Social-Media-Tool aus Deutschland, gebaut für die DSGVO

Die Server betreibt die netcup GmbH (Sitz Karlsruhe), Verarbeitungsort ist Deutschland. netcup setzt seinerseits drei Unterauftragsverarbeiter ein, alle im Europäischen Wirtschaftsraum: zwei Anexia-Gesellschaften in Klagenfurt und eine in Karlsruhe. Für diese Kette gibt es keine Drittlandübermittlung.

Deine Videos und Bilder liegen im Objektspeicher Cloudflare R2. BestPost nutzt dort die EU-Jurisdiktion über den Endpunkt eu.r2.cloudflarestorage.com, die Dateien werden also in Rechenzentren in der Europäischen Union gespeichert. Ehrlich dazugesagt: Cloudflare, Inc. sitzt in San Francisco. Cloudflare erklärt im Auftragsverarbeitungsvertrag die Einhaltung des EU-US Data Privacy Framework, und entfällt diese Zertifizierung, greifen die Standardvertragsklauseln der EU-Kommission nach dem Durchführungsbeschluss (EU) 2021/914.

Die KI-Funktionen laufen über OpenAI Ireland Ltd. in Dublin und nur dann, wenn du sie selbst startest. Solange du keine Transkription, Inhaltsanalyse oder Textgenerierung anstößt, verlässt keine Datei den Dienst in Richtung KI-Dienstleister. Verarbeitet eine Konzerngesellschaft außerhalb des EWR, geschieht das auf Grundlage der Standardvertragsklauseln. Nach dem mit OpenAI geschlossenen Vertrag dürfen deine Inhalte nicht zum Training der Modelle verwendet werden.

Die Zahlungen wickelt Stripe Payments Europe, Ltd. in Dublin zusammen mit Stripe, Inc. in den USA ab. Vollständige Kartendaten erhebt ausschließlich Stripe, sie berühren die Server von BestPost nicht. Für den Zahlungsverkehr ist Stripe eigener Verantwortlicher und damit kein Unterauftragsverarbeiter.

Der Auftragsverarbeitungsvertrag von BestPost liegt öffentlich unter /de/avv und du musst ihn nicht anfordern. Sobald du BestPost als Unternehmer nutzt und dabei personenbezogene Daten anderer Menschen verarbeitest, ist er über § 1a der AGB Bestandteil deines Nutzungsvertrags. Er besteht damit ab dem ersten Tag und nicht erst nach einem Mailwechsel. Brauchst du für deine Unterlagen eine unterzeichnete Ausfertigung, schreibst du an info@bestpost.app mit dem Betreff AVV und bekommst den Vertrag als PDF mit deinen Angaben zurück.

Inhaltlich regelt der Vertrag die Punkte, nach denen eine Aufsichtsbehörde fragt: Gegenstand und Dauer, Art der Daten, Kategorien betroffener Personen, Weisungsbindung, Vertraulichkeit, die vollständige Liste der Unterauftragsverarbeiter mit Anschrift und Verarbeitungsort, die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die Unterstützung bei Betroffenenrechten sowie Löschung oder Rückgabe der Daten. Verletzungen des Datenschutzes meldet BestPost dir spätestens 48 Stunden nach Kenntnis, damit dir der Rest deiner eigenen 72-Stunden-Frist aus Art. 33 DSGVO bleibt.

Bei den Löschfristen wird es konkret. Videodateien löscht BestPost, sobald der Beitrag auf allen gewählten Plattformen veröffentlicht ist, spätestens 14 Tage nach dem letzten Beitragsstatus. Bild- und Karusselldateien haben bewusst keine automatische Frist: Sie bleiben, bis du sie oder dein Konto löschst, und dasselbe gilt für geplante Beiträge. Entwürfe verschwinden 14 Tage nach dem Anlegen, Transkripte, Untertitel-Dateien und KI-Analysen 90 Tage nach dem Löschen der zugehörigen Mediendatei. Nach Abschluss der Verarbeitungsleistungen wird spätestens innerhalb von 30 Tagen gelöscht, über die Kontolöschung im Dienst sofort. Sicherungskopien laufen turnusmäßig aus, eine gelöschte Angabe kann deshalb bis zu 30 Tage in einer Sicherung fortbestehen.

Für Auskunft und Datenübertragbarkeit brauchst du keine E-Mail zu schreiben. In den Einstellungen lädst du deine Daten jederzeit selbst als JSON-Datei herunter, inklusive Accountdaten, Plattform-Verbindungen, Inhalten, geplanten Beiträgen, Veröffentlichungsergebnissen, KI-Nutzung und Rechnungsdaten.

Deutsche Anbieter mit Datenschutz-Versprechen gibt es, sie sprechen aber Unternehmen, Agenturen und Behörden an: Freigabe-Workflows, Community Management, Monitoring, Reporting. Wer allein Kurzvideos produziert und viel postet, zahlt dort für Funktionen, die nie jemand benutzt. BestPost setzt an der anderen Seite an, beim Solo-Creator und beim Selbstständigen, der 100 Videos und mehr in einem Durchgang veröffentlicht.

Dazu gehört auch, die Grenzen zu nennen. BestPost hat keinen Freigabe-Workflow, keine Social Inbox und kein Analytics-Reporting für Kunden. Die kleinste Einheit für Trennung, Export und Löschung ist das Konto, nicht die einzelne Marke darin. Wer einem Endkunden dessen Daten getrennt herausgeben oder löschen können muss, führt für ihn laut AVV besser ein eigenes Konto.

Ein eigenes ISO-27001-Zertifikat hat BestPost nicht. Der AVV gibt weiter, welche unabhängigen Zertifizierungen bei den eingesetzten Dienstleistern bestehen und wo sie öffentlich nachprüfbar sind. Nachweise zur Einhaltung von Art. 28 DSGVO gibt es auf Anfrage kostenfrei, in der Regel innerhalb von zwei Wochen, auf Wunsch als ausgefüllter Prüffragebogen.

Auf der praktischen Seite: abgerechnet wird in Euro, die Preise sind Endpreise mit enthaltener Umsatzsteuer, Unternehmer können im Checkout ihre USt-IdNr. angeben und bei Unternehmern aus dem EU-Ausland greift das Reverse-Charge-Verfahren. Kündigen kannst du ohne Login über die Schaltfläche unter /de/kuendigung, über das Kundenportal im Konto oder per E-Mail an support@bestpost.app, wie es § 312k BGB verlangt.