← Human Mailbox · English version

Datenschutzerklärung

1. Verantwortlicher

Daniel Diegel
Eichengrund 10
71397 Leutenbach, Deutschland
E-Mail: human@humanmailbox.com

Ein Datenschutzbeauftragter ist nicht bestellt, da keine gesetzliche Pflicht besteht.

2. Überblick

Human Mailbox stellt KI-Agenten eine Postanschrift in Deutschland zur Verfügung. Vertragspartner ist jeweils die natürliche oder juristische Person, die den Agenten betreibt („Betreiber“). Wir verarbeiten personenbezogene Daten nur, soweit es für den Betrieb dieser Website, der API und der Postannahme nötig ist.

3. Hosting und Speicherung (Cloudflare)

Website, API und Datenbank laufen auf der Infrastruktur der Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA (Cloudflare Workers, D1-Datenbank, KV-Speicher für Fotos und Scans). Beim Aufruf verarbeitet Cloudflare technisch notwendige Verbindungsdaten (u. a. IP-Adresse, Zeitpunkt, angefragte Adresse, User-Agent), um die Seite auszuliefern und vor Angriffen zu schützen. Cloudflare ist unter dem EU-US Data Privacy Framework zertifiziert; zusätzlich bestehen Standardvertragsklauseln. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (sicherer, stabiler Betrieb) bzw. lit. b DSGVO, soweit die Verarbeitung der Vertragserfüllung dient.

IP-Adressen speichern wir selbst nicht im Klartext. Für Missbrauchsschutz (z. B. Begrenzung von Registrierungen) und für Nutzungsstatistiken legen wir nur einen mit einem geheimen Schlüssel gebildeten Hashwert ab, aus dem die IP-Adresse nicht zurückgerechnet werden kann. Dazu kommt das von Cloudflare ermittelte Land.

4. Registrierung eines Postfachs und API-Nutzung

Bei der Registrierung verarbeiten wir: Name des Agenten, optional Modell/Framework und Zweck, Name und E-Mail-Adresse des Betreibers, optional Betreiber-Typ und Land, optional eine Webhook-Adresse. Den API-Schlüssel speichern wir nur als Hashwert. Bei jeder API- bzw. MCP-Anfrage protokollieren wir Zeitpunkt, aufgerufenen Endpunkt bzw. Werkzeug, Ergebnis (Statuscode), gehashte IP-Adresse, Land, User-Agent, die daraus abgeleitete Art und den Namen des Programms (z. B. ein bestimmter KI-Client oder eine Bibliothek) sowie den Netzbetreiber (AS-Nummer und Organisation, wie von Cloudflare übermittelt). Das dient dazu, den Dienst zu betreiben und zu schützen, Missbrauch zu erkennen und zu verstehen, wie und von welchen Programmen er genutzt wird. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag) und lit. f DSGVO (Sicherheit, Verbesserung des Dienstes).

Prüfung der E-Mail-Adresse: Wir prüfen Schreibweise, ob es sich um eine Wegwerf-Adresse handelt und ob für die Domain ein Mailserver existiert (DNS-Abfrage über Cloudflare). Anschließend senden wir eine E-Mail mit Bestätigungslink (Versand über Cloudflare Email Service). Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.

5. Sendungen, Fotos und Scans

Zu jeder eingehenden Sendung erfassen wir Postfach-Code, Absender, Versanddienst, Sendungsnummer, Gewicht, Zustand und ein Foto der Außenseite. Auf Auftrag öffnen wir Sendungen und fotografieren bzw. scannen den Inhalt. Diese Daten können personenbezogene Daten Dritter enthalten (z. B. Absender, Inhalte von Briefen). Wir verarbeiten sie ausschließlich, um sie dem jeweiligen Betreiber bzw. seinem Agenten zur Verfügung zu stellen, und behandeln Inhalte vertraulich. Für den Inhalt der an ihn gerichteten Sendungen ist der Betreiber verantwortlich. Der Mensch, der die Post bearbeitet, ist zur Verschwiegenheit verpflichtet.

Für Briefe, die wir für Sie versenden (send_letter), speichern wir den übermittelten Text bzw. das PDF und die Empfängeranschrift; für Retouren und Versand das Etikett und die Sendungsdaten; für Einkäufe (buy_voucher, buy_item) Produkt, Shop, Preis und bei Gutscheinen den Code (verschlüsselt, § 7a AGB). Diese Daten verarbeiten wir zur Durchführung des Auftrags (Art. 6 Abs. 1 lit. b DSGVO) und bewahren sie wie Fotos und Scans auf; zu versendende Dokumente löschen wir 90 Tage nach Erledigung des Auftrags.

Code-Tresor: Enthält eine Sendung Gutschein-, Geschenkkarten- oder vergleichbare Codes, lesen wir sie ein und speichern sie verschlüsselt im Postfach des Kunden. Vor dem Abruf enthalten Benachrichtigungen nur eine Bezeichnung, den Wert und die letzten drei Zeichen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; gegenüber Absendern Art. 6 Abs. 1 lit. f DSGVO (Zustellung an den Empfänger).

Für Weiterleitungen geben wir Empfängeranschrift und Sendungsdaten an den beauftragten Versanddienst (z. B. Deutsche Post/DHL, DPD, GLS, Hermes, UPS) weiter.

6. Aufträge, Nachrichten, Interesse und Kontakt

Aufträge (Bestellungen), Nachrichten zwischen Agent und Mensch sowie Angaben aus dem Kontaktformular und dem Interessenformular (Name, E-Mail, Land, Anliegen) speichern wir zur Bearbeitung und für Rückfragen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b bzw. f DSGVO.

7. Benachrichtigungen per Telegram

Der Betreiber dieses Dienstes erhält über einen eigenen Telegram-Bot kurze Benachrichtigungen über neue Registrierungen, Aufträge, Zahlungen und Nachrichten. Diese enthalten nur das Nötige (z. B. Postfach-Code, Name des Agenten, Art des Auftrags, Betrag). Anbieter: Telegram Messenger Inc. / Telegram FZ-LLC (Dubai, VAE); eine Übermittlung in ein Drittland ohne Angemessenheitsbeschluss ist damit verbunden. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (zeitnahe Bearbeitung).

8. Webhooks

Hinterlegt ein Agent eine Webhook-Adresse, senden wir Ereignisse (z. B. eingegangene Sendung, Statusänderung) an diese Adresse. Für den Empfänger dieser Daten ist der Betreiber verantwortlich.

9. Zahlungen

• PayPal: PayPal (Europe) S.à r.l. et Cie, S.C.A., 22–24 Boulevard Royal, L-2449 Luxemburg. Bei Zahlung per PayPal verarbeitet PayPal Ihre Zahlungsdaten in eigener Verantwortung; wir erhalten Bestätigung, Betrag und die PayPal-E-Mail-Adresse des Zahlers.
• x402 (USDC auf Base): Zahlungen werden über einen x402-Facilitator geprüft, die Coinbase Developer Platform der Coinbase, Inc., San Francisco, USA (erst sobald x402 auf dieser Seite angeboten wird; bis dahin ist dieser Zahlungsweg nicht verfügbar), und auf der öffentlichen Blockchain Base abgewickelt. Der Facilitator erhält die Zahlungsdaten (Wallet-Adresse, Betrag, signierte Zahlungsfreigabe), nicht Ihre Kontodaten. Wallet-Adresse des Zahlers, Betrag und Transaktions-Hash sind dort dauerhaft öffentlich einsehbar.
• Bitcoin: Zahlungen erfolgen über das öffentliche Bitcoin-Netzwerk; Adressen, Beträge und Transaktionen sind dauerhaft öffentlich. Zum Prüfen von Zahlungseingängen fragen wir die öffentliche Schnittstelle von mempool.space ab (dabei werden nur Bitcoin-Adressen übermittelt).
• Wechselkurse: Unsere Preise sind in Euro. Den Kurs für Bitcoin und für die Umrechnung von Euro in USDC (x402) rufen wir ohne personenbezogene Daten bei mempool.space ab.

Buchungen (Betrag, Methode, Transaktionsnummer) speichern wir zur Vertragserfüllung und aufgrund handels- und steuerrechtlicher Aufbewahrungspflichten (Art. 6 Abs. 1 lit. b und c DSGVO).

10. Reichweitenmessung (selbst betrieben, ohne Cookies)

Wir nutzen eine selbst betriebene Instanz der Open-Source-Software Umami (gehostet auf Cloudflare). Gezählt wird überwiegend auf unserem Server; es werden keine Cookies gesetzt und keine Profile erstellt. Für Klicks auf markierte Schaltflächen und Links lädt die Seite ein kleines eigenes Skript (/t.js, von unserer Domain, ohne Cookies und ohne Speicherung im Browser); es meldet den Klick mit Seite, IP-Adresse (nur zur Bildung des täglich wechselnden anonymen Kennwerts) und Browserkennung an dieselbe selbst betriebene Statistik. Bei jedem Seitenaufruf übermittelt unser Server an diese eigene Statistik: aufgerufene Seite, Verweisquelle, bevorzugte Sprache und die Browserkennung (daraus Browser und Gerätetyp). Die IP-Adresse wird dabei nur zur Bildung eines täglich wechselnden, anonymen Kennwerts verwendet und nicht gespeichert. Bei Programmen und Crawlern (z. B. Suchmaschinen und KI-Crawler) wird statt dessen nur deren Name und die aufgerufene Seite gezählt. Zusätzlich meldet unser Server zusammengefasste API-Ereignisse (z. B. „Registrierung“, „Auftrag erstellt“) ohne personenbezogene Daten. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Verbesserung des Angebots).

Zusätzlich speichern wir jeden Seitenaufruf in unserer eigenen Datenbank: Zeitpunkt, Seite, verweisende Website (nur der Hostname), den gehashten IP-Wert (siehe Abschnitt 3), das von Cloudflare ermittelte Land und den Netzbetreiber, die Browserkennung und, soweit die Seite es über /t.js meldet, wie viele Sekunden die Seite sichtbar war. So sehen wir, wie oft und wie lange die Seiten genutzt werden und ob Besucher Menschen, KI-Agenten oder Crawler sind. Eine Zusammenführung mit Daten anderer Websites findet nicht statt. Speicherdauer: 400 Tage (siehe Abschnitt 12). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Verbesserung des Angebots und Missbrauchsschutz).

11. Cookies

Für Besucher setzen wir keine Cookies. Technisch notwendige Cookies gibt es nur für geschützte Bereiche (Anmeldung des Betreibers dieses Dienstes und Zugang zu Vorab-Versionen). Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. f DSGVO.

12. Speicherdauer

• Kontodaten: bis zur Löschung des Postfachs, danach soweit gesetzliche Aufbewahrungspflichten bestehen.
• Originale (Briefe, Pakete): 4 Wochen nach Eingang, sofern nicht vorher weitergeleitet oder zurückgeschickt; danach werden sie entsorgt, Schriftstücke datenschutzgerecht vernichtet.
• Fotos und Scans von Sendungen: 90 Tage nach Abschluss der Sendung bzw. nach Ablauf der 4 Wochen, früher auf Anfrage des Betreibers.
• Codes im Code-Tresor: bis zum Abruf, längstens 24 Monate; abgerufene Codes bis zur Löschung des Postfachs.
• Aktivitätsprotokolle (Seitenaufrufe, API-/MCP-Anfragen, mit gehashten IP-Adressen): 400 Tage.
• Kontakt- und Interessenanfragen: bis zur Erledigung, längstens 2 Jahre.
• Buchungs- und Rechnungsdaten: 6 bzw. 10 Jahre (§ 257 HGB, § 147 AO).

13. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21). Wenden Sie sich dazu an die oben genannte Adresse. Sie können sich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren, z. B. bei der für uns zuständigen: Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart.

14. Änderungen

Wir passen diese Erklärung an, wenn sich der Dienst oder die Rechtslage ändert. Stand: 29.10.2026.