# Datenschutzerklärung _Zuletzt aktualisiert: 6. Oktober 2026_ **Das Wichtigste in Kürze:** LeFaLux vGmbH mit Sitz in Luxemburg betreibt Print and Mail Company und ist für die in dieser Datenschutzerklärung beschriebenen personenbezogenen Daten verantwortlich. - Wir verwenden Ihre Daten, um Ihr Konto zu führen, Ihre Briefe zu drucken und zu versenden, Zahlungen entgegenzunehmen und unsere gesetzlichen Pflichten zu erfüllen. Wir verkaufen keine Daten, erstellen keine Werbeprofile und trainieren keine KI mit Ihren Dokumenten. - Wir verarbeiten den Inhalt Ihrer Briefe nur, um sie zu drucken. Hochgeladene PDFs und Druckdateien werden 30 Tage nach dem Versand des Briefes automatisch gelöscht. - Unsere Daten werden in der EU gespeichert. Hat ein Dienstleister seinen Sitz außerhalb der EU, gelten rechtliche Garantien. - Für Geschäftskunden verarbeiten wir Empfängerdaten und Briefinhalte als Auftragsverarbeiter auf Grundlage unseres [Auftragsverarbeitungsvertrags](/legal/dpa). - Sie können Auskunft über Ihre Daten erhalten, sie berichtigen oder löschen lassen und Ihre weiteren Rechte ausüben, indem Sie an privacy@printandmailcompany.com schreiben. Sie können sich außerdem bei der luxemburgischen Datenschutzbehörde (CNPD) beschweren. Diese Übersetzung dient Ihrer Information; maßgeblich ist die englische Fassung, soweit zwingendes Verbraucherrecht nichts anderes vorsieht. ## 1. Verantwortlicher und Kontakt Print and Mail Company (printandmailcompany.com) wird betrieben von LeFaLux vGmbH, 40 rue du Travail, L-2625 Beggen, Luxembourg, eingetragen im Luxemburger Handels- und Gesellschaftsregister (RCS) unter der Nummer B298899, Umsatzsteuer-Identifikationsnummer LU36784104 („wir“, „uns“, „unser“). Wir sind Verantwortlicher für die in dieser Datenschutzerklärung beschriebenen personenbezogenen Daten, außer soweit Abschnitt 5 erläutert, dass wir im Auftrag eines Geschäftskunden handeln. Bei Fragen zum Datenschutz und zur Ausübung Ihrer Rechte schreiben Sie an **privacy@printandmailcompany.com** oder senden Sie einen Brief an die oben genannte Anschrift. Bei allen anderen Fragen wenden Sie sich an support@printandmailcompany.com. Diese Datenschutzerklärung beruht auf der EU-Datenschutz-Grundverordnung (Verordnung (EU) 2016/679, „DSGVO“), dem luxemburgischen Gesetz vom 1. August 2018 über die Organisation der Nationalen Kommission für den Datenschutz und den allgemeinen Rahmen für den Datenschutz sowie den luxemburgischen Vorschriften über den Schutz der Privatsphäre in der elektronischen Kommunikation. Sie gilt für unsere Website, Kundenkonten, unsere REST-API und unseren MCP-Server für KI-Assistenten. Ergänzt wird sie durch unsere [Allgemeinen Geschäftsbedingungen](/legal/terms) und unsere [Cookie-Richtlinie](/legal/cookies). Unsere Unternehmensangaben finden Sie außerdem im [Impressum](/legal/imprint). ## 2. Überblick Die Tabelle fasst zusammen, welche Daten wir verarbeiten, warum, auf welcher Rechtsgrundlage und wie lange. Die Einzelheiten erläutern die Abschnitte 3 bis 10. | Daten | Zweck | Rechtsgrundlage | Speicherdauer | |---|---|---|---| | Kontodaten (Name, E-Mail-Adresse, Passwort-Hash, Sprache, Währung, Einstellungen) | Führung Ihres Kontos, Anmeldung, Service-E-Mails, Support | Vertrag (Art. 6 Abs. 1 lit. b) | Bis zur Löschung Ihres Kontos | | Empfänger- und Rücksendeadressen, Briefdetails (Optionen, Status, Datumsangaben, Sendungsnummer) | Bedrucken des Briefumschlags, Versand des Briefes, Statusmeldungen, Support und Reklamationen | Vertrag (Art. 6 Abs. 1 lit. b); berechtigte Interessen bezüglich der Empfänger (Art. 6 Abs. 1 lit. f); als Auftragsverarbeiter für Geschäftskunden | 12 Monate nach dem Versand, danach gelöscht oder anonymisiert | | Briefinhalte (hochgeladene PDFs, verfasste Briefe, Druckdateien) | Prüfung, Druck und Versand Ihres Briefes | Vertrag (Art. 6 Abs. 1 lit. b); als Auftragsverarbeiter für Geschäftskunden | Automatische Löschung 30 Tage nach dem Versand bzw. 30 Tage nach dem Hochladen, wenn der Brief nie versendet wird | | Zahlungsdaten (Betrag, Kartenmarke, Ausgabeland, Kartentyp, letzte vier Ziffern) | Zahlungen, Kartenaufschlag, Belege, Erstattungen | Vertrag (Art. 6 Abs. 1 lit. b); rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c) | 10 Jahre | | Rechnungen und Guthabenbuchungen | Rechnungsstellung, Mehrwertsteuer und Buchhaltung | Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c) | 10 Jahre | | Kommunikation mit uns | Beantwortung von Anfragen, Beschwerden und Meldungen | Vertrag (Art. 6 Abs. 1 lit. b); berechtigte Interessen (Art. 6 Abs. 1 lit. f) | Bis zu 3 Jahre nach Abschluss des Vorgangs | | Technische Protokolle und Sitzungsdaten (IP-Adresse, Browserinformationen) | Sicherheit, Betrieb, Fehlerbehebung, Missbrauchsverhinderung | Berechtigte Interessen (Art. 6 Abs. 1 lit. f) | Protokolle: 30 Tage. Sitzungen: bis zur Abmeldung oder bis zum Ablauf der Sitzung | | Cookies | Notwendige Funktionen der Website; optionale Cookies nur mit Ihrer Einwilligung | Berechtigte Interessen (Art. 6 Abs. 1 lit. f); Einwilligung (Art. 6 Abs. 1 lit. a) | Siehe unsere [Cookie-Richtlinie](/legal/cookies) | | Verbindungen von KI-Assistenten, OAuth und API | Damit von Ihnen autorisierte Assistenten und Software für Sie handeln können | Vertrag (Art. 6 Abs. 1 lit. b) | Bis zum Widerruf des Zugriffs oder zur Löschung Ihres Kontos | | Newsletter (optional) | Neuigkeiten über unseren Dienst | Einwilligung (Art. 6 Abs. 1 lit. a) | Bis zur Abmeldung | | Einwilligungsnachweise | Nachweis Ihrer Entscheidungen | Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c i. V. m. Art. 7 Abs. 1) | Solange die Einwilligung gilt, zuzüglich 3 Jahre | | Aufzeichnungen zu Betrug und Missbrauch | Verhinderung von Missbrauch, Schutz von Empfängern, Rechtsansprüche | Berechtigte Interessen (Art. 6 Abs. 1 lit. f) | So lange wie erforderlich, in der Regel bis zu 3 Jahre nach Abschluss des Falls | ## 3. Welche Daten wir verarbeiten ### 3.1 Kontodaten Wenn Sie ein Konto anlegen, verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse, Ihr Passwort, Ihre bevorzugte Sprache, Ihre Kontowährung und Ihre Entscheidung zu unserem Newsletter. Ihr Passwort speichern wir ausschließlich als gesalzenen Hashwert, sodass wir es nicht lesen können. Außerdem erfassen wir, wann Sie Ihr Konto angelegt haben, ob Ihre E-Mail-Adresse bestätigt ist und welchen Status Ihr Konto hat. Wenn Sie sich mit Google anmelden, übermittelt Google uns Ihren Namen, Ihre E-Mail-Adresse, Ihre Google-Konto-Kennung und Ihr Profilbild (sofern vorhanden) zusammen mit den von Google ausgestellten Anmelde-Tokens. Ihr Google-Passwort erhalten wir zu keinem Zeitpunkt. Wenn Sie sich mit einem Anmeldelink (Magic Link) anmelden, senden wir Ihnen per E-Mail einen einmalig verwendbaren Link, der nach kurzer Zeit abläuft. ### 3.2 Absender- und Empfängeradressen Für jeden Brief verarbeiten wir den Namen des Empfängers, den Firmennamen (sofern angegeben) und die Postanschrift genau so, wie Sie sie eingeben, sowie die Rücksendeadresse. Wenn Sie keine eigene Rücksendeadresse angeben, drucken wir stattdessen unsere Firmenadresse auf. Adressen, die Sie in Ihrem Adressbuch speichern, bleiben dort, bis Sie sie löschen. Wir drucken die Adresse des Empfängers direkt auf den Briefumschlag. Diese Angaben stammen von Ihnen; wir beziehen keine Adressen aus anderen Quellen. ### 3.3 Briefinhalte Briefinhalte sind das von Ihnen hochgeladene PDF oder der Text, den ein KI-Assistent uns über unser Tool zum Verfassen von Briefen sendet, sowie die daraus von uns erzeugten druckfertigen Dateien (die Briefseiten und die Druckdatei für den Briefumschlag). Außerdem speichern wir den Dateinamen, die Dateigröße, die Seitenzahl, die Ergebnisse unserer automatischen Formatprüfung und die von Ihnen gewählten Optionen, etwa Farbe, beidseitigen Druck, Größe des Briefumschlags und Einschreiben. Unsere automatische Prüfung betrachtet ausschließlich technische Eigenschaften: Seitenformat, Ränder, Seitenzahl und Farbe. Sie analysiert nicht die Bedeutung Ihres Textes. Briefe können personenbezogene Daten über Sie, den Empfänger oder andere Personen enthalten, manchmal auch sensible Informationen wie Gesundheits- oder Finanzdaten. Wir müssen nicht wissen, was in Ihrem Brief steht, und wir behandeln seinen Inhalt nur wie in Abschnitt 7 beschrieben. ### 3.4 Zahlungsdaten Kartenzahlungen werden über Stripe abgewickelt. Sie geben Ihre Kartendaten in das Zahlungsformular von Stripe ein; Ihre vollständige Kartennummer oder Ihren Sicherheitscode sehen oder speichern wir zu keinem Zeitpunkt. Von Stripe erhalten und speichern wir eine Zahlungsreferenz, eine mit Ihrem Konto verknüpfte Kundenreferenz, Betrag, Währung und Status der Zahlung sowie folgende Kartendaten: Kartenmarke (zum Beispiel Visa), Ausgabeland, Kartentyp (Kredit-, Debit- oder Prepaid-Karte) und die letzten vier Ziffern. Ausgabeland, Kartenmarke und Kartentyp verwenden wir, um festzustellen, ob ein Kartenaufschlag anfällt (siehe unsere [Allgemeinen Geschäftsbedingungen](/legal/terms)). Kartenmarke und die letzten vier Ziffern verwenden wir, damit Sie die Zahlung auf Belegen wiedererkennen können. Außerdem führen wir Aufzeichnungen über Ihr Prepaid-Guthaben: Aufladungen, aus dem Guthaben bezahlte Briefe, Erstattungen, Gebühren und gegebenenfalls angewandte Wechselkurse. ### 3.5 Rechnungen und Buchhaltungsunterlagen Für jede Zahlung und jeden Brief stellen wir eine Rechnung oder Quittung aus. Sie enthält Rechnungsnummer und Rechnungsdatum, Ihren Namen und Ihre E-Mail-Adresse, die Briefreferenz, die berechneten Positionen (zum Beispiel Briefumschlag, Druck, Portozone und Einschreiben), die Mehrwertsteuer und die Gesamtbeträge. Rechnungen enthalten weder den Namen noch die Adresse des Empfängers. ### 3.6 Kommunikation Wenn Sie uns kontaktieren, verarbeiten wir Ihre Nachricht, Ihre Kontaktdaten, etwaige Anhänge und unsere Antwort. Dies gilt auch für Meldungen über Missbrauch oder rechtswidrige Inhalte (siehe unsere [Richtlinie zur zulässigen Nutzung](/legal/acceptable-use)) und für Nachrichten von Personen, die einen über unseren Dienst versendeten Brief erhalten haben. Wir senden Ihnen Service-E-Mails, zum Beispiel Anmeldelinks, Zahlungsbestätigungen und Benachrichtigungen, wenn ein Brief bezahlt, gedruckt, versendet, storniert oder zurückgesandt wurde. Status-E-Mails enthalten die Briefreferenz, den Namen und das Land des Empfängers und bei Einschreiben die Sendungsnummer. Wir verfolgen nicht, ob Sie unsere E-Mails öffnen oder darin enthaltene Links anklicken. ### 3.7 Technische Daten und Protokolle Wenn Sie unsere Website besuchen oder unsere API oder unseren MCP-Server nutzen, verarbeiten unser Hosting-Anbieter und unsere Anwendung technische Daten: IP-Adresse, Datum und Uhrzeit, die aufgerufene Adresse (URL), das Ergebnis der Anfrage, Browser- und Geräteinformationen (User-Agent) sowie Fehlerdetails. Wir verwenden diese Daten, um den Dienst bereitzustellen, ihn sicher zu halten, Missbrauch zu verhindern (zum Beispiel durch Begrenzung der Anzahl von Anfragen) und Fehler zu beheben. Wenn Sie sich anmelden, speichern wir Ihre IP-Adresse und Ihren User-Agent zusammen mit Ihrer Sitzung. So können wir Sie angemeldet halten und ungewöhnliche Aktivitäten erkennen. Außerdem protokollieren wir wichtige Vorgänge in Konten, etwa Statusänderungen eines Briefes, Erstattungen und Handlungen unserer Mitarbeiter, damit wir nachvollziehen können, was geschehen ist. ### 3.8 Cookies Wir verwenden nur Cookies, die für unsere Website, die Anmeldung und Zahlungen unbedingt erforderlich sind. Optionale Cookies, etwa Analyse-Cookies, werden wir nur mit Ihrer Einwilligung verwenden; derzeit setzen wir keine ein. Einzelheiten finden Sie in unserer [Cookie-Richtlinie](/legal/cookies). ### 3.9 KI-Assistenten, OAuth- und API-Verbindungen Sie können einem KI-Assistenten oder Ihrer eigenen Software ermöglichen, unseren Dienst über unseren MCP-Server oder unsere REST-API zu nutzen. Wenn Sie einen KI-Assistenten verbinden, meldet er sich per OAuth an, und Sie genehmigen seinen Zugriff auf einem Zustimmungsbildschirm. Wir speichern dann die Verbindung: die von der Software des Assistenten übermittelten Registrierungsdaten (zum Beispiel Name, Website und Weiterleitungsadressen), die von Ihnen erteilten Berechtigungen, den Zeitpunkt ihrer Erteilung sowie die Zugriffs- und Aktualisierungstokens (Access und Refresh Tokens). Zugriffstokens laufen nach kurzer Zeit ab. Wenn Sie einen API-Schlüssel erstellen, speichern wir seinen Namen, seine ersten Zeichen (damit Sie ihn wiedererkennen können), den Zeitpunkt seiner Erstellung und seiner letzten Nutzung sowie Nutzungszähler. Den Schlüssel selbst speichern wir nur als Hashwert. Alles, was ein Assistent über unsere Tools tut, etwa Preisauskünfte, Entwürfe, Uploads und versendete Briefe, wird wie jede andere Aktivität in Ihrem Konto erfasst. Ein KI-Assistent kann einen Brief erst versenden, nachdem Sie ihn ausdrücklich bestätigt haben, und er kann nur mit Ihrem Prepaid-Guthaben bezahlen. Einige Tools funktionieren ohne Anmeldung: Preisauskünfte, die Liste der Zielländer und die Randprüfung. Dafür verarbeiten wir nur, was zur Beantwortung der Anfrage erforderlich ist, etwa Zielland und Seitenzahl oder bei der Randprüfung die übermittelte Datei, die wir nur verwenden, um das Ergebnis zurückzugeben. **Ihr KI-Anbieter ist nicht unser Auftragsverarbeiter.** Das Unternehmen, das Ihren KI-Assistenten betreibt, erhält alles, was Sie im Gespräch teilen, und alles, was unsere Tools an ihn zurückgeben, zum Beispiel Preise, den Status von Briefen oder eine von Ihnen eingegebene Adresse. Es verarbeitet diese Daten als eigener Verantwortlicher nach seiner eigenen Datenschutzerklärung. Wir erhalten nur, was der Assistent an unsere Tools sendet. ## 4. Zwecke und Rechtsgrundlagen der Verarbeitung **Zur Erfüllung unseres Vertrags mit Ihnen (Art. 6 Abs. 1 lit. b DSGVO).** Wir verarbeiten Ihre Daten, um Ihr Konto anzulegen und zu verwalten, Preisauskünfte und Entwürfe bereitzustellen, Ihre Briefe zu prüfen, zu drucken, zu kuvertieren und zu versenden, Sie über deren Status zu informieren, Ihr Prepaid-Guthaben und Ihre Zahlungen zu verwalten, Stornierungen und Erstattungen abzuwickeln, Support zu leisten und die Anweisungen auszuführen, die Sie über einen KI-Assistenten oder unsere API erteilen. Dazu gehören auch Maßnahmen, um die Sie uns vor Vertragsschluss bitten, etwa eine Preisauskunft. **Zur Erfüllung rechtlicher Verpflichtungen (Art. 6 Abs. 1 lit. c DSGVO).** Wir bewahren Rechnungen und Buchhaltungsunterlagen auf, wie es das luxemburgische Handels-, Buchführungs- und Mehrwertsteuerrecht verlangt. Außerdem beantworten wir rechtmäßige Anfragen von Gerichten und Behörden, bearbeiten Anträge von Personen, die ihre Datenschutzrechte ausüben, bewahren Einwilligungsnachweise auf und erfüllen unsere Pflichten nach dem EU-Gesetz über digitale Dienste (Digital Services Act), wenn wir Meldungen über rechtswidrige Inhalte bearbeiten. **Zur Wahrung berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO).** Wir stützen uns auf berechtigte Interessen, soweit die Verarbeitung für die folgenden Zwecke erforderlich ist und Ihre Interessen und Rechte nicht überwiegen: - Gewährleistung der Sicherheit unserer Systeme, Konten und Zahlungen; - Verhinderung und Aufklärung von Betrug, Zahlungsmissbrauch und missbräuchlicher Nutzung unseres Dienstes, zum Beispiel zum Versand bedrohender oder täuschender Briefe; - Durchsetzung unserer [Allgemeinen Geschäftsbedingungen](/legal/terms) und unserer [Richtlinie zur zulässigen Nutzung](/legal/acceptable-use); - Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen; - Zustellung von Briefen für Kunden, die unseren Dienst privat nutzen. In diesem Fall verarbeiten wir die Daten des Empfängers in unserem Interesse und im Interesse des Kunden an der auftragsgemäßen Zustellung des Briefes (siehe Abschnitt 5); - zuverlässiger Betrieb des Dienstes, zum Beispiel durch Auswertung von Fehlerprotokollen. Sie können der Verarbeitung auf Grundlage berechtigter Interessen jederzeit widersprechen (siehe Abschnitt 13). **Mit Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).** Bevor wir optionale Cookies verwenden oder Ihnen unseren Newsletter senden, bitten wir Sie um Ihre Einwilligung. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, und zwar über „Cookie-Einstellungen“ in der Fußzeile unserer Website oder über den Abmeldelink in jedem Newsletter. Wir verwenden personenbezogene Daten nicht für andere als die in dieser Datenschutzerklärung beschriebenen Zwecke. Wenn wir beabsichtigen, Daten für einen neuen Zweck zu verwenden, der mit dem ursprünglichen Zweck vereinbar ist, informieren wir Sie vorab. ## 5. Unsere Rolle bei Empfängerdaten und Briefinhalten Wer für Empfängerdaten und Briefinhalte verantwortlich ist, hängt davon ab, wie Sie unseren Dienst nutzen. **Geschäftskunden.** Wenn Sie unseren Dienst für Ihre gewerbliche, geschäftliche, handwerkliche oder berufliche Tätigkeit oder im Namen eines Unternehmens, eines Vereins, einer öffentlichen Stelle oder einer anderen Organisation nutzen, entscheiden Sie, welche Briefe an wen und warum versendet werden. Sie sind dann Verantwortlicher für die Empfängerdaten und die Briefinhalte, und wir handeln als Ihr Auftragsverarbeiter. Wir verarbeiten diese Daten ausschließlich auf Ihre Weisung und auf Grundlage unseres [Auftragsverarbeitungsvertrags](/legal/dpa), der automatisch gilt und Bestandteil unseres Vertrags mit Ihnen ist. Sie sind dafür verantwortlich, dass für Ihre Briefe eine Rechtsgrundlage besteht und die Personen, an die Sie schreiben, informiert werden. **Privatkunden.** Wenn Sie Briefe als Privatperson zu ausschließlich persönlichen oder familiären Zwecken versenden, zum Beispiel an Ihren Vermieter, Ihre Versicherung, Ihr Fitnessstudio oder Ihre Familie, gilt die DSGVO nicht für Ihre eigene Tätigkeit, wohl aber für uns. Wir sind dann für die Art und Weise verantwortlich, wie wir die Empfängerdaten und die Briefinhalte verarbeiten. Wir verarbeiten sie nur, soweit dies zur Erbringung der von Ihnen gewünschten Leistung erforderlich ist: Drucken, Kuvertieren und Versenden des Briefes, Anzeige seines Status, Unterstützung für Sie und Bearbeitung von Reklamationen. Für andere Zwecke verwenden wir sie nicht, abgesehen von den im nächsten Absatz genannten begrenzten Zwecken. **Zwecke, für die wir stets verantwortlich sind.** Unabhängig davon, welcher Art von Kunde Sie sind, handeln wir als eigenständiger Verantwortlicher, soweit wir begrenzte Briefdaten für unsere eigenen rechtlichen Verpflichtungen oder berechtigten Interessen verarbeiten müssen: Rechnungsstellung und Buchhaltung (Rechnungen enthalten die Briefreferenz und die Portozone, nicht aber den Namen oder die Adresse des Empfängers), Beantwortung rechtmäßiger Anfragen von Behörden, Bearbeitung von Meldungen über Missbrauch oder rechtswidrige Inhalte sowie Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. ## 6. Informationen für Briefempfänger und andere in Briefen genannte Personen Wenn Sie einen Brief erhalten haben, den wir gedruckt und versendet haben, oder wenn Sie in einem solchen Brief erwähnt werden, erläutert dieser Abschnitt, wie wir mit Ihren Daten umgehen. - **Warum Sie den Brief erhalten haben.** Einer unserer Kunden hat uns beauftragt, ihn zu drucken und zu versenden. Wir verfassen keine Briefe, wählen keine Empfänger aus und prüfen nicht, was in Briefen steht. Erscheint unsere Adresse als Rücksendeadresse, hat der Absender sich entschieden, keine eigene anzugeben; das bedeutet nicht, dass wir den Brief verfasst haben. - **Welche Daten wir haben.** Ihren Namen und Ihre Postanschrift, wie vom Absender eingegeben, den Briefinhalt, Datum und Status des Briefes sowie bei Einschreiben die Sendungsnummer und den Zustellstatus. - **Woher die Daten stammen.** Der Absender, der unser Kunde ist, hat sie uns übermittelt. - **Zweck und Rechtsgrundlage.** Wir verwenden Ihre Daten nur, um den Brief zu drucken, zu kuvertieren und zu versenden, dem Absender seinen Status anzuzeigen und Support-Anfragen sowie Reklamationen zu bearbeiten. Für geschäftliche Absender handeln wir als deren Auftragsverarbeiter; der Absender ist für den Brief verantwortlich, und Sie können Ihre Rechte ihm gegenüber geltend machen. Bei privaten Absendern stützen wir uns auf unser berechtigtes Interesse und das berechtigte Interesse des Absenders an der Zustellung des Briefes (Art. 6 Abs. 1 lit. f DSGVO). - **Zustellung.** POST Luxembourg und bei Briefen ins Ausland das Postunternehmen in Ihrem Land stellen den Brief als eigenständige Verantwortliche zu. Bei Einschreiben gehört dazu auch die Erfassung Ihrer Unterschrift bei der Zustellung. - **Wie lange wir die Daten speichern.** Der Briefinhalt wird 30 Tage nach dem Versand gelöscht. Ihr Name und Ihre Adresse werden 12 Monate nach dem Versand gelöscht oder anonymisiert (siehe Abschnitt 10). - **Ihre Rechte.** Ihnen stehen die in Abschnitt 13 beschriebenen Rechte zu. Schreiben Sie an privacy@printandmailcompany.com. Ist der Absender ein Geschäftskunde, leiten wir Ihre Anfrage an ihn weiter und unterstützen ihn bei der Beantwortung. - **Meldung eines Briefes.** Wenn Sie der Ansicht sind, dass ein Brief, den Sie erhalten haben, rechtswidrig, bedrohend oder betrügerisch ist, melden Sie ihn bitte an support@printandmailcompany.com, wie in unserer [Richtlinie zur zulässigen Nutzung](/legal/acceptable-use) beschrieben. ## 7. Vertraulichkeit von Briefinhalten Wir behandeln jeden Brief vertraulich. - Wir verarbeiten Briefinhalte nur, um ihr Format zu prüfen, sie zu drucken, zu kuvertieren und zu versenden. - Unsere Produktionsmitarbeiter handhaben die gedruckten Seiten physisch: Sie drucken, falten und kuvertieren sie und prüfen die Druckqualität sowie, ob die richtigen Seiten in den richtigen Briefumschlag gelangen. Sie sind zur Vertraulichkeit verpflichtet und lesen Briefe nicht über das hinaus, was diese Aufgaben technisch erfordern. - Wir verwenden Briefinhalte weder für Profiling oder Werbung noch für sonstige eigene Zwecke, wir verkaufen sie nicht und wir nutzen sie nicht zum Training von KI-Modellen. Unsere Dienstleister dürfen sie nur auf unsere Weisung verarbeiten. - Einen bestimmten Brief sehen wir uns nur dann genauer an, wenn Sie uns darum bitten (zum Beispiel im Rahmen des Supports), wenn wir eine Meldung dazu erhalten oder konkrete Anhaltspunkte für eine rechtswidrige Nutzung haben (siehe unsere [Richtlinie zur zulässigen Nutzung](/legal/acceptable-use)) oder wenn das Gesetz es verlangt. - Fehldrucke und unbrauchbare Seiten werden geschreddert. Sendet POST Luxembourg einen Brief als unzustellbar an uns zurück, ordnen wir ihn anhand des kleinen auf dem Briefumschlag aufgedruckten Referenzcodes zu, ohne ihn zu öffnen, informieren Sie per E-Mail und vernichten den Brief nach 30 Tagen sicher. ## 8. Empfänger Ihrer Daten Innerhalb unseres Unternehmens haben nur die Personen Zugriff auf personenbezogene Daten, die diese für ihre Aufgaben benötigen (zum Beispiel in Produktion, Support oder Buchhaltung). Wir geben Daten nur an andere weiter, soweit dies für die in dieser Datenschutzerklärung beschriebenen Zwecke erforderlich ist. Wir verkaufen keine personenbezogenen Daten. **In unserem Auftrag tätige Dienstleister (Auftragsverarbeiter).** Diese Dienstleister verarbeiten personenbezogene Daten ausschließlich auf unsere Weisung und auf Grundlage von Auftragsverarbeitungsverträgen: | Anbieter | Leistung | Speicherort der Daten | |---|---|---| | Vercel Inc. (USA) | Hosting unserer Website, unserer Anwendung, unserer API und unseres MCP-Servers | EU (Frankfurt, Deutschland); einige Inhalte und Anfragen werden über das globale Netzwerk von Vercel abgewickelt | | Neon Inc. (USA) | Datenbank | EU | | Cloudflare, Inc. (USA) | Speicherung hochgeladener PDFs und Druckdateien (Cloudflare R2) | EU (R2 mit EU-Jurisdiktion) | | Resend (USA) | Versand von Service-E-Mails | USA oder EU, je nach Versandregion | | Stripe Payments Europe, Limited (Irland) | Abwicklung von Kartenzahlungen | EU und andere Standorte von Stripe | **Eigenständige Verantwortliche.** Diese Empfänger verarbeiten Daten für eigene Zwecke und nach ihren eigenen Datenschutzbestimmungen: - **POST Luxembourg** (Entreprise des Postes et Télécommunications) erhält den verschlossenen Brief mit der auf den Briefumschlag gedruckten Empfängeradresse und Rücksendeadresse und stellt ihn zu. Bei Einschreiben verarbeitet POST Luxembourg außerdem die Sendungsnummer und die Zustellbestätigung einschließlich der Unterschrift des Empfängers. POST Luxembourg handhabt den verschlossenen Briefumschlag und erhält den Inhalt Ihres Briefes in keiner anderen Form. Bei Briefen in andere Länder übergibt POST Luxembourg den Brief an das Postunternehmen des Bestimmungslandes. - **Stripe** handelt für eigene Zwecke, etwa die Betrugsprävention und die Einhaltung finanzaufsichtsrechtlicher Vorschriften, auch als eigenständiger Verantwortlicher. - **Google** (Google Ireland Limited für Nutzer im EWR und in der Schweiz), nur wenn Sie sich für die Anmeldung mit Google entscheiden. - **Der Anbieter Ihres KI-Assistenten**, wenn Sie einen solchen verbinden (siehe Abschnitt 3.9). - **Behörden, Gerichte und berufliche Berater**, soweit wir gesetzlich zur Offenlegung von Daten verpflichtet sind oder dies zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist. Beispiele sind Steuerbehörden, Polizei oder Gerichte, die auf Grundlage einer rechtlichen Anordnung handeln, sowie unsere Rechtsanwälte, Buchhalter und Wirtschaftsprüfer, die der beruflichen Schweigepflicht unterliegen. ## 9. Übermittlungen außerhalb der EU und des EWR Wir speichern Ihre Daten in der EU. Einige unserer Dienstleister haben ihren Sitz in den USA oder gehören zu Unternehmensgruppen mit Niederlassungen außerhalb der EU. Sie können auf Daten außerhalb der EU zugreifen oder diese dort verarbeiten, zum Beispiel für Support, Sicherheitsüberwachung, E-Mail-Zustellung oder die Bereitstellung von Webinhalten über ein globales Netzwerk. Werden personenbezogene Daten in ein Land übermittelt, für das die Europäische Kommission keinen Angemessenheitsbeschluss erlassen hat, stützen wir uns auf geeignete Garantien: - den EU-US-Datenschutzrahmen (EU–US Data Privacy Framework) für danach zertifizierte US-Unternehmen (Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023); oder - die Standardvertragsklauseln der Europäischen Kommission (Durchführungsbeschluss (EU) 2021/914), erforderlichenfalls mit zusätzlichen Maßnahmen. Weitere Informationen oder eine Kopie der jeweiligen Garantien können Sie unter privacy@printandmailcompany.com anfordern. **Briefe in andere Länder.** Wir übergeben jeden Brief in Luxemburg an POST Luxembourg. Briefe in andere Länder leitet POST Luxembourg im Rahmen des internationalen Postdienstes an das Postunternehmen des Bestimmungslandes weiter, das sie nach seinen eigenen Regeln zustellt. ## 10. Speicherdauer Wir speichern personenbezogene Daten nur so lange, wie wir sie für die in dieser Datenschutzerklärung beschriebenen Zwecke benötigen, und löschen oder anonymisieren sie anschließend. - **Hochgeladene PDFs, verfasste Briefe und Druckdateien:** automatische Löschung 30 Tage nach dem Versand des Briefes bzw. 30 Tage nach dem Hochladen, wenn der Brief nie versendet wird (zum Beispiel, weil Sie ihn storniert oder nicht fertiggestellt haben). Bitte bewahren Sie von jedem Brief, den Sie versenden, eine eigene Kopie auf. - **Briefdetails** (Name und Adresse des Empfängers, Rücksendeadresse, Optionen, Status, Datumsangaben, Sendungsnummer): Speicherung für 12 Monate nach dem Versand oder der Stornierung, um Fragen und Reklamationen zu bearbeiten. Danach löschen oder anonymisieren wir Namen und Adresse des Empfängers und behalten nur, was unsere Buchhaltungsunterlagen erfordern, etwa Briefreferenz, Datum, Portozone und Preis. - **Kontodaten und Adressbuch:** bis zur Löschung Ihres Kontos. Gespeicherte Adressen: bis Sie sie löschen. - **Zahlungsaufzeichnungen, Guthabenbuchungen und Rechnungen:** 10 Jahre ab dem Ende des Geschäftsjahres, in dem sie erstellt wurden, wie es das luxemburgische Buchführungs- und Mehrwertsteuerrecht verlangt (einschließlich Artikel 16 des Handelsgesetzbuchs (Code de commerce)). Dies gilt auch nach der Löschung Ihres Kontos. - **Kommunikation mit uns:** bis zu 3 Jahre nach Erledigung Ihrer Anfrage. - **Meldungen über Missbrauch oder rechtswidrige Inhalte und zugehörige Beweismittel:** so lange, wie es für die Bearbeitung des Falls erforderlich ist, in der Regel nicht länger als 3 Jahre nach seinem Abschluss, und länger, solange ein Gerichtsverfahren anhängig ist. - **Serverprotokolle:** 30 Tage. - **Sitzungsdaten:** bis Sie sich abmelden oder die Sitzung nach 30 Tagen ohne Aktivität abläuft. - **Verbindungen von KI-Assistenten und API:** bis Sie sie widerrufen oder Ihr Konto löschen. Zugriffstokens laufen nach kurzer Zeit automatisch ab. - **Newsletter:** bis zu Ihrer Abmeldung. Danach speichern wir Ihre E-Mail-Adresse auf einer Sperrliste, damit wir Ihnen keine weiteren E-Mails senden. - **Einwilligungsnachweise** (Cookie-Entscheidungen und Newsletter-Einwilligung): solange die Einwilligung gilt und 3 Jahre darüber hinaus, damit wir sie nachweisen können. - **Wegen Betrugs oder Missbrauchs geschlossene Konten:** Wir können die Mindestdaten, die erforderlich sind, um eine erneute Registrierung der betreffenden Person zu verhindern, etwa die E-Mail-Adresse und den Grund der Schließung, bis zu 3 Jahre lang speichern. Bestimmte Daten können wir länger speichern, wenn das Gesetz dies verlangt oder wir sie zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigen, zum Beispiel solange eine Untersuchung, eine Streitigkeit oder eine behördliche Anfrage läuft. In diesem Fall verwenden wir die Daten nur für diesen Zweck. Gelöschte Daten können für begrenzte Zeit in verschlüsselten Sicherungskopien verbleiben, bis sie im regulären Sicherungszyklus überschrieben werden, in der Regel innerhalb von 30 Tagen. ## 11. Wie wir Ihre Daten schützen Wir setzen dem Risiko angemessene technische und organisatorische Maßnahmen ein, unter anderem: - Verschlüsselung bei der Übertragung (TLS) für alle Verbindungen zu unserer Website, unserer API und unserem MCP-Server; - Verschlüsselung gespeicherter Daten (Encryption at Rest) durch unsere Hosting-, Datenbank- und Speicheranbieter; - Zugriffskontrolle nach dem Prinzip der minimalen Rechtevergabe: Nur befugte Personen, die personenbezogene Daten für ihre Arbeit benötigen, haben Zugriff darauf; - Speicherung von Passwörtern und API-Schlüsseln ausschließlich als Hashwerte; - Protokollierung sicherheitsrelevanter Ereignisse und der Handlungen von Mitarbeitern sowie Begrenzung der Anzahl von Anfragen zum Schutz vor Angriffen; - automatische Löschung von Briefdateien nach 30 Tagen; - ein gesicherter Produktionsbereich mit beschränktem physischem Zugang, vertraulicher Umgang mit gedruckten Briefen und Schreddern von Fehldrucken; - Vertraulichkeitsverpflichtungen für alle, die für uns tätig sind. Kein System ist vollkommen sicher. Führt eine Verletzung des Schutzes personenbezogener Daten voraussichtlich zu einem Risiko für Ihre Rechte und Freiheiten, melden wir dies der CNPD und benachrichtigen Sie, soweit erforderlich, wie es die DSGVO verlangt. ## 12. Automatisierte Entscheidungen und Profiling Wir treffen keine ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidungen über Sie, die Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen (Art. 22 DSGVO), und wir verwenden Ihre Daten nicht für Profiling. Einige Schritte in unserem Dienst sind automatisiert, stellen aber keine Entscheidungen dieser Art dar: - **Kartenaufschlag.** Ob ein Aufschlag anfällt, wird nach festen Regeln anhand des Ausgabelandes, der Marke und des Typs der Karte berechnet. Er ist ein Preisbestandteil, der Ihnen vor der Zahlung angezeigt wird, keine Entscheidung über Sie als Person, und Sie können eine andere Zahlungsmethode wählen. - **Formatprüfung.** Unsere automatische PDF-Prüfung kontrolliert nur technische Anforderungen wie Ränder und Seitenformat. - **Sicherheitsbegrenzungen.** Automatische Begrenzungen der Anzahl von Anfragen schützen unsere Systeme. Entscheidungen, einen Brief abzulehnen oder ein Konto zu sperren oder zu schließen, trifft ein Mensch. Stripe kann eine Zahlung, die Stripe für betrügerisch hält, automatisch ablehnen; diese Entscheidung trifft Stripe als eigener Verantwortlicher. Wird eine Zahlung abgelehnt, wenden Sie sich an uns; wir helfen, soweit wir können. ## 13. Ihre Rechte Nach der DSGVO haben Sie das Recht auf: - **Auskunft** über Ihre personenbezogenen Daten und Erhalt einer Kopie dieser Daten (Art. 15); - **Berichtigung** unrichtiger oder unvollständiger Daten (Art. 16); - **Löschung** Ihrer Daten, sofern wir sie nicht aufbewahren müssen, zum Beispiel für die Buchhaltung (Art. 17); - **Einschränkung** der Verarbeitung, zum Beispiel während wir prüfen, ob Ihre Daten richtig sind (Art. 18); - **Datenübertragbarkeit**, das heißt, Sie können die Daten, die Sie uns bereitgestellt haben, in einem strukturierten, gängigen und maschinenlesbaren Format erhalten oder an einen anderen Anbieter übermitteln lassen, soweit wir sie auf Grundlage Ihrer Einwilligung oder unseres Vertrags automatisiert verarbeiten (Art. 20); - **Widerspruch** jederzeit, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, gegen eine auf unsere berechtigten Interessen gestützte Verarbeitung (Art. 21). Wir stellen die Verarbeitung dann ein, es sei denn, wir haben zwingende schutzwürdige Gründe oder benötigen die Daten für Rechtsansprüche. Der Direktwerbung können Sie jederzeit ohne Angabe von Gründen widersprechen; - **Widerruf Ihrer Einwilligung** jederzeit, ohne dass die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung berührt wird (Art. 7 Abs. 3). **So üben Sie Ihre Rechte aus.** In Ihrem Konto können Sie viele Ihrer Daten einsehen und berichtigen sowie gespeicherte Adressen löschen; vom Newsletter können Sie sich über den Link in jedem Newsletter abmelden. Für alles andere, einschließlich der Löschung Ihres Kontos oder des Widerrufs des Zugriffs eines KI-Assistenten, schreiben Sie an privacy@printandmailcompany.com. Wir antworten innerhalb eines Monats nach Eingang Ihres Antrags. Ist ein Antrag komplex oder erhalten wir viele Anträge, können wir diese Frist um bis zu zwei weitere Monate verlängern; über die Verlängerung informieren wir Sie innerhalb des ersten Monats. Die Ausübung Ihrer Rechte ist unentgeltlich. Bei offenkundig unbegründeten oder exzessiven Anträgen können wir ein angemessenes Entgelt verlangen oder den Antrag ablehnen; wir erläutern Ihnen dann die Gründe. Bevor wir einen Antrag bearbeiten, können wir Informationen zur Bestätigung Ihrer Identität anfordern. Betrifft Ihr Antrag Daten, die wir für einen Geschäftskunden verarbeiten (siehe Abschnitt 5), leiten wir ihn an diesen Kunden weiter und unterstützen ihn bei der Beantwortung. ## 14. Beschwerderecht Wenn Sie der Ansicht sind, dass wir Ihre personenbezogenen Daten rechtswidrig verarbeiten, haben Sie das Recht, Beschwerde bei einer Datenschutz-Aufsichtsbehörde einzulegen, insbesondere in dem EU-Mitgliedstaat, in dem Sie wohnen oder arbeiten oder in dem der mutmaßliche Verstoß stattgefunden hat. Die für uns zuständige Behörde ist: **Commission nationale pour la protection des données (CNPD)**\ 15, Boulevard du Jazz\ L-4370 Belvaux\ Luxemburg\ [www.cnpd.lu](https://www.cnpd.lu) Bitte prüfen Sie vor Ihrem Schreiben die aktuelle Anschrift und das Beschwerdeverfahren auf [cnpd.lu](https://www.cnpd.lu). Wir würden uns freuen, Ihr Anliegen zunächst selbst klären zu können; wenden Sie sich daher gern unter privacy@printandmailcompany.com an uns. ## 15. Sind Sie verpflichtet, Ihre Daten bereitzustellen? Sie sind gesetzlich nicht verpflichtet, uns personenbezogene Daten bereitzustellen. Für die Erbringung unseres Dienstes benötigen wir jedoch Ihre Kontodaten, die Adresse des Empfängers, den Briefinhalt und Ihre Zahlungsdaten. Ohne diese können wir keine Briefe für Sie versenden. Sobald Sie bezahlen, sind wir gesetzlich verpflichtet, die für die Rechnungsstellung erforderlichen Daten zu erfassen. Optionale Angaben, etwa Ihre eigene Rücksendeadresse, gespeicherte Adressen, die Anmeldung mit Google und der Newsletter, sind freiwillig. ## 16. Kinder Unser Dienst richtet sich nicht an Kinder unter 16 Jahren. Um ein Konto anzulegen, müssen Sie mindestens 18 Jahre alt sein (siehe unsere [Allgemeinen Geschäftsbedingungen](/legal/terms)). Erfahren wir, dass wir personenbezogene Daten eines Kindes gespeichert haben, das unseren Dienst entgegen diesen Regeln genutzt hat, löschen wir diese, sofern wir nicht gesetzlich zu ihrer Aufbewahrung verpflichtet sind. Wenn Sie glauben, dass ein Kind uns personenbezogene Daten übermittelt hat, wenden Sie sich bitte an privacy@printandmailcompany.com. ## 17. Änderungen dieser Datenschutzerklärung Wir aktualisieren diese Datenschutzerklärung, wenn sich unsere Verarbeitung oder die Rechtslage ändert. Das Datum oben zeigt an, wann sie zuletzt aktualisiert wurde. Bei wesentlichen Änderungen informieren wir registrierte Kunden vor deren Inkrafttreten per E-Mail oder in ihrem Konto und bitten um Ihre Einwilligung, wenn eine Änderung dies erfordert. Frühere Fassungen sind auf Anfrage erhältlich.