Datenschutzerklärung

Der Schutz Ihrer Daten ist uns wichtig – besonders, weil wir für unsere Leistungen sensible Unterlagen wie Ausweisdokumente und Ihre Post verarbeiten. Nachfolgend erklären wir, welche Daten wir zu welchem Zweck verarbeiten, auf welcher Rechtsgrundlage das geschieht und welche Rechte Sie haben.

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website und im Kundenportal ist:

Bernhard Metz
Industriestraße 8
68542 Heddesheim, Deutschland
E-Mail: mailbox@metz-box.com
Telefon: 0177 4597349

Einen Datenschutzbeauftragten haben wir nicht bestellt, da die gesetzlichen Voraussetzungen hierfür nicht vorliegen. Für alle Fragen zum Datenschutz erreichen Sie uns unter den oben genannten Kontaktdaten.

2. Was wir ausdrücklich nicht tun

Weil das erfahrungsgemäß die häufigste Frage ist, vorweg:

Wir setzen keine Analyse- oder Statistik-Werkzeuge ein (kein Google Analytics oder Vergleichbares).
Wir binden keine Social-Media-Plug-ins ein und betreiben kein Retargeting.
Wir setzen keine Werbe- oder Analyse-Cookies und erstellen keine Nutzerprofile.
Schriftarten und alle weiteren Gestaltungselemente werden von unserem eigenen Server ausgeliefert. Beim Aufruf der Seite entsteht dadurch keine Verbindung zu Google Fonts oder anderen Dritten.
In unseren E-Mails ist kein Öffnungs- oder Klick-Tracking aktiv – wir setzen keine Zählpixel ein.
Wir verkaufen keine Daten und geben sie nicht zu Werbezwecken weiter.

Sollten wir eines dieser Werkzeuge künftig einsetzen, werden wir diese Erklärung vorher anpassen und – soweit erforderlich – Ihre Einwilligung einholen.

3. Aufruf unserer Website

Beim Aufruf verarbeitet unser Hosting-Dienstleister technisch notwendige Verbindungsdaten in Server-Protokollen: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge, Browsertyp und Betriebssystem.

Zweck: Auslieferung der Seite, Erkennung und Abwehr von Angriffen, Nachvollziehbarkeit von Störungen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht am sicheren, stabilen und missbrauchsfreien Betrieb unseres Angebots.

4. Cookies und vergleichbare Technologien

Wir verwenden ausschließlich technisch notwendige Cookies:

Sitzungs-Cookie: hält Sie im Kundenportal angemeldet. Ohne dieses Cookie ist ein Login technisch nicht möglich.
Registrierungs-Cookie: speichert während der Registrierung für 30 Minuten Ihre E-Mail-Adresse, bis Sie den Bestätigungscode eingegeben haben. Es wird danach gelöscht.

Für diese Cookies ist nach § 25 Abs. 2 Nr. 2 TDDDG keine Einwilligung erforderlich, da sie für die von Ihnen gewünschte Nutzung unbedingt notwendig sind. Aus diesem Grund zeigen wir Ihnen auch kein Cookie-Banner.

5. Externe Links, insbesondere Google Maps

Auf unserer Seite finden Sie unter „Route planen“ einen Link zu Google Maps. Es handelt sich ausdrücklich um einen einfachen Link, nicht um eine eingebettete Karte. Beim bloßen Aufruf unserer Seite werden daher keinerlei Daten an Google übertragen – es wird auch keine Verbindung zu Google aufgebaut.

Erst wenn Sie den Link aktiv anklicken, verlassen Sie unsere Seite und gelangen zu Google. Ab diesem Zeitpunkt gelten die Datenschutzbestimmungen von Google, auf deren Inhalt wir keinen Einfluss haben. Dasselbe gilt für alle weiteren externen Links auf unserer Seite.

6. Kontaktformular und Kontaktaufnahme

Über unser Kontaktformular verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse, optional Telefonnummer und Firma, das gewählte Thema sowie Ihre Nachricht. Zusätzlich speichern wir Ihre IP-Adresse, um automatisierte Massenanfragen zu unterbinden (maximal drei Anfragen je IP-Adresse innerhalb von zehn Minuten).

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage auf einen Vertragsschluss abzielt; im Übrigen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung Ihrer Anfrage und am Schutz des Formulars vor Missbrauch).
Löschung: sobald Ihre Anfrage abschließend bearbeitet ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

7. Kundenkonto und Vertragsabwicklung

Für die Nutzung unserer Leistungen legen Sie ein Kundenkonto an. Dabei und im weiteren Verlauf verarbeiten wir:

Name, E-Mail-Adresse und ein von Ihnen gewähltes Passwort (nur als nicht rückrechenbarer Hashwert gespeichert),
optional Ihre Telefonnummer und Ihre Branche,
bei Unternehmen zusätzlich Firmierung, Rechtsform, Anschrift, Umsatzsteuer-Identifikationsnummer und Registernummer,
Ihr gebuchtes Paket, den Abrechnungsrhythmus und die Vertragslaufzeit,
die Ihnen zugeteilte Briefkastennummer und Ihren Abholcode,
Angaben zu eingegangener Post, Ihre Coworking-Buchungen sowie Nachrichten, die Sie mit uns über das Portal austauschen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Vertrages und vorvertragliche Maßnahmen).

Zustimmung zu AGB und Datenschutzerklärung: Bei der Registrierung dokumentieren wir, welcher Fassung Sie wann zugestimmt haben, einschließlich Zeitpunkt, IP-Adresse und verwendetem Browser. Das dient dem Nachweis nach Art. 7 Abs. 1 DSGVO und der wirksamen Einbeziehung unserer AGB.

Bestätigung Ihrer E-Mail-Adresse (Double-Opt-in): Nach der Registrierung senden wir Ihnen einen Zahlencode an die angegebene Adresse. Ihr Konto wird erst nutzbar, wenn Sie diesen Code eingeben. So stellen wir sicher, dass die Adresse tatsächlich Ihnen gehört und niemand ein Konto auf eine fremde Adresse anlegen kann. Bestätigen Sie nicht, bleibt das Konto ungenutzt und wird von uns entfernt.

Newsletter: Wir versenden keinen Newsletter und keine Werbe-E-Mails. Sie erhalten von uns ausschließlich Nachrichten, die Ihren Vertrag betreffen – etwa Benachrichtigungen über eingegangene Post, Rechnungen oder den Stand Ihrer Identitätsprüfung.

8. Identitätsprüfung nach dem Geldwäschegesetz

Als Anbieter von Geschäftsadressen unterliegen wir den Sorgfaltspflichten des Geldwäschegesetzes. Wir sind deshalb gesetzlich verpflichtet, Ihre Identität festzustellen und die Prüfung zu dokumentieren. Hierfür verarbeiten wir:

Aufnahmen Ihres amtlichen Ausweisdokuments (Vorderseite und, je nach Dokument, Rückseite),
ein Selfie zum Abgleich mit dem Lichtbild des Dokuments,
die aus dem Dokument entnommenen Angaben: Name, Geburtsdatum, Dokumentennummer, Gültigkeitsdatum, Staatsangehörigkeit,
bei Unternehmen zusätzlich Registerauszug oder Gewerbeanmeldung sowie die wirtschaftlich Berechtigten,
das Ergebnis der Prüfung, den Zeitpunkt und die prüfende Person.

Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit den §§ 10 ff. GwG (Erfüllung einer rechtlichen Verpflichtung).

Erforderlichkeit: Die Bereitstellung dieser Daten ist gesetzlich vorgeschrieben. Ohne erfolgreiche Identitätsprüfung dürfen wir Ihnen die Adresse nicht freischalten; der Vertrag kommt dann nicht zustande.

Zum Selfie-Abgleich: Beim Abgleich Ihres Selfies mit dem Lichtbild des Ausweises handelt es sich um eine grobe visuelle Einschätzung, ob dieselbe Person zu sehen ist. Es werden weder biometrische Merkmale vermessen noch biometrische Vorlagen (Templates) berechnet oder gespeichert. Eine Verarbeitung biometrischer Daten zur eindeutigen Identifizierung im Sinne des Art. 9 DSGVO findet dabei nicht statt.

Übergabe an Ihr Smartphone: Beginnen Sie die Prüfung am Computer, erzeugen wir einen QR-Code, über den Sie auf dem Smartphone fortfahren können. Dazu speichern wir einen Einmal-Schlüssel, der nur 10 Minuten gültig ist, nur einmal verwendet werden kann und bei uns ausschließlich als Prüfsumme hinterlegt wird.

Aufbewahrung: Das Geldwäschegesetz verpflichtet uns, diese Nachweise 5 Jahre nach Ende der Geschäftsbeziehung aufzubewahren (§ 8 GwG). Eine frühere Löschung ist uns gesetzlich nicht gestattet – auch dann nicht, wenn Sie Ihr Kundenkonto löschen lassen. Die Unterlagen werden in dieser Zeit verschlüsselt und getrennt von Ihren übrigen Kontodaten aufbewahrt und nach Fristablauf automatisiert gelöscht.

9. Automatisierte Vorprüfung der Ausweisbilder

Damit Sie nicht tagelang auf den Hinweis warten müssen, dass ein Foto unscharf war, lassen wir hochgeladene Aufnahmen unmittelbar automatisiert auf Verwertbarkeit prüfen: Ist das Bild scharf und vollständig? Stimmen die erkannten Angaben mit Ihrer Registrierung überein? Ist auf dem Selfie ein Gesicht erkennbar? Hierfür übermitteln wir die Aufnahmen an Anthropic PBC, 548 Market Street, San Francisco, CA 94104, USA.

Keine automatisierte Entscheidung: Diese Vorprüfung entscheidet nicht über Ihre Freischaltung. Sie dient allein dazu, Ihnen unbrauchbare Aufnahmen sofort zurückzumelden. Über die Freischaltung entscheidet stets ein Mensch nach eigener Prüfung. Eine ausschließlich auf automatisierter Verarbeitung beruhende Entscheidung im Sinne des Art. 22 DSGVO findet nicht statt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (zuverlässige Erfüllung unserer gesetzlichen Prüfpflicht) in Verbindung mit Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem zügigen Ablauf ohne vermeidbare Rückfragen).
Drittlandsübermittlung: Die Übermittlung in die USA erfolgt auf Grundlage der Standardvertragsklauseln der Europäischen Kommission nach Art. 46 Abs. 2 lit. c DSGVO. Die Aufnahmen werden dort ausschließlich zur Beantwortung der jeweiligen Anfrage verarbeitet und nicht zum Training von Modellen verwendet. Wir weisen darauf hin, dass in den USA ein Zugriff staatlicher Stellen auf Daten nicht in gleichem Maße ausgeschlossen werden kann wie innerhalb der EU.

10. Postbearbeitung, Öffnen und Scannen

Je nach gebuchtem Paket nehmen wir Ihre Post entgegen, öffnen sie, digitalisieren den Inhalt und stellen ihn Ihnen im Kundenportal bereit. Die Erlaubnis dazu erteilen Sie uns ausdrücklich über die Postvollmacht, die Sie im Portal bestätigen.

Zum Nachweis dieser Erklärung speichern wir Ihren Namen, den Zeitpunkt der Bestätigung, Ihre IP-Adresse, den verwendeten Browser sowie die Vollmacht als PDF. Die Scans Ihrer Post sowie Angaben zu Absender, Sendungsart und Eingangsdatum speichern wir verschlüsselt. Eine inhaltliche Auswertung Ihrer Post findet nicht statt; unsere Mitarbeiter sind zur Verschwiegenheit verpflichtet.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO für die Postdienstleistung als solche sowie Art. 6 Abs. 1 lit. a DSGVO (Ihre Einwilligung) für das Öffnen und Digitalisieren der Sendungen. Diese Einwilligung können Sie jederzeit mit Wirkung für die Zukunft im Kundenportal widerrufen; wir stellen Ihre Post dann nur noch zur Abholung bereit oder leiten sie ungeöffnet weiter.

11. Zahlungsabwicklung

Zahlungen wickeln wir über Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland ab. Ihre Zahlungsdaten – etwa Kartennummer oder Bankverbindung – geben Sie unmittelbar bei Stripe ein. Wir erhalten und speichern diese Daten nicht. Bei uns verbleiben Rechnungsbeträge, Zahlungsstatus, Rechnungsnummern, Rechnungsbelege und Ihre Stripe-Kundennummer.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Abwicklung Ihrer Zahlung) und Art. 6 Abs. 1 lit. c DSGVO (handels- und steuerrechtliche Aufbewahrungspflichten).
Aufbewahrung: Rechnungs- und Buchungsbelege bewahren wir zehn Jahre auf (§ 147 AO, § 257 HGB).

12. E-Mail-Versand und Zustellnachweis

Transaktionale E-Mails – Bestätigungen, Benachrichtigungen über neue Post, Hinweise zu Rechnungen und zur Identitätsprüfung – versenden wir über Resend. Zum Nachweis, wann eine Nachricht an Sie herausgegangen ist, speichern wir Versand- und Zustellereignisse: gesendet, zugestellt, verzögert, nicht zustellbar.

Dieser Nachweis ist beim Postservice wesentlich: Er belegt im Streitfall, wann wir Sie über eine eingegangene Sendung informiert haben. Ein Öffnungs- oder Klick-Tracking führen wir nicht durch – wir erfassen also nicht, ob und wann Sie eine E-Mail gelesen haben.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Benachrichtigung im Rahmen des Vertrages) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Nachweisbarkeit unserer Benachrichtigungen).

13. Protokollierung von Zugriffen auf Ihre Unterlagen

Jeder Zugriff auf ein Ausweisdokument sowie sicherheitsrelevante Vorgänge im Kundenportal – etwa Freischaltungen, Paketwechsel, Kündigungen oder Löschungen – werden mit Zeitpunkt und handelnder Person protokolliert. Das schützt Ihre Unterlagen vor unbemerkten Zugriffen und dient zugleich unserer gesetzlichen Dokumentationspflicht.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 8 GwG sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Nachvollziehbarkeit von Zugriffen auf besonders schutzwürdige Unterlagen).

14. Empfänger und eingesetzte Dienstleister

Innerhalb unseres Unternehmens erhalten nur die Personen Zugang zu Ihren Daten, die diesen zur Erfüllung ihrer Aufgaben benötigen. Darüber hinaus setzen wir folgende Dienstleister ein, mit denen jeweils ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO besteht:

Supabase – Datenbank, Nutzerverwaltung und verschlüsselter Dateispeicher. Serverstandort: Europäische Union (Frankfurt am Main).
Vercel – Betrieb und Auslieferung von Website und Kundenportal.
Stripe Payments Europe Ltd., Irland – Zahlungsabwicklung und Rechnungsstellung.
Resend – Versand transaktionaler E-Mails, Verarbeitung in der EU-Region (Irland).
Anthropic PBC, USA – automatisierte Vorprüfung der Ausweisbilder, siehe Abschnitt 9.

Eine Weitergabe an andere Empfänger erfolgt nur, wenn wir gesetzlich dazu verpflichtet sind – etwa gegenüber Behörden im Rahmen des Geldwäschegesetzes oder gegenüber Finanzbehörden – oder soweit dies zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.

15. Speicherdauer im Überblick

Kontodaten: für die Dauer des Vertragsverhältnisses, anschließend bis zum Ablauf gesetzlicher Aufbewahrungsfristen.
Identifizierungsunterlagen: 5 Jahre nach Ende der Geschäftsbeziehung (§ 8 GwG).
Rechnungs- und Buchungsbelege: zehn Jahre (§ 147 AO, § 257 HGB).
Postscans und Nachrichtenanhänge: bis zur Löschung Ihres Kontos.
Nicht abgeholte Originalsendungen: mindestens 90 Tage, danach datenschutzgerechte Vernichtung nach vorheriger Ankündigung.
Kontaktanfragen: bis zur abschließenden Bearbeitung.
Einmal-Schlüssel der Smartphone-Übergabe: 10 Minuten.

16. Löschung Ihres Kontos

Sie können die Löschung Ihres Kontos jederzeit im Kundenportal unter „Einstellungen“ beantragen. Wir löschen dann Ihre Kontodaten, Postscans und Nachrichtenanhänge. Die Identifizierungsunterlagen nach dem Geldwäschegesetz sowie Rechnungsbelege müssen wir für die oben genannten gesetzlichen Fristen aufbewahren; sie werden in dieser Zeit verschlüsselt archiviert, für den laufenden Betrieb gesperrt und nach Fristablauf automatisiert gelöscht.

17. Ihre Rechte

Ihnen stehen gegenüber uns folgende Rechte zu:

Auskunft darüber, ob und welche Daten wir zu Ihnen verarbeiten (Art. 15 DSGVO),
Berichtigung unrichtiger oder Vervollständigung unvollständiger Daten (Art. 16 DSGVO),
Löschung, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht (Art. 17 DSGVO),
Einschränkung der Verarbeitung (Art. 18 DSGVO),
Datenübertragbarkeit in einem gängigen, maschinenlesbaren Format (Art. 20 DSGVO),
Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Widerspruchsrecht nach Art. 21 DSGVO: Soweit wir Daten auf Grundlage berechtigter Interessen verarbeiten (Art. 6 Abs. 1 lit. f DSGVO), haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch gegen diese Verarbeitung einzulegen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Zur Ausübung Ihrer Rechte genügt eine formlose Nachricht an mailbox@metz-box.com. Die Rechtmäßigkeit der bis zu einem Widerruf erfolgten Verarbeitung bleibt unberührt.

Unabhängig davon steht Ihnen ein Beschwerderecht bei einer Aufsichtsbehörde zu (Art. 77 DSGVO). Für uns zuständig ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart.

18. Erforderlichkeit der Bereitstellung

Die Angabe Ihres Namens, Ihrer E-Mail-Adresse und – bei Unternehmen – Ihrer Firmendaten ist für den Vertragsschluss erforderlich. Die Vorlage eines Ausweisdokuments ist gesetzlich vorgeschrieben. Ohne diese Angaben können wir den Vertrag nicht schließen beziehungsweise Ihre Adresse nicht freischalten. Freiwillig sind dagegen die Angabe Ihrer Telefonnummer und Ihrer Branche; hieraus entstehen Ihnen keine Nachteile.

19. Datensicherheit

Die Übertragung aller Daten erfolgt verschlüsselt über TLS. Darüber hinaus verschlüsseln wir besonders schutzwürdige Inhalte bereits vor der Speicherung – dazu zählen Ausweisdokumente, Postscans, Firmenunterlagen, Nachrichtenanhänge sowie einzelne Angaben wie Ihre Telefonnummer und Ihr Abholcode. Der Zugriff auf diese Inhalte ist auf berechtigte Personen beschränkt und wird protokolliert. Unsere Systeme sind so eingerichtet, dass Kundendaten strikt voneinander getrennt sind und niemand auf die Daten anderer Kunden zugreifen kann.

20. Minderjährige

Unser Angebot richtet sich ausschließlich an volljährige Personen und an Unternehmen. Personenbezogene Daten von Minderjährigen verarbeiten wir nicht wissentlich.

21. Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, wenn sich unsere Leistungen, die eingesetzten Dienstleister oder die rechtlichen Rahmenbedingungen ändern. Es gilt jeweils die auf dieser Seite veröffentlichte Fassung.

Stand: September 2026