Datenschutzerklärung

Stand: September 2026

Rohrpost nimmt Formulare statischer Websites entgegen und stellt die Einsendungen per E-Mail zu. Dabei kommen zwei Arten von Daten zusammen, die datenschutzrechtlich getrennt zu betrachten sind: die Daten unserer Kunden und die Daten der Menschen, die deren Formulare ausfüllen. Diese Erklärung behandelt beide, und sie sagt bei jedem Punkt, in welcher Rolle wir handeln.

1. Verantwortlicher

Ein Datenschutzbeauftragter ist nicht bestellt; die gesetzlichen Voraussetzungen dafür liegen nicht vor.

2. Zwei Rollen, kurz erklärt

Verantwortlicher sind wir für alles, was unser eigenes Verhältnis zu Besuchern dieser Website und zu Kontoinhabern betrifft: der Aufruf der Seite, die Anmeldung, die Verwaltung des Kontos.

Auftragsverarbeiter nach Art. 28 DSGVO sind wir für die Daten, die über die Formulare unserer Kunden eingehen. Über diese Daten entscheidet allein der Kunde – also der Betreiber der Website, auf der das Formular steht. Wir speichern und übermitteln sie nur in seinem Auftrag und verwenden sie für keinen eigenen Zweck.

3. Aufruf dieser Website

Diese Website lädt keine Schriftarten, Skripte oder Bilder von fremden Servern. Es gibt keine Analyse-, Tracking- oder Werbewerkzeuge und kein Zählpixel. Es findet keine Profilbildung und keine automatisierte Entscheidungsfindung statt.

Der Webserver ist ohne Zugriffsprotokoll eingerichtet. Die Anwendung schreibt ein Betriebsprotokoll, das technische Vorgänge festhält – darin stehen keine IP-Adressen und keine Formularinhalte.

Cookies und lokale Speicherung

• rohrpost_session – wird erst gesetzt, wenn Sie sich anmelden, und hält die Sitzung 30 Tage. Nur über HTTPS, nicht aus JavaScript lesbar, SameSite=Lax.
• rohrpost_admin – nur für den Betreiberzugang, Laufzeit 12 Stunden.
• theme – kein Cookie, sondern ein Eintrag im lokalen Speicher Ihres Browsers. Er merkt sich, ob Sie die helle oder dunkle Darstellung gewählt haben, und verlässt Ihren Browser nicht.

Alle drei sind für den Betrieb unbedingt erforderlich im Sinne von § 25 Abs. 2 Nr. 2 TDDDG. Eine Einwilligung ist dafür nicht nötig, und deshalb gibt es auf dieser Seite auch kein Cookie-Banner.

Rechtsgrundlage für die Sitzungscookies ist Art. 6 Abs. 1 lit. b DSGVO – ohne sie lässt sich der Nutzungsvertrag nicht erfüllen, weil eine Anmeldung sonst bei jedem Seitenaufruf verfiele. Im Übrigen stützen wir uns auf Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der technisch fehlerfreie und sichere Betrieb der Website.

4. Konto und Anmeldung

Für ein Konto genügt eine E-Mail-Adresse. Ein Passwort gibt es nicht: Sie erhalten einen Anmeldelink, der 15 Minuten gültig ist. Gespeichert werden Ihre E-Mail-Adresse, der gewählte Tarif mit den zugehörigen Grenzen, der Zählerstand des laufenden Monats und der Zeitpunkt der Kontoerstellung.

Legen Sie Formulare an, speichern wir zusätzlich deren Bezeichnung, Empfängeradresse, Einstellungen und – falls Sie eine eigene Absenderdomain einrichten – den Namen der Domain samt dem dafür erzeugten DKIM-Schlüsselpaar.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags).

5. Formulareinsendungen

Diesen Abschnitt lesen vor allem unsere Kunden: Er beschreibt, was mit den Daten geschieht, die über ihre Formulare eingehen. Wir handeln hier als Auftragsverarbeiter.

Zu jeder Einsendung speichern wir:

• die abgeschickten Formularfelder, so wie sie übermittelt wurden;
• die IP-Adresse des Absenders – ausschließlich, um die Zahl der Einsendungen je Adresse zu begrenzen und automatisierten Missbrauch abzuwehren;
• Zeitpunkt des Eingangs, Zustellstatus und, falls die Zustellung scheiterte, die Fehlermeldung des Mailservers;
• die Empfängeradresse einer Eingangsbestätigung, sofern der Kunde diese Funktion aktiviert hat.

Felder, deren Name mit einem Unterstrich beginnt, sind technischer Natur und erscheinen weder in der Benachrichtigung noch im Eingang. Dateianhänge nimmt Rohrpost nicht an; wird eine Datei mitgeschickt, weisen wir die Einsendung ab, statt sie stillschweigend zu verwerfen.

Die Daten werden zu keinem anderen Zweck verwendet – insbesondere nicht zu Werbung, nicht zur Profilbildung und nicht zum Training von KI-Modellen. Sie werden nicht verkauft und nicht an Dritte weitergegeben.

6. E-Mail-Versand

Benachrichtigungen verschicken wir über unseren eigenen Mailserver auf derselben Infrastruktur. Ein externer Versanddienstleister ist nicht beteiligt. Die Mails enthalten kein Zählpixel und keine Verweise auf fremde Server.

Hat ein Kunde eine eigene Absenderdomain eingerichtet, versenden wir von dieser Domain und signieren die Nachricht mit dem dafür erzeugten DKIM-Schlüssel. Auf dem Weg zum Empfänger durchläuft die Nachricht dessen Mailserver – auf deren Datenverarbeitung haben wir keinen Einfluss.

7. Hosting

Rohrpost läuft auf einem Server der Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Deutschland. Der Serverstandort liegt in Deutschland. Mit Hetzner besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Eine Übermittlung personenbezogener Daten in Länder außerhalb der Europäischen Union findet nicht statt.

8. Betreiberzugang

Der Verwaltungsbereich von Rohrpost ist über ein Google-Konto gesichert, das allein dem Betreiber gehört. Abgefragt werden dabei nur Kennung und E-Mail-Adresse dieses einen Kontos; gespeichert wird davon nichts. Kunden und Einsender sind von diesem Vorgang nicht betroffen.

9. Speicherdauer

• Kontodaten bleiben gespeichert, solange das Konto besteht. Wird es gelöscht, werden auch die zugehörigen Formulare, Domains und Einsendungen gelöscht.
• Einsendungen bleiben gespeichert, bis der Kunde sie löscht. Er kann einzelne Einsendungen entfernen; löscht er ein Formular, verschwinden dessen Einsendungen mit.
• Anmeldelinks verfallen nach 15 Minuten.

Eine automatische Löschfrist für Einsendungen gibt es derzeit nicht. Über die Aufbewahrungsdauer entscheidet der Kunde als Verantwortlicher; er ist gehalten, nicht mehr benötigte Einsendungen zu löschen.

Gesetzliche Aufbewahrungspflichten, etwa aus Handels- und Steuerrecht, bleiben unberührt.

10. Ihre Rechte

Sie haben nach der DSGVO das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen, die auf ein berechtigtes Interesse gestützt sind (Art. 21).

Wenden Sie sich dafür an info@hkp-solutions.de. Betrifft Ihr Anliegen eine Formulareinsendung auf einer fremden Website, richten Sie es bitte an deren Betreiber – siehe Abschnitt 2.

Unabhängig davon steht Ihnen ein Beschwerderecht bei einer Aufsichtsbehörde zu. Für uns zuständig ist:

11. Änderungen

Ändert sich, wie Rohrpost arbeitet, ändert sich diese Erklärung mit. Das Datum oben zeigt den letzten Stand.