Zero-Knowledge, DSGVO und Server in Deutschland — transparent erklärt.
Stand: 15. Juni 2026
Diese Datenschutzerklärung informiert Sie gemäß Art. 13 und Art. 14 der Datenschutz-Grundverordnung (DSGVO) über die Verarbeitung personenbezogener Daten bei der Nutzung des Dienstes Schluesselbot, erreichbar unter https://schluesselbot.de (nachfolgend „Dienst" oder „Schluesselbot").
Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist:
MessingerDesign, Philipp Messinger & Werner Messinger GbR Dahmestraße 10 12526 Berlin Deutschland
vertreten durch die einzelvertretungsbefugten Gesellschafter Philipp Messinger und Werner Messinger.
Wir sind gesetzlich nicht verpflichtet, einen Datenschutzbeauftragten zu bestellen (Art. 37 DSGVO, § 38 BDSG). Bei allen Fragen zum Datenschutz und zur Wahrnehmung Ihrer Rechte wenden Sie sich bitte unmittelbar an den oben genannten Verantwortlichen.
Schluesselbot ist als bewusst datenminimaler, server-blinder Dienst konzipiert. Das Verständnis dieses Konzepts ist für die rechtliche Einordnung der nachfolgenden Verarbeitungen wesentlich:
#-Zeichen) mitgeführt. Ein URL-Fragment wird von Browsern technisch bedingt nicht an den Server gesendet und erscheint daher nicht in unseren Server-Logs.Rechtliche Folge (Art. 11 DSGVO): Da wir die bei uns gespeicherten verschlüsselten Inhalte weder lesen noch einer bestimmten Person zuordnen können, handelt es sich insoweit um eine Verarbeitung, die keine Identifizierung der betroffenen Person erfordert. Auf die hieraus folgenden Einschränkungen Ihrer Betroffenenrechte gehen wir unter Ziffer 20.1 gesondert und transparent ein.
Unsere Rolle: Für die unverschlüsselt verarbeiteten Daten (z. B. Empfänger-E-Mail-Adresse, Versand-E-Mails, IP-Adressen, Logs, Account- und Zahlungsdaten) sind wir Verantwortlicher i. S. d. Art. 4 Nr. 7 DSGVO. Hinsichtlich der verschlüsselten Inhalte und Anhänge agieren wir als reiner Hosting- bzw. Durchleitungsdienst ohne Kenntnisnahme der Inhalte – auch im Komfort-Modus (Ziffer 6.3), in dem uns zwar der Schlüssel, aber zu keinem Zeitpunkt der entschlüsselte Inhalt zugeht; insoweit gelten die Haftungsprivilegien der §§ 7 Abs. 2, 8 bis 10 Digitale-Dienste-Gesetz (DDG, vormals TMG), und die Verantwortung für die Rechtmäßigkeit der Inhalte liegt beim Nutzer.
Diese Datenschutzerklärung verwendet die Begriffe der DSGVO (u. a. „personenbezogene Daten", „Verarbeitung", „Verantwortlicher", „Auftragsverarbeiter", „Einwilligung"). Ergänzend gelten folgende dienstspezifische Begriffe:
/i/<nutzer-nummer>/<name>), die Inhaber eines kostenpflichtigen Tarifs einrichten können. Der Inhaber wählt beim Anlegen eine von vier Sicherheitsstufen für das Öffnen von Einsendungen: Einmal-Code per E-Mail (Voreinstellung); zusätzlich ein fester Postfach-Passcode, den wir ausschließlich als Argon2id-Hash speichern und der keine Verschlüsselungsfunktion hat; zusätzlich der zweite Faktor des Kontos; oder eigene Postfach-Passphrase. Nur in der letzten Stufe gehört zum Postfach ein im Browser des Inhabers erzeugtes Schlüsselpaar; der private Schlüssel liegt bei uns dann ausschließlich in mit dessen Passphrase verschlüsselter Form (siehe Ziffer 6.3 Buchstabe c).Wir betreiben den Dienst auf einer Zwei-Server-Architektur:
Zweck: Bereitstellung, Betrieb und Sicherheit des Dienstes. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer zuverlässigen und sicheren Bereitstellung des Dienstes); soweit die Verarbeitung der Vertragserfüllung dient, zusätzlich Art. 6 Abs. 1 lit. b DSGVO. Auftragsverarbeitung: Mit dem Hosting-Dienstleister besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Beide Server stehen in Deutschland/der EU; ein Drittlandtransfer findet im Rahmen des Hostings nicht statt. Speicherdauer: siehe die jeweilige Verarbeitung sowie Ziffer 12.
Beim Aufruf unserer Website erhebt der Edge-Server automatisch Informationen, die Ihr Browser übermittelt. Dies sind insbesondere:
Logging-Minimierung (technische Schutzmaßnahme): Unsere Logs enthalten konstruktionsbedingt keine Entschlüsselungsschlüssel, keine URL-Fragmente, keine Besitz-Token und keine Klartext-Inhalte. Das gilt ausdrücklich auch für den Komfort-Modus (Ziffer 6.3): Der dort übermittelte Schlüssel wird ausschließlich flüchtig im Arbeitsspeicher verarbeitet und weder in Zugriffs- noch in Anwendungs-Logs geschrieben.
Zweck: Gewährleistung eines störungsfreien Betriebs, Fehlerdiagnose, IT-Sicherheit und Angriffserkennung. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Betriebssicherheit und Angriffsabwehr). Speicherdauer: Server- und Anwendungs-Logs werden in der Regel innerhalb von 7 bis 14 Tagen automatisch gelöscht oder rotiert, soweit sie nicht zur Aufklärung eines konkreten Sicherheitsvorfalls länger benötigt werden.
Verarbeitete Daten: das in Ihrem Browser verschlüsselte Chiffrat der Nachricht. Den Klartext erhalten wir nicht. Zweck: verschlüsselte Zwischenspeicherung zur Übermittlung der Nachricht an den von Ihnen bestimmten Empfänger. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des von Ihnen beauftragten Übermittlungsvorgangs). Speicherort: ausschließlich auf dem Vault-Server, zusätzlich at-rest verschlüsselt. Speicherdauer:
Verarbeitete Daten: das in Ihrem Browser verschlüsselte Chiffrat einer optional beigefügten Datei (im kostenlosen Tarif bis 2 MB, im kostenpflichtigen Tarif bis 50 MB). Anhänge können personenbezogene Daten Dritter enthalten – jedoch ebenfalls nur als für uns unlesbares Chiffrat. Zweck: verschlüsselte Übermittlung des Dateianhangs. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Speicherort: als verschlüsseltes Datei-Objekt auf dem Vault-Server (nicht in der Datenbank). Speicherdauer (Sonderregel):
Hinweis zur Server-Blindheit: Da Inhalt und Anhang für uns ausschließlich als Chiffrat vorliegen und wir den zugehörigen Schlüssel nicht speichern, ist uns eine inhaltliche Auskunft, Berichtigung oder Auswertung technisch nicht möglich (vgl. Ziffer 2, Ziffer 6.3 und Ziffer 20.1). Die endgültige, zeitgesteuerte Löschung wird durch unseren Janitor-Prozess unabhängig von einem Zugriff erzwungen.
Beim Versand über unser Sendeformular wählen Sie vor dem Absenden, auf welchem Weg der Abruf-Link zum Empfänger gelangt. Diese Wahl bestimmt, ob wir den Entschlüsselungsschlüssel überhaupt zu sehen bekommen. Wir stellen die Wege hier bewusst getrennt dar, weil sie unterschiedliche Vertraulichkeitsniveaus gegenüber uns als Anbieter bedeuten. Buchstabe c beschreibt den Sonderfall der Einsendung über ein Empfangs-Postfach, bei dem diese Wahl nicht besteht.
a) Sicherheits-Modus („Sicherer"): Wir versenden nur eine Benachrichtigung und – auf Anforderung – den Besitz-Token. Den Abruf-Link einschließlich Schlüssel übermitteln Sie selbst über einen von uns getrennten Kanal (z. B. Messenger, SMS, persönlich). Verarbeitete Daten: kein Schlüssel. Der Schlüssel erreicht unsere Server in dieser Versandart zu keinem Zeitpunkt; die Zero-Knowledge-Eigenschaft besteht insoweit uneingeschränkt.
b) Komfort-Modus („Einfach", Voreinstellung): Sie beauftragen uns ausdrücklich damit, den fertigen Abruf-Link einschließlich Schlüssel per E-Mail an den von Ihnen angegebenen Empfänger zu versenden. Verarbeitete Daten: das Schlüsselfragment zum Zusammensetzen des Abruf-Links. Zweck: Ausführung des von Ihnen beauftragten Versands. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des beauftragten Übermittlungsvorgangs). Verarbeitungsort: auf dem Edge-Server ausschließlich flüchtig im Arbeitsspeicher. Den Edge-Server verlässt der Schlüssel nur auf einem einzigen Weg – als Bestandteil des Abruf-Links mit der Benachrichtigungs-E-Mail über den Versandweg nach Ziffer 9 an das Postfach des Empfängers; genau das ist der von Ihnen beauftragte Zweck. Eine Weitergabe an den Vault-Server, auf dem das Chiffrat liegt, findet nicht statt; Chiffrat und Schlüssel werden also zu keinem Zeitpunkt zusammengeführt. Speicherdauer: keine Speicherung – der Schlüssel wird weder in der Datenbank abgelegt noch protokolliert und nach dem Versand der E-Mail verworfen.
c) Einsendung über ein Empfangs-Postfach: Senden Sie über die Postfach-Adresse eines anderen Nutzers (/i/<nutzer-nummer>/<name>), wird Ihr Inhalt stets in Ihrem Browser verschlüsselt. Zusätzlich von Ihnen eingegebene Angaben zu Absendername und Betreff sind bewusst nicht Teil des verschlüsselten Inhalts: Sie stehen in der Benachrichtigungs-E-Mail an den Inhaber und in dessen Eingangsübersicht (Ziffer 14.2), damit erkennbar ist, von wem und worum es geht. Beide Felder sind freiwillig und dürfen leer bleiben. Hat das Postfach die höchste Sicherheitsstufe, wird der Inhalt gegen den öffentlichen Schlüssel des Postfachs verschlüsselt (ECDH auf der Kurve P-256, anschließend AES-256-GCM). Uns erreicht dabei kein zur Entschlüsselung geeignetes Schlüsselmaterial; die Benachrichtigung an den Inhaber enthält einen Abruf-Link ohne Schlüssel. Verarbeitete Daten: das Chiffrat samt darin eingebettetem öffentlichen Einmal-Schlüssel des Absenders sowie die E-Mail-Adresse des Postfach-Inhabers. Zweck: Zustellung der Einsendung an den Inhaber des angewählten Postfachs. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Speicherung des Postfach-Schlüssels: Der private Schlüssel des Inhabers wird ausschließlich in mit dessen Passphrase verschlüsselter Form gespeichert (PBKDF2-SHA-256, 310.000 Runden, anschließend AES-256-GCM); die Passphrase selbst erreicht unsere Server zu keinem Zeitpunkt und ist uns nicht bekannt. Eine Wiederherstellung bei Verlust ist deshalb technisch ausgeschlossen.
Transparenzhinweis zu den Buchstaben b und c: Weil Schlüssel und Chiffrat in diesen beiden Fällen – wenn auch zu unterschiedlichen Zwecken und ohne Zusammenführung – durch unsere Systeme laufen, ist die Vertraulichkeit gegenüber uns als Anbieter technisch nicht erzwungen, sondern beruht auf den beschriebenen organisatorischen und technischen Maßnahmen (keine Speicherung, kein Logging, Verwerfen nach Versand). Zusätzlich hängt die Sicherheit des Vorgangs dann vom E-Mail-Postfach des Empfängers bzw. des Postfach-Inhabers ab, da der Link dorthin zugestellt wird. Wenn Sie eine technisch erzwungene Server-Blindheit benötigen, wählen Sie den Sicherheits-Modus nach Buchstabe a.
Verarbeitete Daten: die von Ihnen angegebene E-Mail-Adresse des Empfängers. Zweck: Zustellung des Abruf-Links sowie – nach Anforderung durch den Empfänger – des Besitz-Tokens. Die Empfänger-Adresse ist konstitutiv für die Leistung: Ohne sie kann der von Ihnen beauftragte Übermittlungsvorgang nicht durchgeführt werden. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des beauftragten Übermittlungsvorgangs). Speicherdauer: bis zur Zustellung/zum Abruf, längstens jedoch 48 Stunden (bei nicht abgerufenem Secret); nach erfolgreichem Abruf wird sie gemeinsam mit dem Secret gelöscht (bei Anhang nach Ablauf des 10-Minuten-Fensters). Zweckbindung: Es findet keine Anlage von Verteilern, keine Wiederverwendung der Adresse und keine Verwendung zu Werbezwecken statt.
Die Angabe einer Absender-E-Mail-Adresse ist freiwillig und keine Pflichtangabe. Sie wird nur verarbeitet, wenn Sie selbst eine Zustell- oder Lesebenachrichtigung wünschen.
Zweck: Benachrichtigung des Absenders über Zustellung/Abruf. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Übermittlungsvorgangs) bzw. Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), soweit es sich um eine reine Benachrichtigung handelt. Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Speicherdauer: gemeinsam mit dem zugehörigen Secret (sofort bei Abruf bzw. spätestens 48 Stunden); wird keine Absender-Adresse angegeben, speichern wir auch keine.
Zur Erbringung der Leistung versenden wir an die angegebene Empfänger-Adresse eine neutrale Benachrichtigungs-E-Mail mit dem Abruf-Link sowie – auf Anforderung – eine E-Mail mit dem Besitz-Token.
Zweck: Zustellung von Abruf-Link und Token; Sicherstellung, dass nur der Inhaber des Empfänger-Postfachs Zugriff auf das Chiffrat erhält. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Übermittlungsvorgangs); hinsichtlich des Token-Gates ergänzend Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an sicherer Zustellung und Missbrauchsabwehr). Speicherdauer: Empfänger-Adresse und Token-Bezug werden gemeinsam mit dem Secret gelöscht (siehe Ziffern 6, 7 und 10).
Versandweg: Der E-Mail-Versand erfolgt über [Versandweg ergänzen: eigener SMTP-Server server.messingerdesign.de (EU/intern) oder externer Transaktions-Mail-Dienstleister]. Bei Einsatz eines externen Dienstleisters besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO; Standort und etwaiger Drittlandbezug sind in der Auftragsverarbeiter-Liste (Ziffer 13) ausgewiesen. [Konkreten Anbieter und Standort ergänzen, falls extern.]
Der Besitz-Token dient dem Nachweis, dass der Empfänger die Kontrolle über das angegebene Postfach hat, und schützt vor unbefugtem Zugriff durch bloße Weiterleitung oder ein Abfangen des Links.
Verarbeitete Daten: der Besitz-Token; serverseitig wird dieser ausschließlich als kryptografischer Hash gespeichert, niemals im Klartext. Zweck: sichere, an das konkrete Secret und den Empfänger gebundene Auslieferung des Chiffrats; Schutz vor Link-Leaks, Weiterleitungen und automatisierten Angriffen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bestandteil der sicheren Zustellung) i. V. m. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Sicherheit und Missbrauchsabwehr). Technische Schutzmaßnahmen (Art. 32 DSGVO): Hash-only-Speicherung, Vergleich in konstanter Zeit (Schutz vor Timing-Angriffen), ausreichende Schlüssellänge, Brute-Force-Schutz durch Rate-Limit und Versuchszähler, Einmalgebrauch, Bindung an das jeweilige Secret. Speicherdauer: gemeinsam mit dem zugehörigen Secret (sofort bei Abruf bzw. spätestens 48 Stunden).
Verarbeitete Daten: IP-Adresse (möglichst gekürzt bzw. gehasht) des zugreifenden Geräts, ggf. Zähler zu Versandvorgängen. Zweck: Schutz vor Brute-Force-Angriffen, Spam, Massenversand und Überlastung (DoS); Sicherstellung der Verfügbarkeit und Integrität des Dienstes. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Sicherheit, Verfügbarkeit und Missbrauchsabwehr; vgl. Erwägungsgrund 49 DSGVO). IP-Adressen sind nach der Rechtsprechung des EuGH (Rs. C-582/14, „Breyer") personenbezogen. Interessenabwägung: Das Risiko des Missbrauchs eines anonym nutzbaren Übermittlungsdienstes ist erheblich; die Verarbeitung ist zur Abwehr erforderlich, erfolgt datensparsam (Kürzung/Hashing), kurzlebig und ohne Profilbildung oder Zusammenführung mit Inhalten. Ihre schutzwürdigen Interessen überwiegen daher nicht. Speicherdauer: im Rahmen kurzlebiger Rate-Limit-Fenster (Minuten); zur Korrelation von Missbrauch längstens 7 Tage, anschließend Löschung.
Zum Schutz vor automatisiertem Missbrauch beim Versand setzen wir einen datenschutzfreundlichen, vorzugsweise EU-/selbst gehosteten Schutzmechanismus ein [konkreten Mechanismus ergänzen, z. B. selbst gehostetes Friendly Captcha / Altcha / eigene Proof-of-Work-Challenge].
Zweck: Schutz vor automatisiertem Spam-/Massenversand. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Missbrauchsabwehr). Speicherdauer: nur für die Dauer der Validierung der jeweiligen Challenge.
Hinweis: Sollte künftig ein externer Captcha-Anbieter (z. B. Cloudflare Turnstile, hCaptcha) eingesetzt werden, der Daten außerhalb der EU verarbeitet, wird dieser als Auftragsverarbeiter mit Standort und Drittlandgarantien in Ziffer 13 ausgewiesen und – soweit erforderlich – eine Einwilligung eingeholt. [Bei externem Captcha entsprechend ergänzen.]
Auf einem Sicherheitsdienst üben wir bei der Reichweitenmessung bewusst Zurückhaltung. Wir setzen ausschließlich eine selbst gehostete, EU-basierte Analyselösung (meinKI-Analytics) ein und verzichten auf Google Analytics oder vergleichbare Drittanbieter-Tracker.
Zweck: anonyme Reichweitenmessung und Optimierung des Angebots. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer bedarfsgerechten Gestaltung).
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG. Die Einwilligung ist jederzeit mit Wirkung für die Zukunft widerrufbar (siehe Ziffer 15 – Cookies/Consent).
Speicherdauer: Die aggregierten, anonymen Auswertungsdaten enthalten keinen Personenbezug; etwaige zugrundeliegende Rohdaten werden kurzfristig verarbeitet und [Speicherdauer Analytics ergänzen, z. B. nach 14 Tagen anonymisiert/gelöscht].
Für die anonyme Kernnutzung des Dienstes setzen wir keine nicht-essenziellen Cookies ein. Technisch notwendige Speichervorgänge (z. B. zur Sitzungsverwaltung im eingeloggten Account-Bereich oder zur Bereitstellung der Funktion) sind nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei.
Für alle nicht zwingend erforderlichen Speicher-/Auslesevorgänge auf Ihrem Endgerät holen wir Ihre Einwilligung über unseren Einwilligungs-Banner (Cookie-Warner) ein (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Ihre Auswahl können Sie jederzeit über die Einstellungen des Banners ändern oder widerrufen.
Die Kernnutzung von Schluesselbot ist ohne Account möglich. Ein Account ist nur für kostenpflichtige Tarife (z. B. höhere Limits, Versandhistorie, persistente Empfangs-Postfächer) erforderlich und vollständig optional.
Wichtig: Ein Account gewährt keinen Zugriff auf verschlüsselte Inhalte. Der Account dient ausschließlich der Verwaltung und der Steuerung von Nutzungslimits; die Architektur des Dienstes bleibt davon unberührt (der Entschlüsselungsschlüssel wird nicht aus Account-Daten abgeleitet und nicht im Account gespeichert; es gilt unverändert die Versandart-Unterscheidung nach Ziffer 6.3).
Verarbeitete Daten: E-Mail-Adresse, Passwort (ausschließlich als Argon2id-Hash gespeichert, niemals im Klartext), bei Aktivierung der Zwei-Faktor-Authentifizierung ein 2FA-Secret bzw. Passkey-Daten, optional eine Profil-/Subject-ID bei Nutzung des Social-Logins (siehe Ziffer 15). Zweck: Bereitstellung und Verwaltung des kostenpflichtigen Accounts (Anmeldung, Verwaltung, höhere Limits, Sicherheit). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Nutzungsvertrags). Technische Schutzmaßnahmen (Art. 32 DSGVO): Passwort-Hashing mit Argon2id, optionale bzw. verpflichtende Zwei-Faktor-Authentifizierung (TOTP/Passkey), widerrufbare Sitzungen. Speicherdauer: für die Dauer des Bestehens des Accounts. Nach Kündigung/Löschung des Accounts werden die Daten gelöscht oder anonymisiert, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen (für abrechnungsrelevante Daten siehe Ziffer 16).
Passkeys (WebAuthn): Bei der Anmeldung mit einem Passkey verbleiben biometrische Merkmale (z. B. Fingerabdruck, Gesichtsdaten) ausschließlich auf Ihrem Endgerät und werden zu keinem Zeitpunkt an uns übertragen. Unser Server speichert lediglich einen öffentlichen Schlüssel sowie eine zufällige Kennung; eine Identifizierung oder Nachverfolgung über andere Dienste hinweg ist damit nicht möglich.
Verarbeitete Daten: TOTP-Secret und/oder Passkey-/WebAuthn-Anmeldedaten, ggf. Argon2id-gehashte Wiederherstellungscodes. Zweck: Absicherung des Account-Zugangs gegen unbefugte Anmeldung und Phishing. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (sichere Vertragsdurchführung) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Kontosicherheit). Speicherdauer: für die Dauer des Accounts bzw. bis zur Deaktivierung der Funktion.
Adressbuch: Sie können im angemeldeten Bereich E-Mail-Adressen nebst optionaler Namensangabe hinterlegen, um sie beim Versand auswählen zu können. Verarbeitete Daten: ausschließlich die von Ihnen eingegebenen Namen und E-Mail-Adressen. Zweck: Bedienkomfort beim Versand. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Speicherdauer: bis zur Löschung durch Sie, längstens bis zur Löschung des Accounts. Ein Abgleich mit anderen Datenbeständen, eine Anreicherung oder eine Weitergabe an Dritte findet nicht statt.
Eingangsübersicht der Empfangs-Postfächer: Geht über eines Ihrer Empfangs-Postfächer eine Einsendung ein, vermerken wir dazu einen Eintrag in Ihrem Kundenbereich. Verarbeitete Daten: die ohnehin öffentliche Vorgangskennung des Abruf-Links, das betroffene Postfach, der Eingangszeitpunkt, die Angabe, ob ein Anhang enthalten ist, sowie – falls die einsendende Person sie freiwillig angegeben hat – Absendername und Betreff (dieselben Angaben, die auch in der Benachrichtigungs-E-Mail stehen). Ausdrücklich nicht gespeichert werden Inhalte oder Schlüsselmaterial. Die Einsendung selbst bleibt so verschlüsselt wie unter Ziffer 6.3 Buchstabe c beschrieben; für Postfächer mit eigenem Schlüsselpaar ist uns eine Kenntnisnahme des Inhalts technisch ausgeschlossen. Zweck: Übersicht über eingegangene Einsendungen, unabhängig von der Benachrichtigungs-E-Mail. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Speicherdauer: 30 Tage ab Eingang; die Einsendung selbst wird davon unabhängig nach Ziffer 10 gelöscht (Abruf bzw. spätestens 48 Stunden).
Sofern angeboten und von Ihnen gewählt, können Sie sich optional über einen externen Identitätsanbieter (Identity Provider, IdP) registrieren und anmelden. Die Nutzung ist strikt freiwillig (Opt-in) und betrifft nicht die anonyme Kernnutzung des Dienstes. Es werden nur die zur Anmeldung erforderlichen Profildaten (in der Regel E-Mail-Adresse und eine Subject-ID) verarbeitet.
Gemeinsamer Rechtsrahmen für alle Social-Logins: Zweck: schnelle Account-Erstellung und Anmeldung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Account-Vertrags) sowie Art. 6 Abs. 1 lit. a DSGVO (Einwilligung in die Einbindung des jeweiligen Anbieters). Die Einwilligung ist jederzeit mit Wirkung für die Zukunft widerrufbar. Drittlandtransfer: Die nachfolgend genannten Anbieter sind in den USA ansässig bzw. verarbeiten Daten in den USA. Es findet insoweit ein Drittlandtransfer statt. Grundlage des Transfers ist – soweit der jeweilige Anbieter zertifiziert ist – das EU-US Data Privacy Framework (DPF) gemäß Angemessenheitsbeschluss der EU-Kommission, andernfalls Standardvertragsklauseln (SCC) nach Art. 46 Abs. 2 lit. c DSGVO nebst ergänzenden Garantien. Technischer Hinweis: Der für die Entschlüsselung erforderliche Schlüssel hängt zu keinem Zeitpunkt vom Identitätsanbieter ab; das Sicherheitsversprechen des Dienstes bleibt unberührt.
Anbieter: Microsoft Corporation, One Microsoft Way, Redmond, WA 98052, USA. Drittlandtransfer USA auf Grundlage von DPF/SCC (siehe oben). Datenschutzhinweise: [Link zur Datenschutzerklärung von Microsoft ergänzen].
Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, bzw. Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA. Drittlandtransfer USA auf Grundlage von DPF/SCC (siehe oben). Datenschutzhinweise: [Link zur Datenschutzerklärung von Google ergänzen].
Anbieter: Apple Inc., One Apple Park Way, Cupertino, CA 95014, USA. Drittlandtransfer USA auf Grundlage von DPF/SCC (siehe oben). Datenschutzhinweise: [Link zur Datenschutzerklärung von Apple ergänzen].
Hinweis: Welche der vorgenannten Anmeldeoptionen tatsächlich angeboten werden, kann variieren. Nicht angebotene Optionen lösen keine Verarbeitung aus. [Vor Launch: nicht genutzte Anbieter aus diesem Abschnitt entfernen.]
Die Bezahlung kostenpflichtiger Tarife wickeln wir über einen Merchant-of-Record-Anbieter (MoR) ab. Der MoR wird dabei Ihr Vertragspartner für den Zahlungsvorgang und übernimmt die Abführung der Umsatz-/Verkaufssteuer. Zahlungsmittel- bzw. Kartendaten werden ausschließlich beim Zahlungsdienstleister verarbeitet und gelangen nicht in unsere Systeme.
Verarbeiteter Datenbestand bei uns: abrechnungsrelevante Stammdaten (z. B. Name, Rechnungsanschrift, gebuchter Tarif, Transaktions-/Rechnungsreferenz), die wir vom MoR erhalten – keine vollständigen Zahlungsmitteldaten. Zweck: Abwicklung und Abrechnung des kostenpflichtigen Abonnements sowie Erfüllung steuer- und handelsrechtlicher Pflichten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung) sowie Art. 6 Abs. 1 lit. c DSGVO (Erfüllung gesetzlicher Aufbewahrungspflichten). Drittlandtransfer: Der eingesetzte MoR [Anbieter ergänzen, z. B. Paddle / Lemon Squeezy / Stripe] verarbeitet Daten ggf. in den USA; Grundlage ist das EU-US Data Privacy Framework bzw. Standardvertragsklauseln (SCC) nach Art. 46 DSGVO. Speicherdauer: Rechnungs- und Buchungsdaten werden entsprechend den gesetzlichen Aufbewahrungsfristen 10 Jahre gespeichert (§ 147 AO, § 257 HGB). Die übrigen Account-Daten werden nach Ziffer 14 gelöscht.
[Hinweis intern: Konkreten MoR-Anbieter, dessen Sitz und Drittlandgrundlage vor Launch eintragen.]
Wir setzen sorgfältig ausgewählte Dienstleister ein, die personenbezogene Daten ausschließlich nach unserer Weisung und auf Grundlage eines Vertrags zur Auftragsverarbeitung nach Art. 28 DSGVO verarbeiten. Eine Übermittlung an andere Empfänger erfolgt nur, soweit dies zur Leistungserbringung erforderlich ist oder eine gesetzliche Grundlage besteht.
| Empfänger / Kategorie | Zweck | Standort | Drittland / Garantie |
|---|---|---|---|
| netcup GmbH (Edge-Hosting) | Hosting, Betrieb, Sicherheit | Deutschland | Kein Drittland (EU) |
| Vault-Server (eigene Infrastruktur des Verantwortlichen) | verschlüsselte Speicherung der Inhalte | Deutschland/EU | Kein Drittland (EU) |
E-Mail-Versand [eigener SMTP server.messingerdesign.de oder externer Transaktions-Mail-Dienstleister] | Versand von Abruf-Link und Token | [DE/EU bzw. Anbieter-Standort ergänzen] | [Kein Drittland bei eigenem SMTP; sonst Standort/Garantie ergänzen] |
| Captcha-Anbieter [Mechanismus/Anbieter ergänzen] | Bot-/Missbrauchsabwehr | [EU bevorzugt; ergänzen] | [Kein Drittland bei EU-/Self-Hosting; sonst DPF/SCC ergänzen] |
| Merchant-of-Record [Anbieter ergänzen] | Zahlungsabwicklung, Steuerabführung | [Standort ergänzen, ggf. USA] | [USA: DPF/SCC ergänzen] |
| Identitätsanbieter Microsoft / Google / Apple (nur bei Social-Login) | Account-Anmeldung | USA | USA: DPF bzw. SCC |
| Analytics: meinKI-Analytics (selbst gehostet) | anonyme Reichweitenmessung | Deutschland/EU | Kein Drittland (EU) |
Der kostenlose Kerndienst läuft ausschließlich innerhalb der EU und ohne Drittlandtransfer. Ein Drittlandtransfer entsteht nur bei optionaler Nutzung von Social-Login, des Merchant-of-Record für Zahlungen sowie ggf. eines externen US-Captcha-Anbieters.
[Hinweis intern: Vor Launch konkrete Sub-Auftragsverarbeiter eintragen und die jeweilige Drittlandgrundlage (DPF-Zertifizierung prüfen / SCC abschließen) dokumentieren.]
Soweit wir – wie in dieser Erklärung im Einzelnen ausgewiesen – Daten an Empfänger in einem Drittland (insbesondere die USA) übermitteln, geschieht dies nur
Eine Kopie der jeweiligen Garantien können Sie beim Verantwortlichen anfordern.
| Datenkategorie | Speicherdauer |
|---|---|
| Nachrichteninhalt (ohne Anhang) | sofort nach Abruf; spätestens 48 Stunden |
| Anhang | max. 10 Minuten nach Abruf; unabgerufen spätestens 48 Stunden |
| Empfänger-E-Mail-Adresse | mit dem Secret (sofort bei Abruf / max. 48 Stunden) |
| Absender-E-Mail-Adresse (falls angegeben) | mit dem Secret (sofort bei Abruf / max. 48 Stunden) |
| Besitz-Token (nur als Hash) | mit dem Secret |
| Entschlüsselungsschlüssel im Komfort-Modus und bei Postfach-Einsendungen | keine Speicherung – nur flüchtig im Arbeitsspeicher während des Mailversands |
| Entschlüsselungsschlüssel im Sicherheits-Modus | erreicht unsere Server nicht |
| IP-Adressen (Rate-Limit/Abuse) | Minuten bis längstens 7 Tage |
| Server-/Anwendungs-Logs | 7 bis 14 Tage |
| Account-Daten | Dauer des Accounts |
| Adressbuch im Kundenbereich (Name, E-Mail) | bis zur Löschung durch Sie, längstens Dauer des Accounts |
| Eingangsübersicht der Postfächer (Vorgangskennung, Zeitpunkt, Postfach) | 30 Tage ab Eingang |
| Abrechnungs-/Rechnungsdaten | 10 Jahre (§ 147 AO, § 257 HGB) |
Die kurzen Löschfristen werden durch einen zeitgesteuerten, automatisierten Löschprozess (Janitor) technisch erzwungen und sind nicht von einem Abruf abhängig.
Ihnen stehen gegenüber dem Verantwortlichen folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten zu:
Zur Ausübung Ihrer Rechte genügt eine formlose Mitteilung an die unter Ziffer 1 genannten Kontaktdaten.
Für die unverschlüsselt verarbeiteten Daten (insbesondere Empfänger-E-Mail-Adresse, Account- und Zahlungsdaten) gewähren wir Auskunft, Berichtigung und Löschung im gesetzlichen Umfang.
Für die verschlüsselten Inhalte und Anhänge gilt jedoch eine konzeptbedingte Einschränkung: Wir können die bei uns gespeicherten Inhalte technisch weder lesen noch einer bestimmten Person zuordnen, weil wir den zugehörigen Schlüssel in keiner Versandart speichern (vgl. Ziffer 2 und Ziffer 6.3). Es handelt sich daher um eine Verarbeitung, die gemäß Art. 11 DSGVO keine Identifizierung der betroffenen Person erfordert. Eine inhaltliche Auskunft oder Berichtigung ist uns insoweit technisch nicht möglich, weil uns hierfür die Zuordnungs- und Entschlüsselungsmöglichkeit fehlt.
Sie behalten gleichwohl die volle Kontrolle: Eine Löschung des konkreten verschlüsselten Vorgangs können Sie jederzeit über dessen Kennung bzw. Link auslösen; unabhängig davon löscht unser Janitor-Prozess jeden Vorgang ohnehin spätestens nach 48 Stunden bzw. unmittelbar nach dem Abruf.
Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Sie betreffender personenbezogener Daten, die auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO erfolgt, Widerspruch einzulegen.
Dies betrifft insbesondere die Verarbeitung von IP-Adressen zur Missbrauchsabwehr, die Server-Logs und die cookiefreie Reichweitenmessung. Legen Sie Widerspruch ein, verarbeiten wir die betreffenden Daten nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
Unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs steht Ihnen das Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde zu (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes.
Die für den Verantwortlichen zuständige Aufsichtsbehörde ist:
Berliner Beauftragte für Datenschutz und Informationsfreiheit Alt-Moabit 59–61, 10555 Berlin Telefon: +49 30 13889-0 E-Mail: mailbox@datenschutz-berlin.de
Die Bereitstellung der Empfänger-E-Mail-Adresse ist für die Nutzung der Kernfunktion erforderlich: Ohne sie können wir den von Ihnen beauftragten Übermittlungsvorgang nicht durchführen. Eine gesetzliche oder vertragliche Pflicht zur Bereitstellung besteht nicht; es entstehen Ihnen jedoch keine Nachteile außer der Nichtnutzbarkeit der jeweiligen Funktion.
Die Bereitstellung einer Absender-Adresse, die Anlage eines Accounts sowie die Nutzung von Social-Login und kostenpflichtigen Funktionen sind freiwillig.
Eine ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhende Entscheidung im Sinne des Art. 22 DSGVO, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt, findet nicht statt. Die zur Sicherheit eingesetzten Maßnahmen (z. B. Rate-Limiting) dienen ausschließlich der Missbrauchsabwehr und führen nicht zu einer Profilbildung über Ihre Person.
Wir treffen geeignete technische und organisatorische Maßnahmen zum Schutz Ihrer Daten, insbesondere:
Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte Rechtslagen oder an Änderungen des Dienstes und der Datenverarbeitung anzupassen. Es gilt jeweils die zum Zeitpunkt Ihres Besuchs abrufbare, aktuelle Fassung. Den Stand finden Sie zu Beginn dieser Erklärung.
Stand: 15. Juni 2026