Datenschutzerklärung

Gilt für die App PostSafe für iOS und für diese Website. Stand: 28. Oktober 2026. · English version below

Das Wichtigste vorweg

PostSafe scannt Ihre Briefpost. Briefe sind mit das Persönlichste, was es gibt — deshalb bewahre ich Ihre Briefe nicht auf: Sie liegen in Ihrer eigenen iCloud. Die einzige Ausnahme ist die freiwillige Notfallkopie: Sie gibt es nur mit Abonnement und nur, wenn Sie ausdrücklich zustimmen, und ich kann sie öffnen (Abschnitt 3a).

Ihre Briefe, Seitenbilder, erkannten Texte, Ordner und Fristen liegen in Ihrer eigenen privaten iCloud-Datenbank, nicht auf meinem Server. Sie belegen Ihren iCloud-Speicher, und ich habe technisch keinen Zugriff darauf.
Ohne Notfallkopie speichert mein Server keine Briefinhalte — kein Bild, keinen erkannten Text, keinen Absender, keinen Betrag, keinen Ordnernamen. Zum Auslesen reicht er jede Seite nur an den KI-Dienst weiter, ohne sie aufzubewahren. Das ist im Aufbau der Software verankert und durch automatische Tests abgesichert.
Nur wenn Sie der Notfallkopie zustimmen, liegt dort zusätzlich eine verschlüsselte Kopie Ihrer Briefe. Der Server kann sie nicht öffnen. Ich kann es, und ich tue es nur, wenn Sie mich bitten, Ihnen Ihre Briefe zurückzugeben.
Für die Texterkennung wird eine Seite zur Verarbeitung an einen europäischen KI-Dienst übertragen und dort nicht zum Training verwendet. Details unten.
Ihre Ordnernamen gehen nur an den KI-Dienst, und nur zum Einsortieren. Damit ein Brief in einem Ihrer vorhandenen Ordner landet, statt dass die App einen neuen anlegt, werden die Namen Ihrer Ordner zusammen mit dem Brief zur Verarbeitung übertragen — nur die Namen, ohne Farbe, Reihenfolge oder Zahl der Briefe darin. Mein Server reicht sie nur durch und speichert sie nicht; an niemanden sonst gehen sie — außer verschlüsselt in Ihre Notfallkopie, wenn Sie ihr zugestimmt haben.

1. Verantwortlicher

Josef Werner, Nägelseestraße 11, 79288 Gottenheim, Deutschland
E-Mail: kontakt@postsafe.eu

2. Welche Daten verarbeitet werden

Daten	Wo sie liegen	Rechtsgrundlage	Wie lange
Seitenbilder, erkannter Text, ausgelesene Felder, Ordner, Fristen, der Satz aus dem Brief, in dem eine Frist steht	Ihre private iCloud-Datenbank bei Apple; auf Ihrem Gerät alles außer den vollen Seitenbildern älterer Briefe	Art. 6 Abs. 1 lit. b DSGVO (Vertrag); zusätzlich Art. 9 Abs. 2 lit. a (ausdrückliche Einwilligung), siehe Abschnitt 3	Bis Sie den Brief oder Ihr Konto löschen. Volle Seitenbilder älterer Briefe entfernt die App früher von Ihrem Gerät, sobald Ihre iCloud sie sicher hat, und lädt sie beim Öffnen wieder.
Kontokennung: Nutzer-ID, Apple-Kennung und die E-Mail-Adresse, die Apple übermittelt — Ihre echte oder, wenn Sie sie verbergen, eine Weiterleitungsadresse von Apple	Supabase, Rechenzentrum Frankfurt am Main	Art. 6 Abs. 1 lit. b DSGVO	Dauer des Kontos
Kontingentstand, Abo-Stufe, Zeitpunkt der letzten Nutzung, technische Angaben zu einem Verarbeitungslauf (Seitenzahl, Modell, Dauer, Fehlercode), Einwilligungsnachweise, Server-Protokolle	Supabase, Frankfurt am Main	Art. 6 Abs. 1 lit. b DSGVO; für Missbrauchsabwehr und Zählerstände Art. 6 Abs. 1 lit. f; für den Einwilligungsnachweis Art. 7 Abs. 1	Dauer des Kontos. Einwilligungsnachweise überdauern einen Widerruf, weil belegbar bleiben muss, dass die Verarbeitung rechtmäßig war, solange sie galt
Protokoll der Aufrufe beim KI-Dienst: je Aufruf die Seitenzahl oder die Länge des übertragenen Textes, die Länge des zurückgegebenen Textes und ob der Aufruf gelang — nie der Inhalt selbst	Supabase, Frankfurt am Main	Art. 6 Abs. 1 lit. f DSGVO — das berechtigte Interesse, Missbrauch des KI-Dienstes und dadurch entstehende Kosten abzuwehren	48 Stunden; entfernt wird ein Eintrag mit der nächsten Verarbeitung danach
Gekaufte Briefe: je Kauf die Transaktionsnummer des App Store, das Paket, die Menge, ob es ein Testkauf war, und der Zeitpunkt; je Scan, als wie viele Briefe er gezählt hat; Ihr Guthaben. Kein Preis und keine Zahlungsdaten	Supabase, Frankfurt am Main	Art. 6 Abs. 1 lit. b DSGVO (Sie haben Scans gekauft)	Dauer des Kontos; übrige gekaufte Briefe verfallen mit dem Konto
Geräteprüfung für die kostenlosen Scans (App Attest): Damit die kostenlosen Scans nur die echte PostSafe-App auf einem echten iPhone oder iPad bekommt, lässt die App von Apple einmal je Konto und Gerät einen Schlüssel bestätigen. Gespeichert werden die Kennung und der öffentliche Teil dieses Schlüssels, die Umgebung und der Zeitpunkt — nichts über Ihre Briefe	Supabase, Frankfurt am Main; die Bestätigung selbst gibt Apple	Art. 6 Abs. 1 lit. f DSGVO — das berechtigte Interesse, die kostenlosen Scans vor massenhaft angelegten Konten zu schützen	Dauer des Kontos, gelöscht mit Ihrem Konto
Notfallkopie (nur mit Abonnement und Ihrer Zustimmung): je Brief eine auf Ihrem iPhone verschlüsselte Datei mit Seitenbildern, erkanntem Text, ausgelesenen Feldern, Fristen, Titel, Absender und Ordnername. Lesbar sind darin nur Ihre Nutzerkennung, die Kennung des Briefes, der Monat des Scans und die Dateigröße	Supabase Storage, Frankfurt am Main	Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung, getrennt von der Einwilligung zum Scannen); für die übrigen Angaben Art. 6 Abs. 1 lit. a	Solange das Konto besteht. Gelöscht 30 Tage, nachdem Sie den Brief endgültig (aus dem Papierkorb) löschen, die Notfallkopie ausschalten oder Ihr Konto löschen; sofort, wenn Sie in der App „Notfallkopie löschen“ wählen; außerdem, wenn Ihr Konto drei Jahre nicht benutzt wurde
Zurückgegebenes Archiv: die ZIP-Datei, die ich aus Ihrer Notfallkopie erstelle, wenn Sie um Ihre Briefe bitten	Supabase Storage, Frankfurt am Main	Art. 6 Abs. 1 lit. b DSGVO (Ihre Anfrage); Art. 9 Abs. 2 lit. a	7 Tage, dann gelöscht
Löschnachweis: Ihre zufällige Nutzerkennung, der Zeitpunkt der Löschung und zwei Häkchen dafür, dass die Apple-Anmeldung widerrufen und der Datensatz bei RevenueCat entfernt wurde	Supabase, Frankfurt am Main	Art. 6 Abs. 1 lit. c in Verbindung mit Art. 5 Abs. 2 DSGVO — ich muss belegen können, dass eine verlangte Löschung auch ausgeführt wurde	Drei Jahre ab der Löschung, dann wird auch dieser Datensatz automatisch entfernt
Einladungen: Ihr Einladungscode und, wenn Sie den Code eines Freundes eingeben, welches Konto welches eingeladen hat. Ihr Freund sieht nicht, wer Sie sind, und Sie sehen nur, wie viele Ihrer Freunde mitmachen — keine Namen	Supabase, Frankfurt am Main	Art. 6 Abs. 1 lit. b DSGVO (Sie nutzen die Einladungsfunktion)	Dauer des Kontos, gelöscht mit Ihrem Konto
Feedback, das Sie selbst über „Feedback senden“ schreiben: Ihr Text, Ihre Nutzerkennung, die App-Version und der Zeitpunkt. Höchstens ein Feedback am Tag	Supabase, Frankfurt am Main	Art. 6 Abs. 1 lit. f DSGVO — das berechtigte Interesse, PostSafe mit Ihren Hinweisen zu verbessern; Sie entscheiden selbst, ob und was Sie schreiben	Gelöscht mit Ihrem Konto
Briefinhalt während der Verarbeitung (Seitenbild, erkannter Text) und die Namen Ihrer Ordner, damit der Brief einem davon zugeordnet werden kann	Mistral AI, Rechenzentren in der EU	Art. 6 Abs. 1 lit. b und Art. 9 Abs. 2 lit. a DSGVO	Nur für die Dauer der Verarbeitung. Danach behält Mistral nichts (Null-Datenspeicherung)
Abo-Status und Käufe von Briefen: pseudonyme Nutzerkennung, Produkt, Status, Ablaufdatum	RevenueCat, Inc., USA	Art. 6 Abs. 1 lit. b DSGVO	Dauer der Abo-Beziehung
Kauf- und Zahlungsdaten	Apple	Vertrag zwischen Ihnen und Apple	Nach Apples Vorgaben. Ich sehe Ihre Zahlungsdaten nie
Anonyme Nutzungsstatistik (fester Ereigniskatalog, dazu technische Angaben zum Gerät, siehe Abschnitt 5). Abschaltbar in der App	TelemetryDeck GmbH, Server in Deutschland und Finnland	Nach Auffassung des Anbieters keine personenbezogenen Daten; hilfsweise Art. 6 Abs. 1 lit. f DSGVO	Es entstehen keine personenbezogenen Daten, die aufzubewahren wären
PostSafe Web, wenn Sie es nutzen: was Ihr Browser zeigt — Ordner, Briefe mit Seitenbildern und Text, Ihre gespeicherte Unterschrift — und Dateien, die Sie vom Computer auf Ihr iPhone legen	Nur Ihr iPhone und der Browser auf Ihrem Computer, direkt über Ihr eigenes WLAN. Bei mir kommt davon nichts an	Art. 6 Abs. 1 lit. b DSGVO (Sie nutzen die Funktion)	Nur solange die Verbindung besteht; die App weist Ihren Browser an, nichts davon zu speichern. Was Sie selbst herunterladen, bleibt auf Ihrem Computer
Kalendereinträge für Fristen — nur aus App-Versionen vor dem 26. August 2026. Seither legt PostSafe keine mehr an und fragt nicht mehr nach Kalenderzugriff; bestehende Einträge entfernt die App weiterhin	Nur Ihr Gerät und Ihr eigener iCloud-Kalender	Art. 6 Abs. 1 lit. b DSGVO, auf die damals erteilte Freigabe des Kalenderzugriffs	Bis die Frist, der Brief oder Ihr Konto gelöscht wird
Absturz- und Diagnoseberichte	Apple — nur wenn Sie das in den iOS-Einstellungen erlaubt haben	Ihre Entscheidung in den iOS-Einstellungen	Nach Apples Vorgaben

Was mein Server niemals lesbar speichert: Briefbilder, erkannte Texte, Absendernamen, Beträge, Ordnernamen, Betreffzeilen oder Fristdaten. Die einzige Ausnahme ist die verschlüsselte Notfallkopie, und nur, wenn Sie ihr zugestimmt haben. Lesbar gespeichert wird nur Text, den Sie selbst über „Feedback senden“ schicken. Auch die Server-Protokolle sind auf einen festen Satz technischer Felder beschränkt — Ereignisname, Endpunkt, pseudonyme Nutzerkennung, Kennung des Verarbeitungslaufs, Fehlercode, Anzahl und Dauer. Freitext kommt darin nicht vor.

3. Besondere Kategorien personenbezogener Daten

Briefpost enthält regelmäßig besonders geschützte Daten im Sinne des Art. 9 DSGVO: Schreiben von Krankenkassen und Kliniken, Kirchensteuerbescheide, Gewerkschaftspost, Anwaltskorrespondenz. PostSafe kann und will vorab nicht erkennen, welcher Brief welcher ist — eine Vorsortierung würde selbst eine Bewertung Ihrer Post bedeuten.

Die Verarbeitung stützt sich deshalb auf Ihre ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO. Diese wird vor dem ersten Scan eingeholt, in dem Moment, in dem Sie scannen wollen, getrennt von der Zustimmung zu den Nutzungsbedingungen, in klarem Deutsch und mit ausdrücklicher Nennung der Übertragung von Briefinhalten an Mistral.

Sie können die Einwilligung jederzeit widerrufen, in den Einstellungen der App. Der Widerruf wirkt für die Zukunft und beendet nur das Anlegen neuer Scans. Ihr bestehendes Archiv bleibt vollständig lesbar, durchsuchbar und exportierbar. Sie können die Einwilligung auch zunächst zurückstellen — die App bleibt nutzbar, es lassen sich dann nur keine neuen Briefe scannen.

3a. Die Notfallkopie

Wer ein Abonnement abschließt, wird einmal gefragt, ob ich eine verschlüsselte Notfallkopie seiner Briefe aufbewahren soll — auf einem eigenen Bildschirm nach dem Kauf, mit zwei gleich großen Antworten. Das Abonnement funktioniert ohne die Kopie genauso. Nutzer ohne Abonnement werden nicht gefragt; von ihnen wird nichts hochgeladen. In den Einstellungen der App können Sie die Kopie jederzeit ein- oder ausschalten.

Was gesichert wird: alle Ihre Briefe, auch die, die Sie vor der Zustimmung gescannt haben, mit Seitenbildern, Text, ausgelesenen Angaben, Fristen und Ordnernamen. Jeder Brief wird auf Ihrem iPhone verschlüsselt, bevor er es verlässt, und zwar mit einem Schlüssel, dessen geheime Hälfte nur ich habe. Mein Server kann die Dateien nicht öffnen. Die geheime Hälfte liegt in meinem Passwortspeicher und einmal auf Papier in meinem Safe — nie auf einem Server und nie in der App.

Wann ich sie öffne: nur, wenn Sie mich bitten, Ihnen Ihre Briefe zurückzugeben — etwa weil Ihr iPhone und Ihr Apple-Konto verloren sind. Dann prüfe ich persönlich, dass Sie es sind: anhand Ihres Ausweises (per Videoanruf oder als Foto, das nach der Prüfung gelöscht wird; eine Kopie behalte ich nicht) und anhand Ihrer Briefe, die ich dafür vollständig ansehen darf. Sie erhalten Ihr Archiv als ZIP-Datei über einen Link, der 7 Tage gilt.

Wann sie gelöscht wird: 30 Tage, nachdem Sie einen Brief endgültig löschen, also aus dem Papierkorb (dieser Brief), die Notfallkopie ausschalten oder Ihr Konto löschen (alles). Die 30 Tage geben Ihnen Zeit, einen Fehler rückgängig zu machen. Ohne diese Wartezeit geht es auch: In der App unter Einstellungen → Datenschutz → Notfallkopie löscht „Notfallkopie löschen“ alle Kopien sofort und schaltet die Notfallkopie aus. Klappt das einmal nicht auf Anhieb, sind sie spätestens am nächsten Tag gelöscht. Wurde Ihr Konto drei Jahre lang nicht benutzt, wird die Kopie ebenfalls gelöscht. Das Ende eines Abonnements löscht nichts; es wird dann nur nichts Neues mehr hochgeladen.

4. Empfänger und Auftragsverarbeiter

Ich setze die folgenden Dienstleister ein. Mit allen bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO; sie sind jeweils Bestandteil der Bedingungen, die ich mit dem jeweiligen Anbieter geschlossen habe.

Dienst	Zweck	Ort	Übermittlung in Drittländer
Apple (iCloud, CloudKit, Sign in with Apple, App Attest)	Speicherung Ihrer Briefe in Ihrer eigenen iCloud, Anmeldung, Bestätigung der echten App für die kostenlosen Scans	Apple-Infrastruktur	Nach Apples Bedingungen; abgedeckt über das Apple Developer Program License Agreement
Supabase	Konto, Kontingentverwaltung, Abo-Status, gekaufte Briefe, Einladungscodes, Feedback; Weiterleitung der Seiten an den KI-Dienst, ohne sie aufzubewahren; Ablage der verschlüsselten Notfallkopie, nur mit Ihrer Zustimmung	AWS-Region Frankfurt am Main (eu-central-1)	Keine — die Region wurde bewusst gewählt und ist nachträglich nicht änderbar
Mistral AI (französische SAS)	Texterkennung und Verständnis eines Briefes	Rechenzentren in der EU	Keine
RevenueCat, Inc.	Prüfung und Verwaltung des Abo-Status und der Käufe von Briefen	USA	Ja. Grundlage sind die Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss 2021/914)
TelemetryDeck GmbH	Anonyme Nutzungsstatistik	Deutschland und Finnland	Keine
GitHub, Inc.	Auslieferung dieser Website	USA	Ja, siehe Abschnitt 8

Keine Nutzung Ihrer Briefe zum Training von KI-Modellen

Für die Texterkennung und das Einsortieren werden der Briefinhalt und die Namen Ihrer Ordner an Mistral AI übertragen. Für das genutzte Konto ist die Verwendung von API-Daten zum Training der Modelle abgeschaltet, ebenso die sogenannten Labs-Modelle, für die diese Abschaltung nicht gälte. Diese Einstellung wird vor jeder Veröffentlichung der App erneut überprüft.

Für das genutzte Konto ist außerdem die Null-Datenspeicherung eingeschaltet: Mistral hält Seitenbilder, Texte und Ordnernamen nur, solange die Verarbeitung dauert, und behält danach nichts, auch nicht zur Missbrauchskontrolle.

Weder RevenueCat noch TelemetryDeck erhalten Briefinhalte in irgendeiner Form. Über die Server bei Supabase laufen Briefinhalte nur auf dem Weg zum KI-Dienst, ohne gespeichert zu werden; aufbewahrt werden sie dort nur als verschlüsselte Notfallkopie, wenn Sie ihr zugestimmt haben.

Sprache der Auswertung und Übersetzung

Ist Ihr iPhone auf Englisch eingestellt, bittet die App den KI-Dienst, die Auswertung eines Briefes auf Englisch zu schreiben. Dafür wird nur die Sprache mitgeschickt, sonst nichts.

Sie können sich die Zusammenfassung eines Briefes außerdem in die jeweils andere Sprache (Deutsch oder Englisch) übersetzen lassen. Dafür wird kein weiterer Dienst eingeschaltet und kein Text übertragen: Die Übersetzung erledigt die in iOS eingebaute Übersetzungsfunktion von Apple, und zwar auf Ihrem Gerät. Der Brieftext geht dabei an niemanden — auch nicht an Apple und auch nicht an mich.

Beim ersten Mal lädt iOS dafür ein Sprachpaket herunter. Dabei wird angefragt, welche Sprache gebraucht wird, nicht, was übersetzt werden soll; der zu übersetzende Text ist an dieser Anfrage nicht beteiligt. Danach funktioniert die Übersetzung auch ohne Internetverbindung.

5. Anonyme Nutzungsstatistik

Um zu verstehen, welche Funktionen genutzt werden und wo Abläufe klemmen, sendet die App eine abschließend festgelegte Liste von Ereignissen an TelemetryDeck. Jedes Ereignis trägt eine Kennung, die aus einer Gerätekennung gebildet wird: Sie wird bereits auf Ihrem Gerät mit einem Zufallswert versehen und verschlüsselt, auf dem Server ein zweites Mal — weder TelemetryDeck noch ich können daraus eine Person zurückrechnen.

Niemals übertragen werden: Briefinhalte, erkannter Text, Seitenbilder, Absendernamen, Ordnernamen, Betreffzeilen, Beträge, IBANs, Verwendungszwecke, Daten aus einem Brief, Fristen, Zitate aus einem Brief, Brief- oder Ordnerkennungen oder irgendein von Ihnen eingegebener Text. Übermittelt werden Ereignisnamen, Ja-Nein-Angaben und grobe Klassen, etwa „1–3 Seiten" statt einer genauen Seitenzahl.

Drei Angaben kommen hinzu, und zwei davon sind keine groben Klassen. Jedes Ereignis trägt die Kalenderwoche der Installation, die Zahl der Tage seit der Installation und die Plattform („ios“). Nur damit lässt sich ablesen, ob eine Änderung an der App etwas verbessert hat oder ob im betreffenden Monat einfach andere Leute installiert haben.

Die Zahl der Tage ist auf 400 begrenzt: Sie sagt, wie lange diese Installation existiert, nicht wer sie benutzt. Weder Ihr Konto noch ein Brief wird je mitgeschickt, und nichts davon lässt sich mit Ihrem PostSafe-Konto verbinden.

Technische Angaben, die die Statistik-Software selbst mitschickt: Gerätemodell, iOS- und App-Version, Sprache, Region und Zeitzone, Bildschirmgröße, ob Bedienungshilfen wie größere Schrift eingeschaltet sind, das Datum der ersten Nutzung und wie oft und wie lange die App benutzt wird.

Weil die Daten das Gerät bereits anonymisiert verlassen, ist nach Auffassung des Anbieters weder ein Einwilligungsbanner noch eine Abschaltmöglichkeit erforderlich. Die Statistik ist ab Werk eingeschaltet; Sie können sie jederzeit in der App abschalten, unter Einstellungen → Datenschutz → Statistik. Dann sendet die App keine Ereignisse mehr.

Google Analytics, Firebase und andere Google-Dienste werden bewusst nicht eingesetzt, ebenso wenig ein Absturzberichts-Dienst eines Drittanbieters.

6. Anmeldung mit Apple

Die Anmeldung erfolgt über Sign in with Apple. Gespeichert werden die von Apple vergebene Kennung und die E-Mail-Adresse, die Apple übermittelt. Ihren Namen bewahrt nur die App auf, auf Ihrem Gerät und in Ihrer eigenen iCloud. Wenn Sie „E-Mail-Adresse verbergen" wählen, erhalte ich lediglich eine Weiterleitungsadresse von Apple — das ist der vollwertige Normalfall und führt zu keinerlei Einschränkung. Name und E-Mail-Adresse übermittelt Apple ohnehin nur bei der ersten Anmeldung und nur, wenn Sie es zulassen; beides ist für die Nutzung nicht erforderlich.

Bei einer Kontolöschung wird die Verknüpfung Ihres Apple-Kontos mit PostSafe aktiv widerrufen.

7. Ihre Rechte

Sie haben jederzeit das Recht auf

Auskunft über die zu Ihnen verarbeiteten Daten (Art. 15 DSGVO),
Berichtigung unrichtiger Daten (Art. 16),
Löschung (Art. 17),
Einschränkung der Verarbeitung (Art. 18),
Datenübertragbarkeit in einem gängigen, maschinenlesbaren Format (Art. 20),
Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21),
Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3).

Drei dieser Rechte üben Sie direkt in der App aus

Auskunft und Datenübertragbarkeit: Der Export in den Einstellungen erzeugt eine ZIP-Datei mit Ihrem vollständigen Archiv — allen Metadaten als JSON und jeder Originalseite als Bilddatei; Seitenbilder älterer Briefe holt die App dafür aus Ihrer iCloud, und eine Seite, die sich nicht laden lässt, ist im Archiv als fehlend vermerkt. Kein Ticket, keine Wartezeit. Der Export ist nie an ein Abo gebunden.
Berichtigung: Jedes ausgelesene Feld lässt sich bearbeiten; Ihre Korrektur hat dauerhaft Vorrang vor der maschinellen Erkennung.
Löschung: Die Kontolöschung in den Einstellungen entfernt in einem Vorgang die lokalen Daten, die Anmeldedaten im Schlüsselbund, Ihre Briefe in iCloud, die von PostSafe angelegten Kalendereinträge, noch geplante Erinnerungen, alle Server-Datensätze und Ihren Datensatz bei RevenueCat, und widerruft die Apple-Anmeldung. Eine Notfallkopie wird 30 Tage später gelöscht. Übrige gekaufte Briefe verfallen mit dem Konto; erstatten kann sie nur Apple. Die App nennt beides vor dem Löschen. Sie erhalten anschließend eine Aufstellung dessen, was gelöscht wurde.

Was eine Löschung überdauert. Ein Löschnachweis: Ihre zufällige Nutzerkennung, der Zeitpunkt der Löschung und zwei Häkchen dafür, dass die Apple-Anmeldung widerrufen und der Datensatz bei RevenueCat entfernt wurde. Daneben bleiben technische Protokollzeilen des Servers und der Eingangsstempel einer Kaufmeldung, beide ohne Bezug zu Ihrer Person, und bis zu 30 Tage lang eine Notfallkopie samt dem Auftrag, sie zu löschen. Er belegt, dass Ihre Löschung tatsächlich ausgeführt wurde — dazu bin ich nach Art. 5 Abs. 2 DSGVO verpflichtet. Auf eine Person führt er nicht mehr zurück: Name, E-Mail-Adresse, Apple-Kennung, Briefe, Zählerstände und Einwilligungsnachweise sind zu diesem Zeitpunkt bereits fort. Nach drei Jahren wird auch dieser Datensatz automatisch entfernt.

Eines kann eine Kontolöschung nicht: ein laufendes Abo kündigen. Abos werden von Apple verwaltet und können nur dort gekündigt werden. Die App weist vor dem Löschen darauf hin und verlinkt direkt dorthin.

Für alles Weitere — Widerspruch, Einschränkung oder Anliegen, die die App nicht selbst erledigt — schreiben Sie an kontakt@postsafe.eu. Ich antworte innerhalb eines Monats; bei komplexen Anfragen kann sich die Frist um zwei Monate verlängern, worüber ich Sie begründet unterrichte. Ihre Identität wird über Ihr App-Konto geprüft — eine Ausweiskopie verlange ich nicht. Die einzige Ausnahme ist die Rückgabe aus der Notfallkopie (Abschnitt 3a), weil Sie dann womöglich gerade das Konto verloren haben, über das ich Sie sonst erkennen würde.

Beschwerderecht

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts. Für mich zuständig ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart.

8. Diese Website

Diese Website setzt keine Cookies, speichert nichts in Ihrem Browser, bindet keine Schriften oder Skripte von fremden Servern ein und führt keine Analyse durch.

Für die bewegten Darstellungen — das iPhone, die Briefe und die Vorschau von PostSafe Web — nutzt sie JavaScript. Alle Skripte, Bilder und Beispieldaten liegen auf diesem Server selbst und laufen nur in Ihrem Browser; dabei wird nichts an mich oder an Dritte gesendet. Die gezeigten Briefe, Namen und Beträge sind erfunden.

Geben Sie auf der Seite PostSafe Web den Code aus der App ein, rechnet Ihr Browser ihn selbst in die Adresse Ihres iPhones im eigenen WLAN um und öffnet diese. Der Code wird dabei nicht an diesen Server übertragen.

Öffnen Sie einen Einladungslink, steht der Einladungscode in der Adresse. GitHub verarbeitet ihn dabei als Teil der Verbindungsdaten.

Gehostet wird sie über GitHub Pages, einen Dienst der GitHub, Inc., 88 Colin P. Kelly Jr. Street, San Francisco, CA 94107, USA. Beim Abruf verarbeitet GitHub technisch notwendige Verbindungsdaten einschließlich Ihrer IP-Adresse. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO — das berechtigte Interesse, diese Seiten überhaupt ausliefern zu können. Die Übermittlung in die USA stützt sich auf die Standardvertragsklauseln der EU-Kommission.

9. Automatisierte Entscheidungen

PostSafe liest Briefe maschinell aus und schlägt Fristen und Ordner vor. Das sind Vorschläge, die Sie jederzeit ändern können. An eine erkannte Frist erinnert die App erst, nachdem Sie die Angaben des Briefes bestätigt haben. Eine automatisierte Entscheidung mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung im Sinne des Art. 22 DSGVO findet nicht statt. Ein Profiling zu Werbezwecken findet ebenfalls nicht statt.

10. Sicherheit

Jede Verbindung der App ins Internet ist mit TLS verschlüsselt. Eine Ausnahme gibt es, und sie bleibt in Ihrem eigenen WLAN: Bei PostSafe Web liefert Ihr iPhone Ihr Archiv unverschlüsselt (http) an den Browser Ihres Computers, und in die andere Richtung Dateien, die Sie vom Computer auf das iPhone legen, sowie eine Unterschrift, die Sie dort zeichnen — erst nachdem Sie diesen Browser auf dem iPhone mit einem Tippen zugelassen haben, nur solange die App läuft, und ohne dass dabei etwas einen Server von mir erreicht. Ein Zertifikat für eine Adresse im Heimnetz stellt keine Zertifizierungsstelle aus. Briefinhalte erreichen den KI-Dienst ausschließlich über meinen Server, damit der Zugangsschlüssel niemals auf einem Gerät liegt. Der Zugriff auf die Datenbank ist zeilenweise auf den jeweiligen Kontoinhaber beschränkt. Die Notfallkopie wird auf Ihrem iPhone verschlüsselt (HPKE nach RFC 9180) und kann vom Server nicht geöffnet werden.

11. Änderungen dieser Erklärung

Ändert sich, wer Ihre Daten verarbeitet oder zu welchem Zweck, wird diese Erklärung vor der Veröffentlichung der betreffenden App-Version angepasst. Eine wesentliche Änderung an den eingesetzten Dienstleistern oder den Verarbeitungszwecken führt zu einer erneuten Einwilligung, nicht zu einer stillen Aktualisierung.

Privacy Policy

English version. Applies to the PostSafe app for iOS and to this website. Effective: November 3, 2026.

This is the English translation of the German privacy policy above. Section 12 adds information for users in the United States.

At a glance

PostSafe scans your mail. Letters are among the most personal things there are — that is why I don’t keep your letters: they live in your own iCloud. The only exception is the optional emergency copy: it exists only with a subscription and only if you expressly agree, and I can open it (section 3a).

Your letters, page images, recognized text, folders and deadlines are stored in your own private iCloud database, not on my server. They use your iCloud storage, and I have no technical access to them.
Without an emergency copy, my server stores no letter content — no image, no recognized text, no sender, no amount, no folder name. To read a page, it only passes it on to the AI service without keeping it. This is built into how the software works and is backed by automated tests.
Only if you agree to the emergency copy does my server also hold an encrypted copy of your letters. The server cannot open it. I can, and I do so only if you ask me to give your letters back to you.
For text recognition, a page is transferred for processing to a European AI service and is not used there for training. Details below.
Your folder names go only to the AI service, and only for sorting. So that a letter lands in one of your existing folders instead of the app creating a new one, the names of your folders are transferred together with the letter for processing — only the names, without color, order or the number of letters in them. My server only passes them through and does not store them; they go to no one else — except encrypted into your emergency copy, if you have agreed to it.

1. Controller

Josef Werner, Nägelseestraße 11, 79288 Gottenheim, Germany
Email: kontakt@postsafe.eu

2. What data is processed

Data	Where it is stored	Legal basis	How long
Page images, recognized text, extracted fields, folders, deadlines, the sentence in the letter that states a deadline	Your private iCloud database at Apple; on your device everything except the full page images of older letters	Art. 6(1)(b) GDPR (contract); additionally Art. 9(2)(a) (explicit consent), see section 3	Until you delete the letter or your account. The app removes full page images of older letters from your device earlier, once your iCloud has them safely, and loads them again when you open the letter.
Account identifiers: user ID, Apple identifier and the email address Apple provides — your real one or, if you hide it, a relay address from Apple	Supabase, data center in Frankfurt am Main, Germany	Art. 6(1)(b) GDPR	For the life of the account
Quota status, subscription tier, time of last use, technical details of a processing run (page count, model, duration, error code), consent records, server logs	Supabase, Frankfurt am Main	Art. 6(1)(b) GDPR; for abuse prevention and counters Art. 6(1)(f); for consent records Art. 7(1)	For the life of the account. Consent records outlast a withdrawal, because it must remain provable that processing was lawful while consent applied
Log of calls to the AI service: per call the page count or the length of the transferred text, the length of the returned text and whether the call succeeded — never the content itself	Supabase, Frankfurt am Main	Art. 6(1)(f) GDPR — the legitimate interest in preventing misuse of the AI service and the costs it would cause	48 hours; an entry is removed with the next processing run after that
Purchased letters: per purchase the App Store transaction number, the package, the quantity, whether it was a test purchase, and the time; per scan, how many letters it counted as; your balance. No price and no payment data	Supabase, Frankfurt am Main	Art. 6(1)(b) GDPR (you bought scans)	For the life of the account; remaining purchased letters expire with the account
Device check for the free scans (App Attest): so that only the genuine PostSafe app on a real iPhone or iPad gets the free scans, the app has Apple confirm a key once per account and device. Stored are the identifier and the public part of this key, the environment and the time — nothing about your letters	Supabase, Frankfurt am Main; the confirmation itself comes from Apple	Art. 6(1)(f) GDPR — the legitimate interest in protecting the free scans against mass-created accounts	For the life of the account, deleted with your account
Emergency copy (only with a subscription and your consent): per letter one file encrypted on your iPhone, containing page images, recognized text, extracted fields, deadlines, title, sender and folder name. Readable in it are only your user ID, the letter’s ID, the month of the scan and the file size	Supabase Storage, Frankfurt am Main	Art. 9(2)(a) GDPR (explicit consent, separate from the consent to scanning); for the other details Art. 6(1)(a)	As long as the account exists. Deleted 30 days after you permanently delete the letter (from the Trash), turn off the emergency copy or delete your account; immediately if you choose “Delete emergency copy” in the app; also if your account has not been used for three years
Returned archive: the ZIP file I create from your emergency copy when you ask for your letters	Supabase Storage, Frankfurt am Main	Art. 6(1)(b) GDPR (your request); Art. 9(2)(a)	7 days, then deleted
Deletion record: your random user ID, the time of deletion and two checkmarks confirming that the Apple sign-in was revoked and the record at RevenueCat was removed	Supabase, Frankfurt am Main	Art. 6(1)(c) in conjunction with Art. 5(2) GDPR — I must be able to prove that a requested deletion was actually carried out	Three years from the deletion, then this record is removed automatically too
Invitations: your invitation code and, if you enter a friend’s code, which account invited which. Your friend does not see who you are, and you only see how many of your friends have joined — no names	Supabase, Frankfurt am Main	Art. 6(1)(b) GDPR (you use the invitation feature)	For the life of the account, deleted with your account
Feedback you write yourself via “Send feedback”: your text, your user ID, the app version and the time. At most one feedback per day	Supabase, Frankfurt am Main	Art. 6(1)(f) GDPR — the legitimate interest in improving PostSafe with your input; you decide yourself whether and what you write	Deleted with your account
Letter content during processing (page image, recognized text) and the names of your folders, so the letter can be assigned to one of them	Mistral AI, data centers in the EU	Art. 6(1)(b) and Art. 9(2)(a) GDPR	Only for the duration of processing. Afterwards Mistral keeps nothing (zero data retention)
Subscription status and purchases of letters: pseudonymous user ID, product, status, expiry date	RevenueCat, Inc., USA	Art. 6(1)(b) GDPR	For the duration of the subscription relationship
Purchase and payment data	Apple	Contract between you and Apple	According to Apple’s rules. I never see your payment data
Anonymous usage statistics (fixed catalog of events, plus technical details about the device, see section 5). Can be turned off in the app	TelemetryDeck GmbH, servers in Germany and Finland	In the provider’s view not personal data; alternatively Art. 6(1)(f) GDPR	No personal data arises that would need to be kept
PostSafe Web, if you use it: what your browser shows — folders, letters with page images and text, your saved signature — and files you put from your computer onto your iPhone	Only your iPhone and the browser on your computer, directly over your own Wi-Fi. None of it reaches me	Art. 6(1)(b) GDPR (you use the feature)	Only while the connection lasts; the app tells your browser not to store any of it. What you download yourself stays on your computer
Calendar entries for deadlines — only from app versions before August 26, 2026. Since then PostSafe no longer creates any and no longer asks for calendar access; the app still removes existing entries	Only your device and your own iCloud calendar	Art. 6(1)(b) GDPR, based on the calendar access granted at the time	Until the deadline, the letter or your account is deleted
Crash and diagnostic reports	Apple — only if you have allowed this in iOS Settings	Your choice in iOS Settings	According to Apple’s rules

What my server never stores in readable form: letter images, recognized text, sender names, amounts, folder names, subject lines or deadline dates. The only exception is the encrypted emergency copy, and only if you have agreed to it. The only text stored in readable form is what you send yourself via “Send feedback”. The server logs, too, are limited to a fixed set of technical fields — event name, endpoint, pseudonymous user ID, processing run ID, error code, count and duration. Free text does not appear in them.

3. Special categories of personal data

Mail regularly contains specially protected data within the meaning of Art. 9 GDPR: letters from health insurers and clinics, church tax notices, union mail, correspondence with lawyers. PostSafe cannot and does not want to tell in advance which letter is which — sorting them beforehand would itself mean evaluating your mail.

Processing is therefore based on your explicit consent under Art. 9(2)(a) GDPR. It is obtained before the first scan, at the moment you want to scan, separately from agreeing to the terms of use, in plain language and expressly naming the transfer of letter content to Mistral.

You can withdraw your consent at any time in the app’s settings. Withdrawal takes effect for the future and only stops new scans. Your existing archive remains fully readable, searchable and exportable. You can also postpone consent at first — the app remains usable; you just cannot scan new letters.

3a. The emergency copy

Anyone who takes out a subscription is asked once whether I should keep an encrypted emergency copy of their letters — on a separate screen after the purchase, with two equally sized answers. The subscription works exactly the same without the copy. Users without a subscription are not asked; nothing is uploaded from them. In the app’s settings you can turn the copy on or off at any time.

What is backed up: all your letters, including those you scanned before agreeing, with page images, text, extracted details, deadlines and folder names. Each letter is encrypted on your iPhone before it leaves it, with a key whose secret half only I have. My server cannot open the files. The secret half is kept in my password manager and once on paper in my safe — never on a server and never in the app.

When I open it: only if you ask me to give your letters back to you — for example because your iPhone and your Apple account are lost. Then I personally verify that it is you: using your ID document (by video call or as a photo that is deleted after the check; I keep no copy) and using your letters, which I may view in full for this purpose. You receive your archive as a ZIP file via a link that is valid for 7 days.

When it is deleted: 30 days after you permanently delete a letter, that is, from the Trash (that letter), turn off the emergency copy or delete your account (everything). The 30 days give you time to undo a mistake. It also works without this waiting period: in the app under Settings → Privacy → Emergency copy, “Delete emergency copy” deletes all copies immediately and turns the emergency copy off. If that ever does not work right away, they are deleted by the next day at the latest. If your account has not been used for three years, the copy is deleted as well. The end of a subscription deletes nothing; nothing new is uploaded after that.

4. Recipients and processors

I use the following service providers. Data processing agreements under Art. 28 GDPR are in place with all of them; each is part of the terms I have agreed with the respective provider.

Service	Purpose	Location	Transfer to third countries
Apple (iCloud, CloudKit, Sign in with Apple, App Attest)	Storing your letters in your own iCloud, sign-in, confirming the genuine app for the free scans	Apple infrastructure	Under Apple’s terms; covered by the Apple Developer Program License Agreement
Supabase	Account, quota management, subscription status, purchased letters, invitation codes, feedback; passing pages on to the AI service without keeping them; storing the encrypted emergency copy, only with your consent	AWS region Frankfurt am Main (eu-central-1)	None — the region was chosen deliberately and cannot be changed afterwards
Mistral AI (French SAS)	Text recognition and understanding of a letter	Data centers in the EU	None
RevenueCat, Inc.	Checking and managing subscription status and purchases of letters	USA	Yes. Based on the European Commission’s Standard Contractual Clauses (Implementing Decision 2021/914)
TelemetryDeck GmbH	Anonymous usage statistics	Germany and Finland	None
GitHub, Inc.	Delivering this website	USA	Yes, see section 8

Your letters are not used to train AI models

For text recognition and sorting, the letter content and the names of your folders are transferred to Mistral AI. For the account used, the use of API data for training models is turned off, as are the so-called Labs models, for which this opt-out would not apply. This setting is checked again before every release of the app.

For the account used, zero data retention is also turned on: Mistral holds page images, texts and folder names only while processing lasts and keeps nothing afterwards, not even for abuse monitoring.

Neither RevenueCat nor TelemetryDeck receives letter content in any form. Letter content passes through the servers at Supabase only on its way to the AI service, without being stored; it is kept there only as an encrypted emergency copy, if you have agreed to it.

Language of the analysis and translation

If your iPhone is set to English, the app asks the AI service to write the analysis of a letter in English. Only the language is sent for this, nothing else.

You can also have the summary of a letter translated into the other language (German or English). No additional service is involved and no text is transferred for this: the translation is done by Apple’s translation feature built into iOS, on your device. The letter text goes to no one — not to Apple and not to me.

The first time, iOS downloads a language pack for this. The download asks which language is needed, not what is to be translated; the text to be translated is not part of this request. After that, translation also works without an internet connection.

5. Anonymous usage statistics

To understand which features are used and where things get stuck, the app sends a fixed, closed list of events to TelemetryDeck. Each event carries an identifier derived from a device identifier: it is combined with a random value and hashed on your device, and hashed a second time on the server — neither TelemetryDeck nor I can trace a person from it.

Never transmitted: letter content, recognized text, page images, sender names, folder names, subject lines, amounts, IBANs, payment references, dates from a letter, deadlines, quotes from a letter, letter or folder IDs or any text you have entered. What is transmitted are event names, yes/no values and coarse classes, such as “1–3 pages” instead of an exact page count.

Three details are added, and two of them are not coarse classes. Every event carries the calendar week of installation, the number of days since installation and the platform (“ios”). Only with these can I tell whether a change to the app improved something or whether different people simply installed it that month.

The number of days is capped at 400: it says how long this installation has existed, not who uses it. Neither your account nor a letter is ever sent, and none of this can be linked to your PostSafe account.

Technical details the statistics software sends by itself: device model, iOS and app version, language, region and time zone, screen size, whether accessibility features such as larger text are turned on, the date of first use and how often and how long the app is used.

Because the data leaves the device already anonymized, in the provider’s view neither a consent banner nor an opt-out is required. Statistics are on by default; you can turn them off in the app at any time, under Settings → Privacy → Usage statistics. The app then sends no more events.

Google Analytics, Firebase and other Google services are deliberately not used, nor is a third-party crash reporting service.

6. Sign in with Apple

Sign-in uses Sign in with Apple. Stored are the identifier assigned by Apple and the email address Apple provides. Only the app keeps your name, on your device and in your own iCloud. If you choose “Hide My Email”, I only receive a relay address from Apple — this is the fully supported normal case and leads to no restriction at all. Apple provides your name and email address only at the first sign-in anyway, and only if you allow it; neither is required to use the app.

When an account is deleted, the link between your Apple account and PostSafe is actively revoked.

7. Your rights

You have the right at any time to

access the data processed about you (Art. 15 GDPR),
rectification of inaccurate data (Art. 16),
erasure (Art. 17),
restriction of processing (Art. 18),
data portability in a common, machine-readable format (Art. 20),
object to processing based on legitimate interests (Art. 21),
withdraw consent with effect for the future (Art. 7(3)).

You exercise three of these rights directly in the app

Access and data portability: The export in Settings creates a ZIP file with your complete archive — all metadata as JSON and every original page as an image file; for older letters the app fetches the page images from your iCloud, and a page that cannot be loaded is marked as missing in the archive. No ticket, no waiting. Export is never tied to a subscription.
Rectification: Every extracted field can be edited; your correction permanently takes precedence over machine recognition.
Erasure: Account deletion in Settings removes in one step the local data, the sign-in data in the keychain, your letters in iCloud, the calendar entries created by PostSafe, reminders still scheduled, all server records and your record at RevenueCat, and revokes the Apple sign-in. An emergency copy is deleted 30 days later. Remaining purchased letters expire with the account; only Apple can refund them. The app states both before deleting. Afterwards you receive a list of what was deleted.

What outlasts a deletion. A deletion record: your random user ID, the time of deletion and two checkmarks confirming that the Apple sign-in was revoked and the record at RevenueCat was removed. In addition, technical server log lines and the receipt stamp of a purchase notification remain, both without reference to your person, and for up to 30 days an emergency copy together with the order to delete it. The record proves that your deletion was actually carried out — I am obliged to keep it under Art. 5(2) GDPR. It no longer leads back to a person: name, email address, Apple identifier, letters, counters and consent records are already gone at that point. After three years this record is also removed automatically.

One thing account deletion cannot do: cancel a running subscription. Subscriptions are managed by Apple and can only be canceled there. The app points this out before deleting and links directly there.

For everything else — objection, restriction or requests the app does not handle itself — write to kontakt@postsafe.eu. I reply within one month; for complex requests this period can be extended by two months, in which case I will tell you why. Your identity is verified via your app account — I do not ask for a copy of your ID. The only exception is the return from the emergency copy (section 3a), because you may have just lost the account through which I would otherwise recognize you.

Right to lodge a complaint

You can lodge a complaint with a data protection supervisory authority, in particular in the member state of your residence. The authority responsible for me is the State Commissioner for Data Protection and Freedom of Information Baden-Württemberg (Landesbeauftragter für den Datenschutz und die Informationsfreiheit Baden-Württemberg), Lautenschlagerstraße 20, 70173 Stuttgart, Germany.

8. This website

This website sets no cookies, stores nothing in your browser, loads no fonts or scripts from third-party servers and performs no analytics.

For the animated presentations — the iPhone, the letters and the preview of PostSafe Web — it uses JavaScript. All scripts, images and sample data are on this server itself and run only in your browser; nothing is sent to me or to third parties. The letters, names and amounts shown are made up.

If you enter the code from the app on the PostSafe Web page, your browser itself converts it into the address of your iPhone on your own Wi-Fi and opens it. The code is not transmitted to this server.

If you open an invitation link, the invitation code is part of the address. GitHub processes it as part of the connection data.

The website is hosted on GitHub Pages, a service of GitHub, Inc., 88 Colin P. Kelly Jr. Street, San Francisco, CA 94107, USA. When a page is requested, GitHub processes technically necessary connection data including your IP address. The legal basis is Art. 6(1)(f) GDPR — the legitimate interest in being able to deliver these pages at all. The transfer to the USA is based on the European Commission’s Standard Contractual Clauses.

9. Automated decisions

PostSafe reads letters by machine and suggests deadlines and folders. These are suggestions that you can change at any time. The app reminds you of a recognized deadline only after you have confirmed the letter’s details. No automated decision with legal effect or similarly significant impact within the meaning of Art. 22 GDPR takes place. No profiling for advertising purposes takes place either.

10. Security

Every connection the app makes to the internet is encrypted with TLS. There is one exception, and it stays within your own Wi-Fi: with PostSafe Web, your iPhone delivers your archive unencrypted (http) to the browser on your computer, and in the other direction files you put from the computer onto the iPhone, as well as a signature you draw there — only after you have allowed this browser on the iPhone with a tap, only while the app is running, and without anything reaching a server of mine. No certificate authority issues a certificate for an address on a home network. Letter content reaches the AI service only via my server, so that the access key is never stored on a device. Access to the database is restricted row by row to the respective account holder. The emergency copy is encrypted on your iPhone (HPKE according to RFC 9180) and cannot be opened by the server.

11. Changes to this policy

If who processes your data or for what purpose changes, this policy is updated before the release of the app version concerned. A material change to the service providers used or the purposes of processing leads to renewed consent, not a silent update.

12. Additional information for users in the United States

PostSafe is operated from Germany, and the GDPR applies to all processing described above, wherever you live. Your data is stored and processed in the EU, with the exceptions named in section 4. This section adds what US state laws ask a privacy policy to state.

No sale, no sharing, no targeted advertising. I do not sell personal information, do not share it for cross-context behavioral advertising and do not use it for targeted advertising or profiling. No third party collects personal information about you through PostSafe or this website over time or across other websites or apps.
Do Not Track and Global Privacy Control. Neither the app nor this website tracks you across websites or apps, so there is nothing for a Do Not Track or Global Privacy Control signal to switch off. Such signals therefore do not change how PostSafe works.
Consumer health data. Letters can contain health information. How PostSafe handles it, and your rights under the consumer health data laws of Washington, Nevada and other states, are set out in the separate Consumer Health Data Privacy Policy.
Categories of personal information. In the terms of US state laws, PostSafe processes identifiers (user ID, Apple identifier, email address), commercial information (subscription status, purchased letters) and the content of the documents you scan, which can include sensitive personal information such as health, financial or government identification details. Usage statistics are anonymous (section 5). The sources are you and your device, and Apple for sign-in and purchases. The purposes are only those in sections 2 to 5, and the only recipients are the service providers in section 4, which process data on my behalf.
Your rights. Wherever you live in the US, you can use the rights in section 7: to know and access your data, to correct it, to delete it, to receive a portable copy and to withdraw consent. Most of this works directly in the app; for everything else, write to kontakt@postsafe.eu. Exercising a right never leads to a different price or level of service.
Appeal. If I decline to act on a request, you can appeal by replying with “Appeal” in the subject line. I decide on the appeal within 45 days and explain the decision. If you disagree with it, you can contact the attorney general of your state.
Children. PostSafe is meant for people aged 16 and older. It is not directed at children, and I do not knowingly collect personal information from children under 13. If you believe a child has used PostSafe, write to me and I will delete the data.
Changes. Section 11 explains how changes are made; the effective date is at the top of this English version.