Legal

Privacy Policy

In English: section Q explains how Postel handles connected social accounts (X, LinkedIn, Bluesky, Mastodon, Instagram, Threads, TikTok and YouTube). To delete your data, see data deletion.

Datenschutzinformationen nach Art. 13, 14 DSGVO

Stand: Oktober 2026

Wir, die JRS Content Solutions UG (haftungsbeschränkt) („wir"), informieren über die Verarbeitung personenbezogener Daten bei Besuch und Nutzung von postel.app und unserer Dienste („Website", „Dienst").

A. Verantwortlicher

JRS Content Solutions UG (haftungsbeschränkt)
c/o Robin Sadeghpour Faraj, Bernauer Str. 65, 13507 Berlin, Deutschland
E-Mail: joschua.suenneke@postel.app (Weitere Angaben im Impressum.)
Datenschutzbeauftragter: nicht benannt.

B. Zwecke, Datenarten, Rechtsgrundlagen

Wir verarbeiten Daten nur im erforderlichen Umfang:

1. Bereitstellung der Website & Sicherheit (Hosting/Logs)
Daten: IP-Adresse, Datum/Zeit, URL/Referrer, User-Agent, Statuscodes, Fehlerlogs
Rechtsgrundlagen: Art. 6 Abs. 1 f DSGVO (Betrieb/Sicherheit); § 25 Abs. 2 Nr. 2 TTDSG (technisch erforderlich)

2. Consent-Management (Cookie/Storage-Einwilligungen)
Daten: Einwilligungsstatus, Zeitstempel, ggf. anonyme ID
Rechtsgrundlagen: Art. 6 Abs. 1 c DSGVO (Nachweis), Art. 6 Abs. 1 f DSGVO; § 25 TTDSG

3. Web-Analytics auf öffentlichen Seiten (nur mit Einwilligung) Daten: pseudonyme IDs, Events, Seitenaufrufe, Gerät/Browser, ggf. IP (gekürzt) Tool: PostHog Rechtsgrundlagen: Art. 6 Abs. 1 a DSGVO; § 25 Abs. 1 TTDSG (Opt-in) Hinweis: Auf öffentlichen Marketing-Seiten (z. B. Startseite, Preisseite) wird PostHog nur nach Ihrer Einwilligung geladen.

3a. Produkt-Analytics für angemeldete Nutzer (berechtigtes Interesse) Daten: Nutzungsverhalten in der Anwendung (besuchte Seiten, verwendete Funktionen, Verweildauer), technische Fehler, Session-Informationen Tool: PostHog Rechtsgrundlagen: Art. 6 Abs. 1 f DSGVO (berechtigtes Interesse zur Produktverbesserung) Hinweis: Wenn Sie in unserer Anwendung angemeldet sind, erfassen wir anonymisierte Nutzungsdaten, um die Produktfunktionalität zu verbessern, technische Fehler zu beheben und die Benutzererfahrung zu optimieren. Diese Verarbeitung erfolgt auf Grundlage unseres berechtigten Interesses als Bestandteil Ihrer Vertragsbeziehung mit uns. Die erfassten Daten umfassen NICHT die von Ihnen erstellten Inhalte, persönlichen Nachrichten oder Zahlungsinformationen. Sie haben das Recht, dieser Verarbeitung gemäß Art. 21 DSGVO zu widersprechen. Kontaktieren Sie uns dazu unter joschua.suenneke@postel.app.

4. Registrierung & Login (Account-Verwaltung)
Daten: E-Mail, Name (optional), Login-Status, technische Tokens
Tools: Google OAuth, X (Twitter) OAuth
Rechtsgrundlagen: Art. 6 Abs. 1 b DSGVO (Vertrag/Anbahnung); § 25 Abs. 2 Nr. 2 TTDSG (erforderlich)

5. Nutzung des Dienstes / Datenspeicherung
Daten: Profildaten, Inhalts-/Meta- und Nutzungsdaten in Postel (je nach Feature), technische Telemetrie
Tool/Infra: Supabase (DB/Storage; bevorzugt EU-Region)
Rechtsgrundlagen: Art. 6 Abs. 1 b DSGVO; Art. 6 Abs. 1 f DSGVO (Betrieb/Fehleranalyse)

6. Zahlungsabwicklung & Abrechnung
Daten: Rechnungs-/Zahlungsdaten (z. B. Name, E-Mail, Anschrift, Transaktionsdaten), Status
Tool: Stripe (Stripe Payments Europe + verbundene Stripe-Unternehmen)
Rechtsgrundlagen: Art. 6 Abs. 1 b DSGVO; Art. 6 Abs. 1 c DSGVO (Aufbewahrung nach HGB/AO)

7. Kundenkommunikation / Produkt-E-Mails / Newsletter
Daten: E-Mail, Name (optional), DOI-Protokoll, Öffnungen/Klicks (Tracking-Pixel/Link-ID)
Tool: customer.io
Rechtsgrundlagen: Art. 6 Abs. 1 a DSGVO (Newsletter/Produktmails mit Einwilligung); Art. 6 Abs. 1 b DSGVO (transaktionale Mails)

8. Prompt-/Event-Telemetrie (Qualität & Fehlersuche)
Daten: pseudonyme/technische Nutzungs- und Performance-Daten; ggf. minimierte Prompt-/Antwort-Metadaten
Tool: Langfuse
Rechtsgrundlagen: Art. 6 Abs. 1 f DSGVO (Qualitätssicherung/Debugging); bei Personenbezug Datenminimierung/Redaktion

9. Support & Anfragen
Daten: Inhalte Ihrer Anfrage, Kontaktdaten, Zeitstempel
Rechtsgrundlagen: Art. 6 Abs. 1 b DSGVO (Beantwortung/Vertrag), Art. 6 Abs. 1 f DSGVO (Servicequalität)

10. Social / Community
Discord (Link/Community): Beim Aufruf gelten die Datenschutzhinweise von Discord; Verarbeitung dort eigenverantwortlich.
Rechtsgrundlagen: Art. 6 Abs. 1 f DSGVO (Interaktion/Community); Tracking nur nach deren Bedingungen

11. Werbung auf kostenlosen Tool- und Blog-Seiten Daten: Cookies, Geräte-/Browser-Informationen, IP-Adresse, Nutzungsverhalten auf der Seite (z. B. Scrolltiefe, Verweildauer), ggf. pseudonyme Werbe-IDs Tools: Ezoic (Ezoic Inc.), Google Ad Manager, weitere über Ezoic eingebundene Werbepartner Rechtsgrundlagen: Art. 6 Abs. 1 a DSGVO (Einwilligung über Consent-Banner); § 25 Abs. 1 TTDSG (Opt-in für nicht-technisch notwendige Cookies) Hinweis: Auf unseren kostenlosen Tool-Seiten und Blog-Seiten setzen wir Ezoic als Werbepartner ein, um Anzeigen auszuliefern. Ezoic und die über Ezoic eingebundenen Werbepartner können Cookies und ähnliche Technologien verwenden, um interessenbasierte Werbung anzuzeigen. Die Einwilligung wird über das auf diesen Seiten angezeigte Consent-Banner eingeholt und kann jederzeit über die Cookie-Einstellungen widerrufen werden. Weitere Informationen finden Sie in der Datenschutzerklärung von Ezoic. In der Anwendung selbst (App-Bereich) werden keine Werbeanzeigen eingeblendet.

Kein automatisiertes Entscheiden i. S. v. Art. 22 DSGVO und kein Profiling über das Notwendige hinaus.

C. Empfänger / Auftragsverarbeiter

Wir setzen Dienstleister gem. Art. 28 DSGVO ein (Auftragsverarbeitung) und schließen DPAs ab:

  • Hosting/Frontend: Vercel Inc. – Rendering/Edge/Logs (EU/USA-Standorte)
  • Datenbank/Storage: Supabase – Datenhaltung (bevorzugt EU-Region)
  • Zahlungen/Abrechnung: Stripe – Payment, Rechnungen
  • E-Mail/CRM: customer.io – Newsletter, Produkt-E-Mails, DOI, Segmentierung
  • Analytics: PostHog – Web-Analytics auf öffentlichen Seiten (nur nach Einwilligung); Produkt-Analytics für angemeldete Nutzer (berechtigtes Interesse)
  • Werbung: Ezoic Inc. – Auslieferung von Anzeigen auf kostenlosen Tool- und Blog-Seiten (nur nach Einwilligung)
  • Prompt/Telemetry: Langfuse – Qualitäts-/Fehler-Analyse technischer Events
  • Auth: Google OAuth, X (Twitter) OAuth – Anmeldung/Identitätsnachweis
  • Statische Website/Assets: Vercel (s. o.)

Eine aktuelle Anbieterliste mit Links zu Privacy/DPA/SCC führen wir unter /legal/vendor-list.

D. Drittlandsübermittlungen (Art. 44 ff. DSGVO)

Bei Anbietern außerhalb des EWR (insb. USA) setzen wir EU-Standardvertragsklauseln (SCCs) ein und bevorzugen EU-Standorte. Zusätzlich treffen wir technische/organisatorische Maßnahmen (z. B. Verschlüsselung, Zugriffskontrollen, Datenminimierung). Kopien wesentlicher Garantien stellen wir auf Anfrage bereit.

E. Speicherdauer

  • Server-Logs: 7–30 Tage (Sicherheit/Fehleranalyse)
  • Consent-Protokolle: bis zu 24 Monate (Nachweis)
  • Vertrags-/Zahlungsdaten: 6–10 Jahre (HGB/AO)
  • Newsletter/CRM-Daten: bis Widerruf/Abmeldung; DOI-Nachweis bis zu 3 Jahre
  • Account-/Nutzungsdaten: bis Löschung des Accounts bzw. Zweckfortfall + gesetzliche Pflichten
  • Langfuse-/Telemetry-Daten: kurze, zweckgebundene Zyklen (Debug/Qualität), danach Löschung/Anonymisierung

F. Cookies & ähnliche Technologien (TTDSG)

  • Notwendig (Betrieb, Sicherheit, Login): ohne Einwilligung zulässig (§ 25 Abs. 2 Nr. 2 TTDSG).
  • Komfort/Analytics/Marketing: nur mit Einwilligung (§ 25 Abs. 1 TTDSG, Art. 6 Abs. 1 a DSGVO).

Einwilligungen können Sie im Cookie-Banner/Preference Center jederzeit widerrufen.

G. Newsletter & Produkt-E-Mails

Double-Opt-In, Protokollierung von Einwilligungen; Erfolgsmessung (Öffnungen/Klicks) nur auf Basis Ihrer Einwilligung. Abmeldung jederzeit über Link im Footer oder per E-Mail an joschua.suenneke@postel.app.

H. Soziale Medien / Externe Links

Unsere Website enthält Links zu Profilen/Drittseiten (z. B. Discord, LinkedIn, X). Beim Aufruf gelten die Datenschutzbedingungen der jeweiligen Anbieter. Wir betten keine Social-Plugins ohne Einwilligung ein.

I. Minderjährige

Unser Angebot richtet sich nicht an Kinder. Mindestalter für Konten/Einwilligungen richtet sich nach Art. 8 DSGVO i. V. m. nationalem Recht (Deutschland: 16 Jahre).

J. Ihre Rechte (Art. 15–22 DSGVO)

Sie haben – bei Vorliegen der gesetzlichen Voraussetzungen – das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch sowie Widerruf erteilter Einwilligungen (für die Zukunft).

Kontakt: joschua.suenneke@postel.app Beschwerderecht: z. B. Berliner Beauftragte für Datenschutz und Informationsfreiheit, Alt-Moabit 59–61, 10555 Berlin, mailbox@datenschutz-berlin.de

K. Datensicherheit

Wir setzen angemessene technische und organisatorische Maßnahmen ein (TLS, Verschlüsselung ruhender Daten soweit möglich, Rollen-/Rechtemanagement, Härtung/Monitoring, Backups, Least-Privilege, Need-to-know).

L. Änderungen

Wir aktualisieren diese Hinweise bei Bedarf. Die aktuelle Fassung ist stets unter /legal/privacy-policy verfügbar.

M. Pflicht zur Bereitstellung von Daten (Art. 13 Abs. 2 e DSGVO)

Für Registrierung, Vertragserfüllung und Zahlungen sind bestimmte Angaben erforderlich (z. B. E-Mail, ggf. Name, Rechnungs- und Zahlungsdaten). Ohne diese Daten kann kein Konto eingerichtet, kein Vertrag geschlossen bzw. keine Leistung erbracht werden.

N. Datenquellen Dritter (Art. 14 DSGVO – OAuth)

Wenn Sie sich über Google oder X (Twitter) anmelden, übermittelt der jeweilige Anbieter – nach Ihrer Zustimmung im dortigen Dialog – an uns Profildaten (mindestens E-Mail; ggf. Name/Profilbild). Diese Daten nutzen wir ausschließlich, um Ihr Konto zu erstellen bzw. den Login zu ermöglichen (Art. 6 Abs. 1 b DSGVO). Weitere Informationen erhalten Sie im Einwilligungsdialog und in den Datenschutzhinweisen der jeweiligen Anbieter.

O. Kostenlose Tools (Free Tools)

1. Datenverarbeitung bei Nutzung von Free Tools Bei Nutzung unserer kostenlosen Tools (z. B. Tweet-Screenshot-Generator, AI Caption Generator, Twitter Advanced Search) ohne Anmeldung verarbeiten wir:

  • IP-Adresse: Zur Missbrauchsprävention und Rate-Limiting (Art. 6 Abs. 1 f DSGVO)
  • Technische Metadaten: User-Agent, Zeitstempel zur Sicherheit und Fehleranalyse
  • Eingabedaten: Die von Ihnen eingegebenen Inhalte werden nur zur Erbringung der Funktion verarbeitet und nicht dauerhaft gespeichert

2. Keine Account-Verknüpfung Free Tools erfordern keine Registrierung. Wir erstellen keine dauerhaften Nutzerprofile für nicht angemeldete Nutzer.

3. Drittanbieter-APIs Einige Free Tools nutzen externe APIs (z. B. Twitter/X API, OpenAI). Bei der Nutzung können Daten an diese Anbieter übermittelt werden. Es gelten deren jeweilige Datenschutzbestimmungen.

4. Speicherdauer

  • Rate-Limiting-Daten: maximal 24 Stunden
  • Server-Logs: 7–30 Tage
  • Eingabedaten: werden nicht dauerhaft gespeichert

P. Postel-Plugin und MCP-Server in KI-Assistenten (z. B. ChatGPT, Codex, Claude)

Die Recherchefunktion durchsucht unseren Index öffentlicher X-Beiträge ohne Anmeldung. Wir verarbeiten dafür die übermittelten Suchbegriffe und Filter. Zum Schutz vor Missbrauch verwenden wir kurzlebige Anfragezähler; bei nicht angemeldeten Anfragen basiert der Zählerschlüssel auf einem Hash der vom Hosting-System übermittelten IP-Adresse. Diese Zähler laufen nach 60 Sekunden ab und dienen nicht der Werbeprofilbildung.

Der Zugriff auf Ihre Postel-Entwürfe, Markeninformationen und Veröffentlichungsfunktionen erfordert eine von Ihnen bestätigte OAuth-Verknüpfung. Das Plugin erhält dabei Zugriff auf die im Einwilligungsdialog beschriebenen Postel-Funktionen. Angeforderte Daten und Aktionsergebnisse werden an den von Ihnen verwendeten KI-Assistenten (z. B. ChatGPT, Codex oder Claude) übermittelt. Wir erhalten die jeweiligen Werkzeuganfragen, nicht automatisch Ihren gesamten Gesprächsverlauf. Für die Verarbeitung durch diesen Dienst gelten zusätzlich dessen Datenschutzhinweise und Ihre dortigen Einstellungen.

Gespeicherte Entwürfe und geplante Beiträge verbleiben in Ihrem Postel-Konto gemäß den oben beschriebenen Aufbewahrungsregeln. Sie können die Plugin-Verknüpfung im jeweiligen KI-Assistenten entfernen. Bereits gespeicherte Entwürfe und geplante Veröffentlichungen werden durch das Entfernen einer Verknüpfung nicht automatisch gelöscht oder abgebrochen; Sie können diese in Postel verwalten.

Q. Connected Social Accounts & Publishing

This section is in English so the networks Postel connects to, and their app reviewers, can read it. It explains how Postel accesses and handles data from the social accounts you choose to connect. The rest of this policy also applies.

Postel lets you connect your own social accounts to a workspace and publish content you create in Postel to them. X, LinkedIn, Mastodon, Instagram, Threads, TikTok and YouTube connect through the network's official sign-in (OAuth), with the permissions you approve. Bluesky connects with an app password you create for Postel. Postel never asks for your password for that network and does not use browser automation to post. Postel publishes only posts you wrote or approved, or that an AI assistant you connected to Postel scheduled for you, when you click Post or at a time you scheduled. Automations, such as an automatic follow-up reply, run only when you set them up.

Networks and permissions. Postel requests only the permissions it needs for the networks you connect:

  • X (Twitter): users.read, users.email, tweet.read, follows.read, tweet.write, media.write and offline.access, to read your profile, email address, posts and the accounts you follow, and to publish the posts and media you create.
  • LinkedIn: openid, profile, email and w_member_social, to identify you and publish the posts you create to your personal profile.
  • Mastodon: read:accounts, write:statuses and write:media, to identify your account and publish the posts and media you create.
  • Bluesky: an app password you create for Postel, used to identify your account, read your posts and publish the posts you create.
  • Instagram (Meta): instagram_business_basic and instagram_business_content_publish, to identify your professional account and publish the images, carousels and reels you create.
  • Threads (Meta): threads_basic and threads_content_publish, to identify your Threads profile and publish the posts you create.
  • TikTok: user.info.basic, user.info.profile and video.publish, to show which TikTok account is connected (name, picture and @username) and publish the videos you create and review, with the privacy and interaction settings you choose.
  • YouTube (Google): https://www.googleapis.com/auth/youtube.upload, to upload the videos you create to your own channel with the title, description and visibility you choose, and https://www.googleapis.com/auth/youtube.readonly, only to show which channel is connected (its name and picture).

What we store and why. For each connected account we store the network's ID for the account and, where the network provides them, its handle, display name and profile picture link, and the access and refresh tokens with their expiry and granted permissions. We need these to publish for you and to show you which account a post goes to. We also store the posts you publish through Postel and, for analytics on X, LinkedIn, Bluesky and Mastodon, your account's recent public posts, their performance and your follower count. We read account settings (for example, a TikTok creator's available privacy options) only to show you accurate publishing options.

How tokens are protected. Tokens are stored in our database, hosted by Supabase, which encrypts all customer data at rest with AES-256 (Supabase security). Access is limited to Postel's servers, the people who run Postel, and Supabase as our database provider. When you disconnect an account, its tokens are deleted from that workspace right away. If you also sign in to Postel with that account, your login keeps its own token until you delete your Postel account or remove Postel in that network's settings.

What we do not do. We do not read your private messages. We never sign in to, or post from, anyone else's account. We do not sell your data or use it for advertising. We share it only with service providers that process it for us, such as our hosting, database and AI providers, and only as needed to run Postel. Postel's AI features send the text you work on, and your posts and their numbers, to AI model providers (Anthropic and OpenAI, through Vercel's AI Gateway). This happens when you ask Postel about your posts and when Postel learns your voice and topics. These requests are logged in Langfuse so we can check quality. We do not use data from these network APIs to develop, improve or train generalized AI or machine-learning models.

Deleting your data. You can disconnect an account, delete a workspace or delete your Postel account at any time, or email us. Our data deletion page explains each option, what it deletes and how long it takes. You can also remove Postel's access in each network's settings; the data deletion page explains how.

YouTube API Services. Postel uses YouTube API Services to upload videos to your YouTube channel. By using Postel's YouTube features, you agree to the YouTube Terms of Service. Google's handling of your data is described in the Google Privacy Policy. You can remove Postel's access to your Google account at any time on Google's security settings page. Any YouTube data we store is refreshed or deleted within 30 days. If you ask us to delete your YouTube data, we do so within 7 days. Privacy contact: joschua.suenneke@postel.app.

Google API Services: Limited Use. Postel's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements. We use the youtube.upload permission only to upload the videos you choose to your own YouTube channel, and youtube.readonly only to show which channel is connected. We do not transfer or sell this data, use it for advertising, or use it to develop, improve or train generalized AI or machine-learning models.

Meta Platform Data. Our use of Instagram and Threads data follows the Meta Platform Terms and Developer Policies. We access only the account information and publishing features you authorize, and use them only to provide Postel's publishing features.

TikTok data. Our use of TikTok data follows TikTok's Developer Terms of Service. We access your account only to publish content you create and review, and to show you accurate privacy and interaction options.