Datenschutz

Ein Datenschutzbeauftragter ist nicht benannt, weil die gesetzlichen Voraussetzungen für eine Benennungspflicht nicht vorliegen. Anfragen zum Datenschutz beantwortet die Geschäftsführung unter info@dreifach-digital.de oder postalisch an die oben genannte Anschrift.

Diese Website und der Dienst Boxmove laufen auf Servern von Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg (AWS), in Rechenzentren in Deutschland. Der Server, das Zwischenlager und die täglichen Sicherungen liegen ausschließlich in dieser Region; die Datenträger sind verschlüsselt. Postfachinhalte werden nicht in Drittländer übermittelt. Mit AWS besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO; für den Fall administrativer Fernzugriffe aus Drittländern sind die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) vereinbart. Rechtsgrundlage für den Einsatz des Hostings ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren, zuverlässigen Betrieb).

Beim Aufruf der Website und des Dienstes verarbeitet der Webserver technisch notwendige Daten (IP-Adresse, Zeitpunkt, aufgerufene Adresse, Statuscode, Browser-Kennung) in Protokollen. Sie dienen dem sicheren und stabilen Betrieb, der Fehlersuche und der Abwehr von Missbrauch (Ratenbegrenzung). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Die Protokolle werden spätestens nach 14 Tagen gelöscht. Schriften und alle weiteren Inhalte werden von unserem eigenen Server ausgeliefert; es werden keine Inhalte von Drittanbietern nachgeladen.

Der Dienst unter app.boxmove.de setzt nach der Anmeldung ein Cookie („mm_session“), das Ihre Anmeldung hält. Es ist technisch notwendig, signiert, nur per HTTPS übertragbar, für Skripte nicht auslesbar und läuft spätestens nach zwölf Stunden ab; beim Abmelden wird es gelöscht. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG sowie Art. 6 Abs. 1 lit. b DSGVO. Eine Einwilligung ist dafür nicht erforderlich.

Sobald Sie den Hinweis zu Werbe-Cookies beantwortet haben, merken wir uns Ihre Entscheidung in einem weiteren Cookie („boxmove_consent“). Es enthält nur „granted“ oder „denied“, gilt für boxmove.de und app.boxmove.de gemeinsam – damit wir nicht auf jeder Adresse erneut fragen – und läuft nach sechs Monaten ab. Auch dieses Cookie ist nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei, weil es allein Ihre Entscheidung umsetzt.

Willigen Sie in Werbe-Cookies ein, setzt Google zusätzlich eigene Cookies; Einzelheiten dazu in Abschnitt 13. Ohne Ihre Einwilligung geschieht das nicht. Sie können Ihre Entscheidung jederzeit über „Cookie-Einstellungen“ im Fußbereich ändern.

Bei der Registrierung verarbeiten wir Name und E-Mail-Adresse, bei Unternehmen zusätzlich Firmenname und Ansprechperson, sowie die Rechnungsanschrift. Die Anmeldung erfolgt per Anmelde-Link an Ihre E-Mail-Adresse (15 Minuten gültig) oder über ein Microsoft-Konto (siehe Ziffer 9). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag). Wir speichern diese Daten für die Dauer des Kundenverhältnisses und löschen sie mit der Schließung des Kontos; Sicherungskopien der Datenbank laufen nach 90 Tagen aus. Rechnungsdaten bewahren wir zehn Jahre auf (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO und § 257 HGB). Sicherheitsrelevante Aktionen im Konto (Anlegen und Löschen von Umzügen, Zugangsdaten, Läufe, Support-Sitzungen) werden in einem Protokoll mit Nutzer und Zeitpunkt festgehalten und mit dem Konto gelöscht (Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse an Nachvollziehbarkeit und Sicherheit).

Kern des Dienstes ist die Übertragung von Postfachinhalten. Dabei verarbeiten wir folgende Daten:

Alle Übertragungen sind transportverschlüsselt (TLS). Das Zwischenlager und die Sicherungen liegen serverseitig verschlüsselt (AES-256) in Deutschland, der Datenträger des Servers ist verschlüsselt; Zugangsdaten werden zusätzlich mit AES-256-GCM und einem Schlüssel je Kundenkonto verschlüsselt. Mitarbeiter des Anbieters greifen nicht auf Nachrichteninhalte zu; die Fehlersuche erfolgt anhand der Protokolle, die keine Inhalte enthalten. Eine Auswertung der Inhalte, etwa durch künstliche Intelligenz, zu Werbezwecken oder zur Profilbildung, findet nicht statt.

Unternehmenskunden: Für Unternehmer verarbeiten wir die Postfachinhalte im Auftrag des Kunden (Art. 28 DSGVO) auf Grundlage des Auftragsverarbeitungsvertrags; er enthält in Anlage 2 die technischen und organisatorischen Maßnahmen und in Anlage 3 die Subunternehmer. Der Kunde ist Verantwortlicher für die Inhalte der Postfächer gegenüber den Postfachinhabern und deren Kommunikationspartnern. Verbraucher, die ihr eigenes Postfach umziehen, schließen keinen Auftragsverarbeitungsvertrag; für sie verarbeiten wir die Daten zur Erfüllung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO). Soweit dabei Daten von Kommunikationspartnern des Verbrauchers verarbeitet werden, geschieht dies auf Grundlage unseres berechtigten Interesses an der Erbringung der beauftragten Dienstleistung (Art. 6 Abs. 1 lit. f DSGVO); die Inhalte werden nur kopiert und nicht ausgewertet.

Postfachinhaber können ihr Passwort über einen persönlichen Link selbst eingeben, den der Kunde ihnen zusendet. Das Passwort wird unmittelbar gegen das Quell- oder Zielsystem geprüft, verschlüsselt gespeichert und nach Abschluss des Umzugs gelöscht. Der Link ist zeitlich begrenzt gültig und nur einmal einlösbar. Beim Aufruf verarbeiten wir die technischen Zugriffsdaten nach Ziffer 3. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Verbraucher) bzw. der Auftrag des Kunden (Art. 28 DSGVO).

Zahlungen wickelt die Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Niederlande, ab. Mollie erhält die für die Zahlung nötigen Daten (Betrag, Zahlungsart, Zahlungsdaten der gewählten Zahlungsart, Name und E-Mail-Adresse, Rechnungsnummer). Je nach gewählter Zahlungsart (Kreditkarte, PayPal, Klarna) werden Daten an den jeweiligen Zahlungsdienst übermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Mollie ist für die Zahlungsabwicklung eigenständig Verantwortlicher; Informationen unter mollie.com/de/privacy. Die Bezahlung und die Rechnungserstellung erfolgen im Kundenportal unseres eigenen Kundenverwaltungssystems (dreifachDigital GmbH); dorthin übermittelt Boxmove nur Ihre Kontodaten, die gebuchten Mengen und die Belegung des Zwischenlagers, keine Postfachinhalte. Rechnungsdaten bewahren wir zehn Jahre auf (Art. 6 Abs. 1 lit. c DSGVO, § 147 AO). An andere Dritte als Mollie und den gewählten Zahlungsdienst werden Zahlungsdaten nicht weitergegeben.

Kunden können sich mit einem Microsoft-Konto (Microsoft Entra ID) anmelden. Dabei erhalten wir von Microsoft Name, E-Mail-Adresse und eine Kennung des Kontos; Microsoft erfährt, dass Sie sich bei Boxmove anmelden. Für Umzüge von oder nach Microsoft 365 erteilt der Administrator der betroffenen Microsoft-365-Organisation Boxmove eine Freigabe über Microsoft Entra ID. Boxmove nutzt diese Freigabe ausschließlich zum Lesen und Schreiben der für den Umzug ausgewählten Postfächer. Die Freigabe kann der Administrator jederzeit im Microsoft-Verwaltungsportal widerrufen. Beide Wege sind freiwillig; ohne sie werden keine Daten an Microsoft übermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Anmeldung und Vertragserfüllung) bzw. der Auftrag des Kunden (Art. 28 DSGVO). Anbieter ist die Microsoft Ireland Operations Ltd., One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland. Die Verarbeitung erfolgt in der EU (Microsoft EU Data Boundary); für Support- und Betriebszugriffe aus Drittländern gelten das Microsoft-Datenschutz-Addendum mit EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) sowie das EU-US Data Privacy Framework, für das die Microsoft Corporation zertifiziert ist. Informationen unter privacy.microsoft.com.

Wir senden Ihnen Anmelde-Links, Einladungen und Benachrichtigungen zu Ihren Umzügen (Lauf abgeschlossen, Umzugszeit läuft ab, Zwischenlager läuft in sieben Tagen bzw. einem Tag ab, Zwischenlager gelöscht) sowie Rechnungsbelege an die hinterlegte E-Mail-Adresse. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Der Versand erfolgt über Amazon Simple Email Service aus Rechenzentren in Deutschland (Auftragsverarbeiter AWS, siehe Ziffer 2). Werbe-E-Mails versenden wir nicht ohne Ihre Einwilligung.

Wenn Sie uns per E-Mail (support@boxmove.de, info@dreifach-digital.de) oder telefonisch kontaktieren, verarbeiten wir Ihre Angaben (Name, Kontaktdaten, Inhalt der Anfrage) zur Bearbeitung der Anfrage. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn die Anfrage einen Vertrag betrifft, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung). Wir löschen die Anfragen spätestens zwölf Monate nach Abschluss, sofern keine Aufbewahrungspflicht besteht. Auf Ihren Wunsch kann der Support Ihr Konto zeitlich begrenzt (60 Minuten) lesend einsehen; jede solche Sitzung wird im Protokoll des Kontos vermerkt. Nachrichteninhalte sieht der Support dabei nicht.

• Amazon Web Services EMEA SARL, Luxemburg – Hosting, Zwischenlager, Sicherungen, E-Mail-Versand (Rechenzentren in Deutschland); Auftragsverarbeiter nach Art. 28 DSGVO, EU-Standardvertragsklauseln für Support-Fernzugriffe aus Drittländern
• Mollie B.V., Amsterdam – Zahlungsabwicklung (nur Zahlungsdaten); eigenständig Verantwortlicher
• Microsoft Ireland Operations Ltd., Dublin – nur bei Anmeldung mit Microsoft-Konto oder bei Umzügen von bzw. nach Microsoft 365; EU Data Boundary, EU-Standardvertragsklauseln und EU-US Data Privacy Framework für Zugriffe aus Drittländern
• Google Ireland Limited, Dublin – nur mit Ihrer Einwilligung: Messung des Anzeigenerfolgs mit Google Ads (Abschnitt 13); eigenständig Verantwortlicher, mit Übermittlung an die Google LLC in den USA

Weitere Dienste setzen wir nicht ein: keine Analyse-Werkzeuge, keine Fehlerdiagnose-Dienste Dritter, keine KI-Dienste, kein Content-Delivery-Network. Die vollständige Subunternehmer-Liste mit Nachweisen ist Anlage 3 des Auftragsverarbeitungsvertrags. Die Quell- und Zielsysteme Ihrer Postfächer (Ihr bisheriger und Ihr neuer Anbieter) bestimmen Sie selbst; sie sind keine Empfänger im Auftrag von Boxmove. Außer der oben genannten Übermittlung an Google, die ausschließlich mit Ihrer Einwilligung stattfindet, übermitteln wir personenbezogene Daten nicht planmäßig in Drittländer.

Wir schalten Anzeigen bei Google und möchten wissen, ob ein Klick darauf später zu einer Registrierung oder einer Bestellung führt. Dafür laden wir das Werbe-Tag (gtag.js) der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland – aber erst, wenn Sie eingewilligt haben. Bis dahin wird kein Google-Skript geladen und kein Werbe-Cookie gesetzt; die Seite funktioniert vollständig.

Mit Ihrer Einwilligung setzt Google eigene Cookies und verarbeitet Ihre IP-Adresse, Angaben zu Browser und Gerät, die aufgerufenen Seiten und die Klick-Kennung der Anzeige. Damit ein Klick auf boxmove.de und die spätere Registrierung auf app.boxmove.de als ein Vorgang erkannt werden, wird diese Klick-Kennung zwischen beiden Adressen weitergereicht. Haben Sie eingewilligt und schließen eine Bestellung ab, übermitteln wir zusätzlich den bezahlten Betrag und eine Zahlungsreferenz, damit dieselbe Bestellung nicht doppelt gezählt wird; Name, Anschrift und Postfachdaten sind davon nicht betroffen. Google verarbeitet diese Daten auch in den Vereinigten Staaten. Rechtsgrundlage für das Speichern und Auslesen von Informationen auf Ihrem Gerät ist § 25 Abs. 1 TDDDG, für die anschließende Verarbeitung Art. 6 Abs. 1 lit. a DSGVO, jeweils Ihre Einwilligung; die Google LLC ist dem EU-US Data Privacy Framework beigetreten.

Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen – über „Cookie-Einstellungen“ im Fußbereich jeder Seite. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt davon unberührt.

Darüber hinaus setzen wir keine Analyse- oder Tracking-Werkzeuge ein, erstellen keine Nutzungsprofile und werten Postfachinhalte nicht aus, auch nicht mit künstlicher Intelligenz. Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt.

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO) und Datenübertragbarkeit (Art. 20 DSGVO). Gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO beruhen, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch einlegen (Art. 21 DSGVO). Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Zur Ausübung Ihrer Rechte genügt eine formlose Mitteilung an info@dreifach-digital.de.

Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für uns zuständig ist: Die Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover, lfd.niedersachsen.de.

Betrifft Ihr Anliegen Postfachinhalte, die wir im Auftrag eines Unternehmenskunden verarbeiten, wenden Sie sich bitte an diesen Kunden (zum Beispiel Ihren Arbeitgeber oder den beauftragten IT-Dienstleister); wir unterstützen ihn bei der Beantwortung.

Wir passen diese Datenschutzerklärung an, wenn sich der Dienst oder die Rechtslage ändert. Die jeweils aktuelle Fassung ist unter boxmove.de/datenschutz.html abrufbar.

Stand: 4. September 2026. Verantwortlicher: dreifachDigital GmbH, siehe Impressum. Für Unternehmenskunden: Auftragsverarbeitungsvertrag.