Sicherheit und Datenschutz

Diese Seite ist für Teams, Agenturen und alle, die vor dem Einsatz von postd intern prüfen müssen, wo Daten liegen und wer sie verarbeitet. Fehlt dir etwas für deine Prüfung, schreib an hello@postd.ai.

Auf einen Blick

• Anbieter: Stefan Kern, Kleinsachsenheimer Str. 36, 74343 Sachsenheim, Deutschland (siehe Impressum).
• Datenbank, Anmeldung und Dateien: Supabase, Region London (Vereinigtes Königreich). Für das Vereinigte Königreich gilt ein Angemessenheitsbeschluss der EU-Kommission.
• Auftragsverarbeitung: Für Geschäftskunden gibt es einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Den Text findest du unter AVV.
• Unterauftragsverarbeiter: vollständige Liste unten. Neue kündigen wir vorher an.
• Datenschutzverletzungen: melden wir Geschäftskunden unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis.

Wie wir deine Daten schützen

Verschlüsselung: Alle Verbindungen zu postd laufen über HTTPS (TLS). Die Datenbank und die Dateien liegen beim Hoster verschlüsselt auf den Datenträgern. Zugangsschlüssel zu verbundenen Kanälen (zum Beispiel Telegram-Bots) liegen zusätzlich verschlüsselt in einem eigenen Tresor der Datenbank.

Trennung der Konten: Jede Tabelle, die die App lesen oder schreiben darf, ist durch Zeilenschutz (Row Level Security) abgesichert. Die Datenbank selbst prüft bei jeder Abfrage, ob das Konto die Zeile sehen darf. Interne Tabellen ohne Zeilenschutz sind für Konten gar nicht erreichbar. Das gilt auch innerhalb von Teams: Wer nicht zu einer Brand gehört, sieht deren Inhalte nicht.

Zugriff: Zugriff auf die Systeme haben nur der Betreiber und von ihm beauftragte Entwickler, die schriftlich zur Vertraulichkeit verpflichtet sind. Konten mit Administratorrechten sind mit Zwei-Faktor-Anmeldung geschützt. Serverseitige Schlüssel liegen ausschließlich in der geschützten Umgebung des Hosters und nie im Code der Website.

Sicherungen: Die Datenbank wird täglich gesichert. Sicherungen werden sieben Tage aufbewahrt.

Schutz vor Missbrauch: Öffentliche Formulare (zum Beispiel Kündigung und Anmerkungen zu geteilten Links) sind mit Cloudflare Turnstile gegen automatisierte Anfragen geschützt. KI-Funktionen sind je Konto begrenzt, damit ein einzelnes Konto das System nicht überlasten kann.

Löschung: Du kannst dein Konto jederzeit selbst löschen. Wie lange wir welche Daten aufbewahren, steht in der Datenschutzerklärung unter Abschnitt 5.

KI: Für die Antworten von Posty und Vorschläge für Bildtexte nutzt postd die KI von Anthropic. Anthropic verwendet Daten aus der Schnittstelle nach eigenen Angaben nicht zum Training seiner Modelle. Verbindest du postd mit einer eigenen KI, gilt dein Vertrag mit deren Anbieter.

Unterauftragsverarbeiter

Diese Dienste verarbeiten im Auftrag von postd personenbezogene Daten. Dienste, die du selbst verbindest (zum Beispiel Instagram, Facebook, Threads, Discord, Telegram oder eine eigene KI), arbeiten auf Grundlage deines eigenen Vertrags mit ihnen und stehen deshalb in der Datenschutzerklärung unter Abschnitt 4.

Kommt ein Unterauftragsverarbeiter hinzu oder wird ersetzt, informieren wir Geschäftskunden mit AVV mindestens 30 Tage vorher per E-Mail. Sie können der Änderung aus wichtigem datenschutzrechtlichem Grund widersprechen.

Fragen, Prüfungen, Meldungen

Für Sicherheitsfragebögen, Nachweise oder den Verdacht auf eine Sicherheitslücke schreib an hello@postd.ai mit dem Betreff „Sicherheit“. Wir antworten in der Regel innerhalb von zwei Werktagen.