Datenschutzerklärung

Stand: 1. November 2026

1. Verantwortlicher

Oscar Rojas
Alt-Mariendorf 50
12107 Berlin, Deutschland
E-Mail: contact@pdfzubrief.de

2. Welche Daten wir verarbeiten und warum

Wenn Sie einen Brief senden, verarbeiten wir das hochgeladene PDF (den Inhalt Ihres Briefs), Name und Anschrift des Empfängers, Ihren Absender, Ihre Druckoptionen und Ihre E-Mail-Adresse. Wir nutzen diese Daten, um Ihren Brief zu drucken, zu kuvertieren und zu versenden (Art. 6 Abs. 1 lit. b DSGVO – Erfüllung unseres Vertrags mit Ihnen). Name und Anschrift des Empfängers verarbeiten wir, weil Sie ihm schreiben möchten (Art. 6 Abs. 1 lit. f DSGVO – Ihr berechtigtes Interesse, ihm einen Brief zu senden, und unseres, ihn zuzustellen).

Ihr Brief kann sensible Angaben enthalten, etwa zu Ihrer Gesundheit, wenn Sie Ihrer Krankenkasse schreiben. Solche Inhalte verarbeiten wir nur, um den Brief zu drucken und zu versenden, weil Sie ihn versenden möchten (Art. 9 Abs. 2 lit. a DSGVO – ausdrückliche Einwilligung durch das Hochladen). Wir sehen uns den Inhalt Ihrer Briefe nicht an, außer wenn das nötig ist, um einen technischen Fehler zu beheben oder einer Meldung über Missbrauch nachzugehen (Abschnitt 3a).

Wenn Sie einen 10er-Pack kaufen, speichern wir, zu welcher E-Mail-Adresse er gehört, wann Sie ihn gekauft haben, wie viele Briefe noch übrig sind und wann er abläuft (Art. 6 Abs. 1 lit. b DSGVO).

3. Bestätigung Ihrer E-Mail-Adresse

Bevor Sie einen Brief senden, schicken wir Ihnen einen 6-stelligen Code, den Sie auf unserer Seite eingeben. So bestätigen Sie, dass die Adresse Ihnen gehört; das schützt Sie davor, dass jemand in Ihrem Namen Briefe verschickt, und wir können Sie zu Ihrem Brief erreichen (Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse an bestätigten Bestellungen). Nach der Bestätigung speichert Ihr Browser 30 Tage lang ein Anmelde-Token, damit Sie nicht für jeden Brief einen neuen Code brauchen (siehe Abschnitt 6).

3a. Schutz vor Missbrauch

Briefe können missbraucht werden, etwa um jemanden zu bedrohen oder zu täuschen. Um das zu verhindern und Beschwerden nachgehen zu können, speichern wir zu jedem Brief Ihre E-Mail-Adresse, Ihre IP-Adresse und Ihren Browsertyp, Empfänger und Absender sowie jeden Schritt (Code angefordert, Brief angelegt, bezahlt, übergeben). Wir begrenzen, wie viele Briefe pro E-Mail-Adresse und pro IP-Adresse am Tag versendet werden können (Art. 6 Abs. 1 lit. f DSGVO – unser berechtigtes Interesse, Missbrauch des Dienstes zu verhindern und Empfänger zu schützen). IP-Adressen, Browserangaben, Empfänger und Absender löschen wir 90 Tage nach dem Brief. Wird ein Brief als Missbrauch gemeldet, bewahren wir das Nötige als Beweis auf, bis die Sache abgeschlossen ist, und geben es nur an Behörden weiter, wenn das Gesetz es verlangt.

4. An wen wir Daten weitergeben

Unser Druckpartner. LetterXpress (A&O Fischer GmbH & Co. KG, Maybachstraße 9, 21423 Winsen (Luhe)) erhält Ihren Brief als PDF, druckt und kuvertiert ihn und übergibt ihn der Deutschen Post AG. LetterXpress verarbeitet ihn nur nach unseren Weisungen auf Grundlage eines Auftragsverarbeitungsvertrags (Art. 28 DSGVO) und löscht ihn 60 Tage nach Eingang. Die Deutsche Post sieht die Anschriften auf dem Umschlag und stellt den Brief nach ihren eigenen Bedingungen zu.

Zahlungen. Sie bezahlen auf der Zahlungsseite von Stripe (Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Dublin 2, Irland). Ihre Kartendaten sehen wir nie; wir erhalten den Betrag, den Zahlungsstatus und die Referenz von Stripe. Stripe verarbeitet Zahlungsdaten auch als eigener Verantwortlicher, etwa zur Betrugsvermeidung und zur Erfüllung gesetzlicher Pflichten (Datenschutzerklärung von Stripe). Stripe kann Daten an Stripe, Inc. in den USA übermitteln, die nach dem EU-US Data Privacy Framework zertifiziert ist (Art. 6 Abs. 1 lit. b DSGVO).

Technische Dienstleister. Hosting und Versand unserer E-Mails (Amazon Simple Email Service) durch Amazon Web Services EMEA SARL (38 Avenue John F. Kennedy, L-1855 Luxemburg) in deren Rechenzentren in Frankfurt; unser Postfach, in dem Antworten auf unsere E-Mails eingehen, durch mailbox.org in Deutschland. Beide arbeiten für uns auf Grundlage von Auftragsverarbeitungsverträgen (Art. 28 DSGVO). Amazon Web Services, Inc. ist nach dem EU-US Data Privacy Framework zertifiziert.

Wir verkaufen Ihre Daten nicht und geben sie an niemanden sonst weiter.

5. Hosting und Server-Logs

Unsere Website und Datenbank werden von Amazon Web Services in Frankfurt gehostet, innerhalb der Europäischen Union. Wir sichern die Datenbank täglich; keine Sicherung wird länger als 30 Tage aufbewahrt, sodass gelöschte Daten spätestens nach 30 Tagen auch aus den Sicherungen verschwunden sind.

Unser Webserver verarbeitet technische Daten (IP-Adresse, Zeitpunkte, aufgerufene Seiten, Browserangaben) in Server-Logs, um die Website sicher bereitzustellen und Missbrauch zu erkennen (Art. 6 Abs. 1 lit. f DSGVO). Log-Dateien werden höchstens 30 Tage aufbewahrt, außer sie werden als Beweis für einen Angriff benötigt.

6. Cookies, lokaler Speicher und Statistik

Wir verwenden keine Cookies. Nachdem Sie Ihre E-Mail-Adresse bestätigt haben, speichert Ihr Browser ein Anmelde-Token in seinem lokalen Speicher, damit Sie nicht für jeden Brief einen neuen Code brauchen. Das ist für den von Ihnen gewünschten Dienst unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG); Sie können es jederzeit löschen, indem Sie Ihre Browserdaten löschen.

Besucherstatistik. Um zu sehen, wie viele Menschen unsere Website besuchen und welche Seiten sie nutzen, verwenden wir Plausible Analytics der Plausible Insights OÜ (Västriku tn 2, 50403 Tartu, Estland). Plausible setzt keine Cookies und speichert nichts auf Ihrem Gerät. Beim Laden einer Seite übermittelt Ihr Browser an Plausible die Seitenadresse, die Website, von der Sie kommen, Ihren Browser, Ihr Betriebssystem und Ihren Gerätetyp. Ihre IP-Adresse nutzt Plausible nur, um Ihren ungefähren Standort (Land, Region, Stadt) zu bestimmen und, zusammen mit Ihren Browserangaben und einem Schlüssel, der alle 24 Stunden ersetzt wird, eindeutige Besucher zu zählen, ohne Sie an einem anderen Tag wiederzuerkennen. Plausible speichert weder Ihre IP-Adresse noch etwas, das Sie identifiziert, und verarbeitet die Daten in der EU. Plausible arbeitet für uns auf Grundlage eines Auftragsverarbeitungsvertrags (Art. 28 DSGVO). Rechtsgrundlage: unser berechtigtes Interesse, unsere Website zu verstehen und zu verbessern (Art. 6 Abs. 1 lit. f DSGVO). Details: Datenschutzhinweise von Plausible.

Außer diesem Statistik-Skript laden wir keine Schriften oder Skripte von Servern anderer Unternehmen, und wir nutzen keine Werbe- oder Tracking-Dienste. Die Zahlungsseite von Stripe, auf der Sie bezahlen, verwendet eigene Cookies nach der Datenschutzerklärung von Stripe.

7. Wie lange wir Daten speichern

Das PDF Ihres Briefs löschen wir von unserem Server, sobald LetterXpress es erhalten hat, oder wenn die Zahlungsseite ohne Zahlung abläuft (nach einer Stunde, spätestens nach 24 Stunden). LetterXpress löscht es 60 Tage nach Eingang. IP-Adressen, Browserangaben und Anschriften werden nach 90 Tagen gelöscht (Abschnitt 3a). Bestätigungscodes werden nach einem Tag gelöscht; eine Anmeldung läuft nach 30 Tagen ab.

Aufzeichnungen über Ihre Bestellungen und Zahlungen (E-Mail-Adresse, Datum, Seitenzahl, Preis, Zahlungsreferenz) und über Ihre 10er-Packs bewahren wir so lange auf, wie das Steuerrecht es verlangt, derzeit acht Jahre (§ 147 AO). Die Löschung aller übrigen Daten können Sie jederzeit früher verlangen.

8. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Beruht eine Verarbeitung auf Ihrer Einwilligung, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen. Schreiben Sie uns dazu an contact@pdfzubrief.de. Sie können sich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren – für Berlin: Berliner Beauftragte für Datenschutz und Informationsfreiheit.

9. Änderungen

Wir passen diese Erklärung an, wenn sich unsere Verarbeitung ändert, und geben oben das Datum der aktuellen Fassung an.