Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten im Sinne von Art. 4 Nr. 7 DSGVO ist:

Einen Datenschutzbeauftragten haben wir nicht benannt; wir sind dazu nicht verpflichtet.

2. Worum es hier geht

Tapposta ist ein Dienst, mit dem Sie Dokumente und Fotos über WhatsApp verschicken und als echten Brief oder als Postkarte drucken und zustellen lassen können. Damit das funktioniert, verarbeiten wir Ihre Nachrichten, die von Ihnen übermittelten Dateien, die Empfängeranschrift und Ihre Zahlungsdaten. Nachfolgend erklären wir für jeden Schritt, was zu welchem Zweck geschieht, auf welcher Rechtsgrundlage, wer die Daten erhält und wie lange sie gespeichert bleiben.

3. Aufruf unserer Website

Beim Aufruf unserer Seiten werden technische Zugriffsdaten verarbeitet: IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, übertragene Datenmenge, verweisende Seite sowie Browser- und Betriebssystemangaben.

• Zweck: Auslieferung der Seiten, Betriebssicherheit, Abwehr von Angriffen
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse an einem sicheren und funktionsfähigen Auftritt
• Empfänger: IONOS SE als Hosting-Dienstleister (Auftragsverarbeiter). IONOS setzt für die von uns gebuchten Produkte weitere Auftragsverarbeiter ein: die Cloudflare Inc., San Francisco, USA (Betrieb des Content-Delivery-Netzwerks der Hosting-Produkte), die SiteLock LLC, Scottsdale, USA (Schutz vor Schadsoftware) sowie die Arsys Internet S.L.U., Logroño, Spanien (Betrieb und Support der Server-Plattform). Für die Übermittlungen in die Vereinigten Staaten gelten die Standardvertragsklauseln der Europäischen Kommission.
• Speicherdauer: Unsere Anwendungsserver führen keine Zugriffsprotokolle über Besucher. Betriebsprotokolle unserer Anwendung, die wir zur Fehlersuche und zur Absicherung des Betriebs führen, werden nach 14 Tagen automatisch gelöscht; Ihre Rufnummer wird darin nicht protokolliert. Die Zugriffsprotokolle, die unser Hosting-Dienstleister für die Auslieferung der Website-Seiten führt, werden dort nach acht Wochen gelöscht.

Alle für die Darstellung benötigten Dateien — Schriften, Bilder und Skripte der Seitendarstellung — binden wir von unserer eigenen Domain ein. Die Auslieferung unserer eigenen Domain erfolgt über die Infrastruktur unseres Hosting-Dienstleisters, die das oben genannte Content-Delivery-Netzwerk einschließt.

3a. Reichweitenmessung mit Google Analytics

Auf unseren Seiten setzen wir Google Analytics 4 ein, einen Dienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Damit messen wir, wie unsere Seiten genutzt werden.

• Verarbeitete Daten: gekürzte IP-Adresse, aufgerufene Seiten, Verweildauer, Scrolltiefe, angeklickte Schaltflächen und Links — insbesondere der Wechsel in WhatsApp —, verweisende Seite und Kampagnenparameter der aufgerufenen Adresse sowie Angaben zu Browser, Betriebssystem, Gerätetyp und ungefährer Herkunftsregion.
• Zweck: zu erkennen, über welche Wege Besucher zu uns finden, welche Inhalte gelesen werden und an welcher Stelle der Weg zu unserem Dienst abbricht — Grundlage dafür, das Angebot und unsere Werbung zu verbessern.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse an einer bedarfsgerechten Gestaltung und wirtschaftlichen Ausrichtung unseres Angebots.
• Cookies: Google Analytics speichert Kennungen in Cookies unserer eigenen Domain (_ga, _ga_<Kennung>), um wiederkehrende von neuen Besuchen zu unterscheiden. Diese Kennungen sind keinem Namen und keiner Rufnummer zugeordnet.
• Empfänger: Google Ireland Limited als Auftragsverarbeiter; die Google LLC, Mountain View, USA, als weiterer Auftragsverarbeiter. Für Übermittlungen in die Vereinigten Staaten gelten die Standardvertragsklauseln der Europäischen Kommission; Google ist zudem nach dem EU-US Data Privacy Framework zertifiziert.
• Speicherdauer: Die Aufbewahrung der Ereignisdaten in unserer Google-Analytics-Property ist auf 14 Monate begrenzt; danach löscht Google sie automatisch.
• Widerspruch: Sie können der Messung jederzeit widersprechen. Am einfachsten geht das über das von Google bereitgestellte Browser-Add-on unter tools.google.com/dlpage/gaoptout oder indem Sie Cookies für diese Seite in Ihrem Browser blockieren oder löschen. Ihre Nutzung unseres Dienstes über WhatsApp ist davon nicht berührt.

Die Messung erfasst ausschließlich die Nutzung dieser Website. Sie hat keinen Zugriff auf Ihre WhatsApp-Nachrichten, Ihre Rufnummer, Ihre Dokumente, Fotos, Grußtexte oder Empfängeranschriften — diese erreichen Google zu keinem Zeitpunkt.

4. Nutzung des Dienstes über WhatsApp

Wenn Sie uns über WhatsApp schreiben, verarbeiten wir Ihre Mobilfunknummer, den Inhalt Ihrer Nachrichten sowie die von Ihnen übermittelten Dokumente und Fotos.

• Zweck: Entgegennahme und Bearbeitung Ihres Auftrags, Kommunikation mit Ihnen
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Durchführung des Vertrags und vorvertragliche Maßnahmen
• Empfänger: Twilio als technischer Anbieter des WhatsApp-Zugangs (Auftragsverarbeiter). Twilio ist unter dem EU-US Data Privacy Framework zertifiziert; ergänzend gelten Standardvertragsklauseln. Der Nachrichtenversand über WhatsApp erfolgt zudem über die Systeme des Messenger-Anbieters, auf dessen Verarbeitung wir keinen Einfluss haben.
• Speicherdauer: Von Ihnen übermittelte Dokumente und Fotos löschen wir unmittelbar nach dem Abruf bei Twilio; sie liegen danach nur noch für die Dauer der Auftragsbearbeitung in unserem System. Ihre Nachrichten löschen wir bei unserem technischen Anbieter spätestens 30 Tage nach Eingang.

Um Ihre Druckwünsche aus freiem Text zu verstehen („in Farbe, zwei Kopien"), übermitteln wir den Text dieser Nachricht an einen Sprachmodell-Dienst. Der Inhalt Ihrer Dokumente wird dabei nicht übermittelt.

• Empfänger: Anthropic Ireland Limited (Auftragsverarbeiter); Weiterübermittlungen an Unterauftragsverarbeiter erfolgen auf Grundlage von Standardvertragsklauseln
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO

5. Prüfung auf Formerfordernisse

Wenn Sie ein Dokument an eine andere Person als sich selbst senden, weisen wir Sie darauf hin, dass manche Schreiben nur im eigenhändig unterschriebenen Original wirksam sind, und fragen Sie nach der Art Ihres Schreibens. Ihre Antwort und Ihre anschließende Bestätigung, dass keine gesetzliche Originalform erforderlich ist, speichern wir zum Auftrag.

Der Inhalt Ihres Dokuments wird dafür weder ausgewertet noch übermittelt. Wir bewerten Ihr Schreiben nicht — die Einordnung nehmen Sie selbst vor. Handelt es sich nach Ihrer Angabe um eine Erklärung, die im Original zugehen muss, führen wir den Auftrag nicht aus.

• Zweck: Vermeidung von Aufträgen, die ihren Zweck nicht erfüllen können; Nachweis unserer Aufklärung
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO für die Nachweisführung
• Speicherdauer: zusammen mit den übrigen Nachweisdaten zum Auftrag

Eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO ist damit nicht verbunden: Die Ablehnung folgt unmittelbar Ihrer eigenen Angabe, nicht einer Bewertung durch uns.

6. Druck und Versand

Zur Ausführung Ihres Auftrags übermitteln wir die zu druckende Datei sowie Namen und Anschrift der Empfängerin oder des Empfängers und — bei Versand an Dritte — Ihre eigene Absenderanschrift an unsere Druck- und Versandpartner.

• Zweck: Herstellung und Zustellung Ihrer Sendung
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO
• Empfänger: Briefe: A&O Fischer GmbH & Co. KG (Dienst „letterXpress"), Maybachstraße 9, 21423 Winsen/Luhe. Dort eingesetzte Unterauftragsverarbeiter sind die Icom Software Research oHG (IT-Betreuung), die Deutsche Post AG (Konsolidierung und Zustellung), die Zammad GmbH (Ticketsystem) und die Rapidmail GmbH (Kundenmitteilungen). — Postkarten: Prodigi mit einem Netz angeschlossener Produktionsbetriebe. Produziert wird je nach Auslastung und Zielland im Vereinigten Königreich, im Europäischen Wirtschaftsraum, in den Vereinigten Staaten, in Australien sowie in weiteren Produktionsregionen. Welcher Betrieb einen einzelnen Auftrag ausführt, steht erst bei der Beauftragung fest. Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der Europäischen Kommission; für Übermittlungen in Länder ohne Angemessenheitsbeschluss gelten die Standardvertragsklauseln der Europäischen Kommission. Eine Kopie der Garantien stellen wir Ihnen auf Anfrage zur Verfügung. Postkarten werden außerdem von der Print.one BV, Emmawijk 11, 8011 CM Zwolle, Niederlande (KvK 69588686) hergestellt und versendet. Welcher der beiden Kartenpartner einen einzelnen Auftrag ausführt, steht erst bei der Beauftragung fest. Bei Print.one entsteht die Vorschau, die Sie vor der Bestellung freigeben, im Drucksystem des Partners — Name und Anschrift der empfangenden Person werden deshalb bereits für die Vorschau übermittelt, also vor der Bestellung. Nach Angaben von Print.one verbleiben die Daten innerhalb der Europäischen Union; der Auftragsverarbeitungsvertrag erlaubt darüber hinaus eine Verarbeitung in Ländern außerhalb der Europäischen Union.
• Speicherdauer: Die zu druckende Datei löschen wir, sobald der Auftrag an den Druckpartner übergeben wurde, spätestens nach sieben Tagen. Das gestaltete Postkartenmotiv bewahren wir 30 Tage auf, um die Auslieferung abzuschließen und Reklamationen bearbeiten zu können.

Ihre eigene Anschrift speichern wir auf Wunsch in Ihrem Profil, damit Sie sie nicht erneut eingeben müssen. Sie können die Löschung jederzeit verlangen.

7. Einschreiben und Zustellnachweise

Wenn Sie Ihre Sendung als Einschreiben versenden, erhalten wir vom Versanddienstleister eine Sendungsnummer und Angaben zum Zustellstatus, beim Einschreiben mit Übergabe zusätzlich einen Beleg über den dokumentierten Empfang. Diese Unterlagen leiten wir an Sie weiter.

• Zweck: Nachweis von Versand und Zustellung gegenüber Ihnen; Nachweis unserer Leistungserbringung
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO für die Aufbewahrung zu Nachweiszwecken
• Speicherdauer: Den Beleg löschen wir rund 30 Tage nach der bestätigten Weiterleitung an Sie. Sendungsnummer, Statusmeldung und Zeitpunkt bewahren wir für die Dauer der gesetzlichen Verjährungsfristen auf, um im Streitfall die Ausführung Ihres Auftrags belegen zu können.

8. Guthaben, Zahlung und Empfehlungen

Für Aufladungen Ihres Guthabens und die Abrechnung der Aufträge verarbeiten wir Ihre Buchungen mit Betrag, Zeitpunkt und Zuordnung zu Ihrer Rufnummer.

Die eigentliche Zahlungsabwicklung übernimmt Stripe; Ihre Zahlungsdaten werden dort eingegeben und von uns nicht gespeichert. Soweit Stripe Zahlungsdaten nach unseren Weisungen zur technischen Bereitstellung der Dienste verarbeitet, erfolgt dies als Auftragsverarbeiter. Für bestimmte Verarbeitungsvorgänge — insbesondere Betrugsprävention, regulatorische Prüfungen sowie Zahlungsnetzwerk- und Compliancepflichten — verarbeitet Stripe personenbezogene Daten als eigenständig Verantwortlicher; für diese Verarbeitungen gelten die Datenschutzinformationen von Stripe. Entsprechendes gilt für die beteiligten Banken, Kartenorganisationen, Wallet-Anbieter und Acquirer.

• Vertragspartner: Stripe Payments Europe, Limited, One Wilton Park, Wilton Place, Dublin 2, D02 FX04, Irland
• Datenkategorien: Zahlungsmittel- und Transaktionsdaten, Betrag, Zeitpunkt, Zuordnung zu Ihrem Konto
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für die Abwicklung; Art. 6 Abs. 1 lit. f DSGVO für Betrugsprävention und Sicherheit; für steuerlich und handelsrechtlich aufbewahrungspflichtige Unterlagen Art. 6 Abs. 1 lit. c DSGVO
• Drittland: Unser Vertragspartner sitzt in der Europäischen Union. Soweit Stripe verbundene Unternehmen außerhalb der EU einbezieht, stützt sich die Übermittlung auf die Standardvertragsklauseln der Europäischen Kommission.
• Weitere Informationen: Datenschutzinformationen von Stripe unter stripe.com

Nehmen Sie an unserem Empfehlungsprogramm teil, verarbeiten wir zusätzlich die Zuordnung zwischen werbender und geworbener Person, um die Prämie gutzuschreiben. Die Zuordnung zu einer Werbekampagne bewahren wir sechs Monate auf.

• Speicherdauer: Buchungsdaten bleiben gespeichert, solange Ihr Konto oder ein Guthaben besteht. Abrechnungsrelevante Unterlagen bewahren wir darüber hinaus für die gesetzlichen Aufbewahrungsfristen auf.

8a. Vertragsbestätigung und Belege per E-Mail

Wir sind gesetzlich verpflichtet, Ihnen den Vertrag auf einem dauerhaften Datenträger zu bestätigen (§ 312f Abs. 2 BGB). Dafür erheben wir einmalig Ihre E-Mail-Adresse und lassen sie sich von Ihnen ausdrücklich bestätigen, bevor die erste Zahlung möglich ist. An diese Adresse senden wir Ihnen

• die Bestätigung jeder Guthabenaufladung, mit einer Zahlungs- und Guthabenbestätigung als Beleg,
• die Bestätigung jedes Druckauftrags mit der bestellten Leistung, der Empfängeranschrift und dem Gesamtpreis,
• die Bestätigung einer Aufhebung, falls wir einen Auftrag stornieren.

Jeder Bestätigung liegen die Allgemeinen Geschäftsbedingungen in der bei Vertragsschluss geltenden Fassung, die Widerrufsbelehrung und das Muster-Widerrufsformular bei.

• Datenkategorien: Ihre E-Mail-Adresse; Ihre Rufnummer zur Zuordnung; die Vertragsdaten (bestellte Leistung, Zeitpunkt, Betrag, Belegnummer) sowie die von Ihnen angegebene Empfängeranschrift, weil sie Inhalt der Bestätigung ist
• Zweck: Übermittlung der gesetzlich vorgeschriebenen Vertragsbestätigung, Nachweis des Vertragsinhalts, Bearbeitung von Rückfragen und Reklamationen
• Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (§ 312f Abs. 2 BGB); ergänzend Art. 6 Abs. 1 lit. b DSGVO für die Durchführung des Vertrags
• Empfänger: IONOS SE als Auftragsverarbeiter für den Betrieb unseres E-Mail-Postfachs und den Versand. Weitere Auftragsverarbeiter von IONOS sind in Abschnitt 3 genannt.
• Speicherdauer: Ihre E-Mail-Adresse bleibt gespeichert, solange Ihr Kundenkonto besteht. Die versendeten Bestätigungen und die zugehörigen Versandnachweise bewahren wir für die Dauer der gesetzlichen Aufbewahrungs- und Verjährungsfristen auf.
• Erforderlichkeit: Ohne E-Mail-Adresse können wir die gesetzlich vorgeschriebene Bestätigung nicht übermitteln. Aufladung und Bestellung sind ohne sie nicht möglich.

9. Übermittlung in Drittländer

Soweit Empfänger außerhalb der Europäischen Union verarbeiten, stützen wir die Übermittlung auf einen Angemessenheitsbeschluss der Europäischen Kommission oder auf die Standardvertragsklauseln der Kommission. Auf Anfrage stellen wir Ihnen Angaben zu den getroffenen Garantien zur Verfügung.

10. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie das Recht, einer Verarbeitung zu widersprechen, die auf Art. 6 Abs. 1 lit. f DSGVO gestützt ist (Art. 21). Wenden Sie sich dafür an hello@tapposta.com.

Unabhängig davon können Sie sich bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere bei der für uns zuständigen Behörde:

11. Erforderlichkeit der Angaben

Die Angabe Ihrer Rufnummer, Ihrer E-Mail-Adresse, der Empfängeranschrift und der zu druckenden Inhalte ist für die Nutzung des Dienstes erforderlich; ohne sie können wir Ihren Auftrag nicht ausführen und Ihnen die gesetzlich vorgeschriebene Vertragsbestätigung nicht übermitteln. Eine gesetzliche Pflicht, uns diese Angaben bereitzustellen, besteht für Sie nicht; ohne sie ist der Dienst jedoch nicht nutzbar.

12. Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, wenn sich unsere Verarbeitungen oder die Rechtslage ändern. Es gilt jeweils die auf dieser Seite veröffentlichte Fassung.

Stand: 26. August 2026