Datensicherheit (Art. 6 Abs. 1 lit. f, Art. 32 DSGVO).
14. Empfänger und Drittländer
| Empfänger | Zweck | Ort |
|---|---|---|
| Hostinger International Ltd. | Server (Rechenzentrum) | Frankfurt, Deutschland |
| Anthropic | KI für Texte, Prüfung, Bildbeschreibung | USA |
| OpenAI | KI-Bilder, Sprecherstimme, Ersatz-Textmodell | Irland/USA |
| Stripe Payments Europe, Limited | Bezahlung | Irland/USA |
| easyname GmbH | E-Mail-Versand | Österreich |
| Buffer Inc. | Veröffentlichung (dein eigenes Konto) | USA |
| Google Ireland Limited | Schriften in der Design-Vorschau (nur Portal) | Irland/USA |
| Dropbox International Unlimited Company | verschlüsselte Sicherung | Irland/USA |
Für Übermittlungen in die USA stützen wir uns auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Art. 45 DSGVO), soweit der Empfänger zertifiziert ist, sonst auf Standardvertragsklauseln der EU-Kommission (Art. 46 DSGVO). Wir verkaufen keine Daten.
15. Speicherdauer
- Konto und Inhalte: für die Dauer des Vertrags. Nach Vertragsende löschen wir sie auf Wunsch sofort, sonst spätestens 90 Tage nach Vertragsende; Sicherungen werden danach innerhalb von 14 Tagen überschrieben.
- Rechnungen und Buchhaltungsunterlagen: 7 Jahre (§ 132 BAO).
- Vorschau (Demo): Teilen-Link 90 Tage, Daten auf Wunsch jederzeit gelöscht.
- Prüfwerte gegen Passwort-Angriffe: 2 Tage nach dem letzten Fehlversuch.
- Nachweis der Zustimmung zu AGB/AVV: für die Dauer des Vertrags und danach bis zum Ablauf der Verjährungsfristen.
16. Deine Rechte
Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Schreib uns dafür an support@postaro.at. Wie du die Löschung deiner Daten beantragst (auch nach einer Verbindung mit Facebook oder Instagram), steht unter Daten löschen.
Du kannst dich bei der Aufsichtsbehörde beschweren, in Österreich bei der Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, www.dsb.gv.at.
Eine automatisierte Entscheidung mit rechtlicher Wirkung für dich (Art. 22 DSGVO) findet nicht statt. Die Bereitstellung deiner Daten ist für den Abschluss und die Nutzung von Postaro nötig; ohne sie können wir den Dienst nicht erbringen.