Datenschutz

Stand: 18. September 2026

Diese Datenschutzerklärung informiert Sie gemäß Art. 13 und Art. 14 der Datenschutz-Grundverordnung (DSGVO) über die Verarbeitung personenbezogener Daten bei der Nutzung des Dienstes SchlüsselBot, erreichbar unter https://schluesselbot.de (nachfolgend „Dienst" oder „SchlüsselBot").

1. Verantwortlicher

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist:

MessingerDesign, Philipp Messinger & Werner Messinger GbR Dahmestraße 10 12526 Berlin Deutschland

vertreten durch die einzelvertretungsbefugten Gesellschafter Philipp Messinger und Werner Messinger.

• E-Mail: pmessinger@messingerdesign.de
• Telefon: +49 174 967 61 56
• Umsatzsteuer-Identifikationsnummer: DE332090964

1.1 Datenschutzbeauftragter

Wir sind gesetzlich nicht verpflichtet, einen Datenschutzbeauftragten zu bestellen (Art. 37 DSGVO, § 38 BDSG). Bei allen Fragen zum Datenschutz und zur Wahrnehmung Ihrer Rechte wenden Sie sich bitte unmittelbar an den oben genannten Verantwortlichen.

2. Grundlegendes zur Architektur des Dienstes (Server-Blindheit / Zero-Knowledge)

SchlüsselBot ist als bewusst datenminimaler, server-blinder Dienst konzipiert. Das Verständnis dieses Konzepts ist für die rechtliche Einordnung der nachfolgenden Verarbeitungen wesentlich:

• Clientseitige Verschlüsselung: Der von Ihnen übermittelte Inhalt (Nachricht und optionaler Anhang) wird bei Nutzung der Website bereits in Ihrem Browser – also auf Ihrem Endgerät – verschlüsselt, bevor er an unsere Server übertragen wird. Eine Ausnahme besteht bei der Programmierschnittstelle: Dort können Sie den Inhalt wahlweise selbst verschlüsselt (Feld ciphertext) oder im Klartext (Feld message) übergeben. Im zweiten Fall erreicht uns der Inhalt lesbar, wird von uns verschlüsselt und der Klartext unmittelbar danach im Arbeitsspeicher überschrieben; für diesen Vorgang besteht die nachstehend beschriebene Server-Blindheit nicht. Der zur Entschlüsselung erforderliche Schlüssel wird nie zusammen mit dem Chiffrat auf dem Vault-Server gespeichert. Beim Direktversand wird er ausschließlich im sogenannten URL-Fragment (dem Teil des Links nach dem #-Zeichen) mitgeführt. Ein URL-Fragment wird beim späteren Seitenaufruf von Browsern technisch bedingt nicht an den Server gesendet und erscheint daher nicht in unseren Server-Logs. Für den direkten Öffnen-Knopf bei Empfangs-Postfächern gilt die eng begrenzte Ausnahme unter Ziffer 6.3 c.
• Versandart – Ihre Wahl: Ob der Schlüssel uns zugeht, entscheiden Sie beim direkten Versand über unser Sendeformular vor dem Absenden. Im Sicherheits-Modus („Sicherer") übermitteln Sie den Abruf-Link samt Schlüssel selbst über einen anderen Kanal; der Schlüssel erreicht unsere Server dann zu keinem Zeitpunkt. Im Komfort-Modus („Einfach") beauftragen Sie uns ausdrücklich damit, den fertigen Link für Sie zusammenzusetzen und zu versenden; dafür geht uns der Schlüssel für den Moment des Versands zu. Bei einem Empfangs-Postfach richtet sich der Zugang nach der beim Anlegen gewählten Schutzstufe; die E2E-Passphrase verwendet ein eigenes Schlüsselpaar und übermittelt uns kein Schlüsselfragment. Einzelheiten und Rechtsgrundlagen finden Sie unter Ziffer 6.3.
• Schlüssel und Chiffrat bleiben getrennt: Auf dem Vault-Server liegt der Inhalt ausschließlich als verschlüsseltes Chiffrat. Beim Direktversand und bei der E2E-Passphrase speichern wir den Entschlüsselungsschlüssel nicht. Nur bei Empfangs-Postfächern ohne E2E-Passphrase hält der Edge-Server für den angemeldeten Eingang vorübergehend eine zusätzlich verschlüsselte Kopie des URL-Fragments; ihr Serverschlüssel liegt außerhalb der Datenbank und wird nicht in unsere Anwendungssicherungen aufgenommen. Nach Abruf, Ablauf oder Ausblenden wird die Kopie entfernt. In Protokollen stehen weder Schlüssel noch URL-Fragmente. Eine technisch erzwungene Unkenntnis des Anbieters besteht bei der Versandart „Sicherer“ und beim E2E-Passphrase-Postfach.
• Ausnahme Programmierschnittstelle (nur Business): Übergibt ein Kunde über die Schnittstelle einen Inhalt im Klartext (Feld message), verschlüsseln wir ihn in seinem Auftrag. Der Inhalt erreicht uns dabei lesbar und wird unmittelbar nach dem Verschlüsseln im Arbeitsspeicher überschrieben; gespeichert oder protokolliert wird er nicht. Für diesen Weg gilt die obige Aussage „nicht möglich" also nicht. Wer die Kenntnisnahme auch dort ausschließen will, verschlüsselt selbst und übergibt ein fertiges Chiffrat. Zweck: Erfüllung des Nutzungsvertrags. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Zwei-Server-Trennung: Der öffentlich erreichbare Server („Edge") speichert keine Inhalte dauerhaft; die verschlüsselten Inhalte liegen ausschließlich – zusätzlich at-rest verschlüsselt – auf einem getrennten, nicht öffentlich erreichbaren Server („Vault").

Rechtliche Folge (Art. 11 DSGVO): Da wir die bei uns gespeicherten verschlüsselten Inhalte weder lesen noch einer bestimmten Person zuordnen können, handelt es sich insoweit um eine Verarbeitung, die keine Identifizierung der betroffenen Person erfordert. Auf die hieraus folgenden Einschränkungen Ihrer Betroffenenrechte gehen wir unter Ziffer 20.1 gesondert und transparent ein.

Unsere Rolle: Für die unverschlüsselt verarbeiteten Daten (z. B. Empfänger-E-Mail-Adresse, Versand-E-Mails, IP-Adressen, Logs, Account- und Zahlungsdaten) sind wir Verantwortlicher i. S. d. Art. 4 Nr. 7 DSGVO. Hinsichtlich der verschlüsselten Inhalte und Anhänge agieren wir als reiner Hosting- bzw. Durchleitungsdienst ohne Kenntnisnahme der Inhalte – auch im Komfort-Modus (Ziffer 6.3), in dem uns zwar der Schlüssel, aber zu keinem Zeitpunkt der entschlüsselte Inhalt zugeht; insoweit gelten die Haftungsprivilegien der §§ 7 Abs. 2, 8 bis 10 Digitale-Dienste-Gesetz (DDG, vormals TMG), und die Verantwortung für die Rechtmäßigkeit der Inhalte liegt beim Nutzer.

3. Begriffsbestimmungen

Diese Datenschutzerklärung verwendet die Begriffe der DSGVO (u. a. „personenbezogene Daten", „Verarbeitung", „Verantwortlicher", „Auftragsverarbeiter", „Einwilligung"). Ergänzend gelten folgende dienstspezifische Begriffe:

• Secret: Ein einzelner verschlüsselter Übermittlungsvorgang (Nachricht und/oder Anhang).
• Einmal-Code: Ein per E-Mail an den Empfänger versandter Nachweis, dass dieser die Kontrolle über das angegebene Postfach hat; dient als zusätzliche Zugangskontrolle vor Auslieferung des Chiffrats.
• Edge-Server / Vault-Server: Die unter Ziffer 2 beschriebene Zwei-Server-Trennung.
• Versandart: Der Weg, auf dem der Abruf-Link zum Empfänger gelangt – Sicherheits-Modus („Sicherer") (Sie übermitteln den Link selbst) oder Komfort-Modus („Einfach") (wir versenden den fertigen Link in Ihrem Auftrag). Beim Versand über unser Sendeformular wählen Sie die Versandart. Bei Einsendungen über ein Empfangs-Postfach richtet sich der Umgang mit dem Schlüssel nach der vom Inhaber gewählten Schutzstufe. Einzelheiten unter Ziffer 6.3.
• Empfangs-Postfach: Eine dauerhafte Einsende-Adresse (/i/<nutzer-nummer>/<name>), die Inhaber eines kostenpflichtigen Tarifs einrichten können. Beim Anlegen stehen Einmal-Code per E-Mail, Konto-Passkey, Code plus Passkey, Code plus zweiter Faktor und eine eigene Passphrase mit echter Ende-zu-Ende-Verschlüsselung zur Wahl. Bei Passkey-Stufen verwenden wir die öffentlichen WebAuthn-Anmeldedaten des Kontos; biometrische Merkmale verlassen das Endgerät nie. Bei der E2E-Passphrase speichern wir den privaten Postfach-Schlüssel ausschließlich passphrase-verschlüsselt.
• Janitor: Ein automatisierter, zeitgesteuerter Löschvorgang, der abgelaufene oder abgerufene Secrets unabhängig von einem Zugriff zuverlässig und endgültig löscht.

4. Hosting und Infrastruktur

Wir betreiben den Dienst auf einer Zwei-Server-Architektur:

• Edge-Server (öffentlich erreichbar): gehostet bei der netcup GmbH, Daimlerstraße 25, 76185 Karlsruhe, Deutschland. Standort der Server: Deutschland.
• Vault-Server (nicht öffentlich erreichbar): betrieben im Verfügungsbereich des Verantwortlichen; Standort: Deutschland/EU.

Zweck: Bereitstellung, Betrieb und Sicherheit des Dienstes. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer zuverlässigen und sicheren Bereitstellung des Dienstes); soweit die Verarbeitung der Vertragserfüllung dient, zusätzlich Art. 6 Abs. 1 lit. b DSGVO. Auftragsverarbeitung: Mit dem Hosting-Dienstleister besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Beide Server stehen in Deutschland/der EU; ein Drittlandtransfer findet im Rahmen des Hostings nicht statt. Speicherdauer: siehe die jeweilige Verarbeitung sowie Ziffer 19.

5. Server-Logfiles

Beim Aufruf unserer Website erhebt der Edge-Server automatisch Informationen, die Ihr Browser übermittelt. Dies sind insbesondere:

• IP-Adresse (vollständig — sie wird zur Abwehr von Angriffen ausgewertet und automatisch gesperrt; eine gekürzte Adresse wäre dafür wertlos). Aufbewahrung 7 bis 14 Tage, danach automatische Löschung durch die tägliche Rotation,
• Datum und Uhrzeit des Zugriffs,
• aufgerufene Ressource / Statuscode,
• übertragene Datenmenge,
• Referrer (sofern übermittelt) und User-Agent (Browsertyp/-version, Betriebssystem).

Logging-Minimierung (technische Schutzmaßnahme): Unsere Logs enthalten konstruktionsbedingt keine Entschlüsselungsschlüssel, keine URL-Fragmente, keine Einmal-Code und keine Klartext-Inhalte. Das gilt ausdrücklich auch für den Komfort-Modus (Ziffer 6.3): Der dort übermittelte Schlüssel wird ausschließlich flüchtig im Arbeitsspeicher verarbeitet und weder in Zugriffs- noch in Anwendungs-Logs geschrieben.

Zweck: Gewährleistung eines störungsfreien Betriebs, Fehlerdiagnose, IT-Sicherheit und Angriffserkennung. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Betriebssicherheit und Angriffsabwehr). Speicherdauer: Server- und Anwendungs-Logs werden in der Regel innerhalb von 7 bis 14 Tagen automatisch gelöscht oder rotiert, soweit sie nicht zur Aufklärung eines konkreten Sicherheitsvorfalls länger benötigt werden.

6. Kernfunktion: Sicherer Datenaustausch (Inhalt und Anhang)

6.1 Nachrichteninhalt

Verarbeitete Daten: das in Ihrem Browser verschlüsselte Chiffrat der Nachricht. Den Klartext erhalten wir bei Nutzung der Bedienoberfläche nicht. Zweck: verschlüsselte Zwischenspeicherung zur Übermittlung der Nachricht an den von Ihnen bestimmten Empfänger. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des von Ihnen beauftragten Übermittlungsvorgangs). Speicherort: ausschließlich auf dem Vault-Server, zusätzlich at-rest verschlüsselt. Speicherdauer:

• Reine Nachricht (ohne Anhang): Löschung sofort nach erfolgreichem Abruf (Ansicht).
• Wird die Nachricht nicht abgerufen: nach Ablauf der vom Absender gewählten Frist. Voreingestellt sind in Free und Pro 48 Stunden, in Business 7 Tage. In Pro und Business kann der Absender 24, 48 oder 72 Stunden oder längstens 7 Tage wählen.

6.2 Anhänge

Verarbeitete Daten: das in Ihrem Browser verschlüsselte Chiffrat einer optional beigefügten Datei (Free bis 2 MB, Pro bis 50 MB, Business bis 100 MB). Anhänge können personenbezogene Daten Dritter enthalten – jedoch ebenfalls nur als für uns unlesbares Chiffrat. Zweck: verschlüsselte Übermittlung des Dateianhangs. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Speicherort: als verschlüsseltes Datei-Objekt auf dem Vault-Server (nicht in der Datenbank). Speicherdauer (Sonderregel):

• Bei einer Nachricht mit Anhang wird der Anhang beim Abruf gemeinsam mit der Nachricht ausgeliefert; danach liegt er ausschließlich im Browser des Empfängers. Auf unserem Server bleibt er nach dem ersten Abruf noch maximal 10 Minuten, danach wird er endgültig gelöscht. Das ist eine Löschfrist, keine Verfügbarkeitszusage: Die Kopie des Empfängers liegt zu diesem Zeitpunkt bereits in dessen Browser — schließt oder lädt er die Seite neu, ist sie dort weg. Einen zweiten Abruf gibt es nicht.
• Wird der Anhang nicht abgerufen: Löschung nach Ablauf derselben Frist wie die Nachricht (Voreinstellung Free und Pro 48 Stunden, Business 7 Tage; längstens 7 Tage).

Hinweis zur Server-Blindheit: Inhalt und Anhang liegen auf dem Vault-Server ausschließlich als Chiffrat. Technisch erzwungen ist unsere Unkenntnis im Sicherheits-Modus und beim E2E-Passphrase-Postfach. Bei anderen Postfach-Stufen gilt die getrennte, zeitlich begrenzte Verarbeitung nach Ziffer 6.3 c. Die endgültige, zeitgesteuerte Löschung wird durch unseren Janitor-Prozess unabhängig von einem Zugriff erzwungen.

6.3 Versandart und Umgang mit dem Entschlüsselungsschlüssel

Beim Versand über unser Sendeformular wählen Sie vor dem Absenden, auf welchem Weg der Abruf-Link zum Empfänger gelangt. Diese Wahl bestimmt, ob wir den Entschlüsselungsschlüssel überhaupt zu sehen bekommen. Wir stellen die Wege hier bewusst getrennt dar, weil sie unterschiedliche Vertraulichkeitsniveaus gegenüber uns als Anbieter bedeuten. Buchstabe c beschreibt den Sonderfall der Einsendung über ein Empfangs-Postfach; dort bestimmt die vom Inhaber beim Anlegen gewählte Schutzstufe den Schlüssel- und Abrufweg.

a) Sicherheits-Modus („Sicherer"): Bei der Erstellung versenden wir keine Vorab-E-Mail an den Empfänger. Den Abruf-Link einschließlich Schlüssel übermitteln Sie selbst über einen von uns getrennten Kanal (z. B. Messenger, SMS, persönlich). Erst wenn der Empfänger diesen Link öffnet und dort einen Einmal-Code anfordert, senden wir den Code an seine E-Mail-Adresse. Die absendende Person erhält unmittelbar nach der Erstellung eine neutrale Versandbestätigung mit der konkreten Ablaufzeit, jedoch ohne Abruf-Link, Schlüssel oder Nachrichteninhalt. Bei einem angemeldeten Konto geht sie an die Konto-E-Mail-Adresse; bei einem anonymen Versand an die hierfür gesondert angegebene Absenderadresse. Verarbeitete Daten: kein Schlüssel. Der Schlüssel erreicht unsere Server in dieser Versandart zu keinem Zeitpunkt; die Zero-Knowledge-Eigenschaft besteht insoweit uneingeschränkt.

b) Komfort-Modus („Einfach", Voreinstellung): Sie beauftragen uns ausdrücklich damit, den fertigen Abruf-Link einschließlich Schlüssel per E-Mail an den von Ihnen angegebenen Empfänger zu versenden. Verarbeitete Daten: das Schlüsselfragment zum Zusammensetzen des Abruf-Links. Zweck: Ausführung des von Ihnen beauftragten Versands. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des beauftragten Übermittlungsvorgangs). Verarbeitungsort: auf dem Edge-Server ausschließlich flüchtig im Arbeitsspeicher. Den Edge-Server verlässt der Schlüssel nur auf einem einzigen Weg – als Bestandteil des Abruf-Links mit der Benachrichtigungs-E-Mail über den Versandweg nach Ziffer 9 an das Postfach des Empfängers; genau das ist der von Ihnen beauftragte Zweck. Eine Weitergabe an den Vault-Server, auf dem das Chiffrat liegt, findet nicht statt; Chiffrat und Schlüssel werden also zu keinem Zeitpunkt zusammengeführt. Speicherdauer: keine Speicherung – der Schlüssel wird weder in der Datenbank abgelegt noch protokolliert und nach dem Versand der E-Mail verworfen.

c) Einsendung über ein Empfangs-Postfach: Senden Sie über die Postfach-Adresse eines anderen Nutzers (/i/<nutzer-nummer>/<name>), wird Ihr Inhalt stets in Ihrem Browser mit AES-256-GCM verschlüsselt. Zusätzlich von Ihnen eingegebene Angaben zu Absendername und Betreff sind bewusst nicht Teil des verschlüsselten Inhalts: Sie stehen in der Benachrichtigungs-E-Mail an den Inhaber und in dessen Eingangsübersicht (Ziffer 14.2), damit erkennbar ist, von wem und worum es geht. Der Postfach-Inhaber kann festlegen, ob Absendername und/oder Betreff für Einsendungen über dieses Postfach erforderlich sind. Das Formular zeigt die jeweilige Einstellung vor dem Absenden; andernfalls können die Felder leer bleiben. Bei den Stufen Code, Passkey, Code plus Passkey und Code plus zweitem Faktor wird der zufällige Schlüssel als Bestandteil des Benachrichtigungs-Links an den Inhaber versandt. Damit der Inhaber dieselbe Einsendung auch direkt aus seinem angemeldeten Eingang öffnen kann, speichern wir das URL-Fragment zusätzlich AES-256-GCM-verschlüsselt auf dem Edge-Server. Der hierfür verwendete Serverschlüssel liegt root-geschützt außerhalb der Datenbank, getrennt vom Chiffrat auf dem Vault-Server, wird nicht in Protokolle oder Anwendungssicherungen aufgenommen und die Kopie wird nach Abruf, Ablauf oder Ausblenden entfernt. Welche Nachweise zum Öffnen erforderlich sind, richtet sich weiterhin nach der gewählten Stufe; der Dashboard-Knopf umgeht weder Code noch Passkey. Bei der E2E-Passphrase erzeugt der Browser des Inhabers ein Schlüsselpaar; der Einsendende verschlüsselt gegen den öffentlichen Schlüssel, und der private Schlüssel liegt ausschließlich passphrase-verschlüsselt vor. Das Schlüsselfragment erreicht uns in dieser Stufe nicht. Verarbeitete Daten: das Chiffrat, je nach Stufe das verschlüsselt zwischengespeicherte Schlüsselfragment oder öffentliche ECDH-Schlüsseldaten, die E-Mail-Adresse des Postfach-Inhabers sowie gegebenenfalls dessen öffentliche Passkey-Anmeldedaten. Zweck: Zustellung und abgesicherter Abruf der Einsendung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Vorlagen und personalisierte Formulare (Business): Der Postfach-Inhaber kann im Tarif Business bereitgestellte oder selbst erstellte Eingabevorlagen aktivieren. Werte, die eine einsendende Person in Vorlagenfelder einträgt, werden im Browser zu einem Nachrichtenblock zusammengefügt und gemeinsam mit der Nachricht verschlüsselt; sie werden nicht als lesbare Einzelwerte an uns übertragen. Bei eigenen Vorlagen verarbeiten wir als Konfigurationsdaten Bezeichnung, Beschreibung und Anweisung, Platzhalter, Feldbezeichnungen, Feldtypen, Auswahlmöglichkeiten, Pflicht-/Optionalstatus, Erstellungs- und Änderungszeit sowie Aktivierung und Zuordnung zum jeweiligen Postfach. Die Definition speichern wir AES-256-GCM-verschlüsselt in der Kontodatenbank; der hierfür verwendete Schlüssel liegt root-geschützt außerhalb der Datenbank. Weil unser Server eine aktivierte Definition für das öffentliche Formular entschlüsseln und ausliefern muss, schützt dies gegen einen isolierten Datenbankabfluss und ist keine technisch erzwungene Anbieterblindheit. Die für das Formular bestimmten Teile der Konfiguration werden in jedem öffentlichen Postfachformular angezeigt, für das die Vorlage aktiviert ist, und dürfen deshalb keine Geheimnisse oder vertraulichen personenbezogenen Angaben enthalten. Zweck und Rechtsgrundlage: Bereitstellung der vom Kontoinhaber konfigurierten Business-Funktion, Art. 6 Abs. 1 lit. b DSGVO. Speicherdauer: bis zur Löschung der Vorlage, längstens bis zur Löschung des Kontos; Aktivierungs- und Pflichtfeldzuordnungen enden zusätzlich mit der Löschung des jeweiligen Postfachs.

Zusätzlich kann der Inhaber einen zufällig adressierten, widerrufbaren Formular-Link für eine bestimmte Person vorbereiten. Verarbeitete Konfigurationsdaten: interne Bezeichnung, vorausgefüllter Name und vorausgefüllte E-Mail-Adresse, eine persönliche Einleitung, ein neutraler Betreff und die gewählte Vorlage. Diese Vorbelegungen speichern wir AES-256-GCM-verschlüsselt in der Kontodatenbank; der hierfür verwendete Schlüssel liegt root-geschützt außerhalb der Datenbank. Da unser Server die Vorbelegung für die öffentliche Formularseite bereitstellen muss, ist dies ein Schutz gegen einen isolierten Datenbankabfluss und keine technisch erzwungene Anbieterblindheit. Die öffentliche Adresse enthält ausschließlich eine zufällige 128-Bit-Kennung, keine dieser Angaben. Wer den vollständigen persönlichen Link besitzt, kann die dafür vorbereitete Vorbelegung sehen; der Inhaber ist deshalb für die sichere Weitergabe verantwortlich. Zweck und Rechtsgrundlage: Vorbereitung und vereinfachte Durchführung der beauftragten sicheren Übermittlung, Art. 6 Abs. 1 lit. b DSGVO. Speicherdauer: bis zum Widerruf der Personalisierung, zur Löschung des Postfachs oder des Kontos. Beim Absenden gelten für Name, E-Mail-Adresse und Betreff zusätzlich die Hinweise dieser Ziffer sowie Ziffer 9.

Transparenzhinweis zu den Buchstaben b und c: Im Komfort-Modus und bei den Postfach-Stufen ohne eigenes E2E-Schlüsselpaar laufen Schlüssel und Chiffrat – wenn auch zu unterschiedlichen Zwecken und ohne Zusammenführung – durch unsere Systeme. Die Vertraulichkeit gegenüber uns ist dort technisch nicht erzwungen, sondern beruht auf den beschriebenen Maßnahmen: beim Komfort-Modus keine Speicherung und kein Logging; beim Postfach verschlüsselte, getrennte und zeitlich begrenzte Speicherung ohne Aufnahme des Serverschlüssels in die Anwendungssicherung. Bei der E2E-Passphrase ist die Server-Blindheit technisch erzwungen; dafür kann eine vergessene Passphrase nicht zurückgesetzt werden.

6.3.1 Eingebettetes Empfangs-Postfach auf einer Kundenwebsite

Der Inhaber eines Business-Empfangs-Postfachs kann dessen Einsendeformular als iframe auf einer eigenen Website einbinden. Die Einbettung verweist auf eine zufällig erzeugte, widerrufbare Kennung unter /embed/…, die genau einem Empfangs-Postfach zugeordnet ist. Diese Kennung ist öffentlich verwendbar und weder ein Anmeldegeheimnis noch ein Entschlüsselungsschlüssel. Der Postfach-Inhaber hinterlegt außerdem den exakten HTTPS-Ursprung der Website, auf der das Formular erscheinen darf. Technische Browser-Regeln erlauben die Darstellung als eingebettetes Formular nur auf diesem Ursprung; eine Freigabe für beliebige Websites findet nicht statt.

Verarbeitete Daten: die Einbettungskennung, die Zuordnung zum Empfangs-Postfach, der freigegebene HTTPS-Ursprung, gegebenenfalls die zufällige Kennung eines personalisierten Formulars sowie die unter Ziffer 5 beschriebenen technischen Verbindungsdaten. Bereits beim Laden des Formulars baut der Browser der einsendenden Person die hierfür erforderliche Verbindung zu schluesselbot.de auf. Bei einer Einsendung gelten für Inhalt, Anhang und Begleitdaten unverändert Ziffern 6.1, 6.2, 6.3 Buchstabe c und 6.4: Nachricht, Vorlagenwerte und Anhang werden bereits im Browser der einsendenden Person verschlüsselt. Zweck: Bereitstellung des vom Postfach-Inhaber gewünschten Einsendeformulars, eindeutige Zuordnung der Einsendung und Schutz vor unbefugter Einbettung und automatisiertem Missbrauch. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für die Bereitstellung der gebuchten Funktion sowie Art. 6 Abs. 1 lit. f DSGVO für die Ursprungsprüfung und Missbrauchsabwehr. Speicherdauer: Die Konfigurationsdaten und widerrufenen Kennungen bleiben für die Dauer des zugehörigen Empfangs-Postfachs gespeichert, längstens bis zur Löschung des Kontos; die Fristen für Einsendungen und Protokolldaten richten sich nach Ziffern 5, 6 und 19.

Cookiefrei und ohne externe Nachladeressourcen: Das eingebettete Formular setzt und liest keine Cookies und verwendet weder localStorage noch sessionStorage. Es enthält kein Analytics, kein Fingerprinting und lädt keine fremden Schriftarten, Skripte, Captcha-Dienste oder Inhalte von CDNs nach. Der Spam-Schutz besteht ausschließlich aus eigenbetriebenen, datensparsamen Maßnahmen wie einer im Browser gelösten Rechenaufgabe (Proof-of-Work), einem unsichtbaren Köderfeld (Honeypot) und Ratenbegrenzungen. Das eingebettete Formular löst deshalb für sich genommen keine Einwilligung für Cookies oder Tracking aus. Ob die umgebende Kundenwebsite wegen anderer Dienste eine Einwilligungsverwaltung benötigt, beurteilt und verantwortet allein deren Betreiber.

Rollen und Informationspflichten: Der Betreiber der einbettenden Website entscheidet über Zweck und Rechtsgrundlage der Datenerhebung und bleibt dafür Verantwortlicher nach Art. 4 Nr. 7 DSGVO. Er muss die einsendende Person nach Art. 13 DSGVO verständlich informieren, die SchlüsselBot-Einbindung in seinen eigenen Datenschutzhinweisen beschreiben und – soweit erforderlich – eine Rechtsgrundlage nach Art. 6 sowie bei besonderen Kategorien zusätzlich nach Art. 9 DSGVO sicherstellen. Eine bloße Checkbox oder die Einbettung selbst ersetzt diese Prüfung nicht. Im Formular sind die Datenschutzerklärung und das Impressum von SchlüsselBot sichtbar verlinkt. Soweit SchlüsselBot personenbezogene Daten im Auftrag des Kunden verarbeitet, ist der Tarif Business einschließlich Auftragsverarbeitungsvertrag nach Art. 28 DSGVO erforderlich; für Berufsgeheimnisträger gilt ergänzend Ziffer 6.4.

6.4 Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO)

Der Dienst wird ausdrücklich auch für Berufsgruppen angeboten, bei denen der Austausch besondere Kategorien personenbezogener Daten im Sinne des Art. 9 Abs. 1 DSGVO betreffen kann – insbesondere Gesundheitsdaten (Arzt- und Zahnarztpraxen, Therapie, Pflege) sowie mittelbar Daten, aus denen sich religiöse, weltanschauliche oder gewerkschaftliche Überzeugungen oder das Sexualleben ergeben können (Beratungsstellen, Rechtsanwaltskanzleien). Wir stellen deshalb klar:

• Rollenverteilung. Setzen Sie SchlüsselBot beruflich oder geschäftlich ein, um Daten Ihrer Patientinnen, Mandanten, Bewerber oder Beschäftigten zu übermitteln, sind Sie die verantwortliche Stelle im Sinne des Art. 4 Nr. 7 DSGVO; wir handeln als Auftragsverarbeiter nach Art. 28 DSGVO. Ob eine Verarbeitung besonderer Kategorien zulässig ist, richtet sich damit nach einem Erlaubnistatbestand in Ihrer Sphäre (etwa Art. 9 Abs. 2 lit. a, h oder f DSGVO, § 22 BDSG). Wir prüfen das nicht und können es nicht prüfen.
• Auftragsverarbeitungsvertrag ist Voraussetzung. Für diesen Einsatz benötigen Sie einen Vertrag nach Art. 28 Abs. 3 DSGVO. Er ist Bestandteil des Tarifs Business und dort im Konto selbst erzeugbar; in den Tarifen Free und Pro besteht kein solcher Vertrag. Ohne ihn dürfen Sie den Dienst für personenbezogene Daten Dritter nicht beruflich einsetzen.
• Berufsgeheimnisträger, § 203 StGB. Wer einer Schweigepflicht nach § 203 Abs. 1 StGB unterliegt, darf mitwirkende Personen nur unter den Voraussetzungen des § 203 Abs. 3 StGB einbinden. Wir geben dafür im Business-Tarif eine gesonderte Verpflichtungserklärung nach § 203 Abs. 4 StGB ab, die Sie zusammen mit dem Auftragsverarbeitungsvertrag im Konto abrufen können.
• Der Inhalt ist für uns unlesbar – die Begleitdaten nicht. Nachricht und Anhang liegen uns ausschließlich als Chiffrat vor (Ziffer 6.1, 6.2). Für uns lesbar sind dagegen (teils unverschlüsselt gespeichert, teils verschlüsselt mit einem Schlüssel, über den wir selbst verfügen): die E-Mail-Adressen von Absender und Empfänger, ein von Ihnen vergebener Betreff, ein Absendername (Ziffer 6.3 Buchstabe c), der Name eines Empfangs-Postfachs sowie öffentlich angezeigte Bezeichnungen, Beschreibungen, Anweisungen, Platzhalter, Feldbezeichnungen und Auswahlmöglichkeiten eigener Vorlagen. Diese Angaben können für sich genommen bereits Daten nach Art. 9 DSGVO darstellen. Wir empfehlen deshalb ausdrücklich, dort keine Angaben zu Diagnose, Behandlung, Verfahrensgegenstand oder Beratungsanlass aufzunehmen – ein neutraler Betreff („Unterlagen", „Belege") genügt, weil der Inhalt ohnehin verschlüsselt übertragen wird. Absendername und Betreff können je nach Konfiguration optional oder erforderlich sein; der Postfachname ist stets Bestandteil der öffentlichen Adresse.
• Kein Profiling, keine Auswertung. Eine Auswertung, Kategorisierung oder automatisierte Entscheidungsfindung anhand von Inhalten findet nicht statt und ist uns technisch nicht möglich (Ziffer 2, Ziffer 20.1).
• Löschung. Für besondere Kategorien gelten keine längeren, sondern dieselben kurzen Fristen wie für alle Inhalte (Ziffer 6.1, 6.2, Ziffer 19); nach dem Abruf wird sofort gelöscht.

7. Empfänger-E-Mail-Adresse (Pflichtangabe)

Verarbeitete Daten: die von Ihnen angegebene E-Mail-Adresse des Empfängers. Zweck: Im Komfort-Modus Zustellung des Abruf-Links und, nach Anforderung durch den Empfänger, des Einmal-Codes; im Sicherheits-Modus ausschließlich Zustellung des Einmal-Codes, nachdem der Empfänger den anderweitig erhaltenen Link geöffnet und den Code selbst angefordert hat. Bei der Erstellung einer Sendung im Sicherheits-Modus erhält der Empfänger keine E-Mail von uns. Die Empfänger-Adresse ist konstitutiv für die Leistung: Ohne sie kann der von Ihnen beauftragte Übermittlungsvorgang nicht durchgeführt werden. Rechtsgrundlage: gegenüber der absendenden Person Art. 6 Abs. 1 lit. b DSGVO (Durchführung des beauftragten Übermittlungsvorgangs); gegenüber der Empfängerin oder dem Empfänger, die selbst nicht Vertragspartei sind, Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Zustellung der ihnen zugedachten Nachricht und an der sicheren Zugangskontrolle). Gegen diese Verarbeitung steht Ihnen das Widerspruchsrecht nach Art. 21 DSGVO zu (Ziffer 21); eine Nachricht an unsere Missbrauchsadresse genügt, danach stellen wir Ihnen dauerhaft nichts mehr zu. Speicherdauer: bis zur Zustellung/zum Abruf, längstens jedoch bis zum Ablauf der vom Absender gewählten Frist (Voreinstellung Free und Pro 48 Stunden, Business 7 Tage; längstens 7 Tage) bei nicht abgerufenem Secret; nach erfolgreichem Abruf wird sie gemeinsam mit dem Secret gelöscht (bei Anhang nach Ablauf des 10-Minuten-Fensters). Zweckbindung: Es findet keine Anlage von Verteilern, keine Verwendung zu Werbezwecken und keine Wiederverwendung zu anderen als den hier genannten Zwecken statt. Ausnahme Zustell-Sperrliste: Weist der Mailserver des Empfängers eine Adresse ausdrücklich als nicht existent zurück (SMTP-Code 5.1.x) oder geht eine Missbrauchsbeschwerde ein, vermerken wir die Adresse zusammen mit Grund und Zeitpunkt in einer Sperrliste und stellen ihr nichts mehr zu. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Zustellfähigkeit unseres Mailservers und am Schutz Dritter vor unerwünschten Zustellungen). Speicherdauer: 180 Tage (nur Einträge aus Zustellfehlern; ein Widerspruch nach Art. 21 DSGVO bleibt unbefristet gespeichert, weil wir ihn sonst nicht dauerhaft beachten könnten, Art. 17 Abs. 3 lit. e DSGVO). Eine Streichung von der Sperrliste ist über die im Impressum genannte Adresse jederzeit möglich.

Wenn der Absender einen Zustellnachweis anfordert, enthält dieser die ursprüngliche Empfängeradresse, die Vorgangskennung und den Abrufzeitpunkt. Er wird ausschließlich an die vom Absender angegebene Nachweisadresse gesendet und enthält weder Nachrichteninhalte noch Schlüssel. Die Empfängeradresse dient dabei der eindeutigen Zuordnung der Sendung; die serverseitigen Löschfristen bleiben unverändert.

8. Absender-E-Mail-Adresse

Im Komfort-Modus ist die Angabe einer Absender-E-Mail-Adresse freiwillig und nur erforderlich, wenn Sie einen Zustellnachweis wünschen. Im Sicherheits-Modus ist eine Absenderadresse für die Versandbestätigung erforderlich: Bei einem angemeldeten Konto verwenden wir die bestätigte Konto-E-Mail-Adresse; beim anonymen Versand geben Sie die Adresse hierfür gesondert an.

Zweck: Im Sicherheits-Modus senden wir eine neutrale Bestätigung über die erfolgreiche Erstellung und die konkrete Ablaufzeit. Sie enthält weder Abruf-Link noch Schlüssel oder Nachrichteninhalt. Nur wenn Sie zusätzlich einen Zustellnachweis wählen, benachrichtigen wir diese Adresse später auch über den Abruf. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des gewählten Übermittlungsvorgangs). Speicherdauer: Eine ausschließlich für die Versandbestätigung eingegebene anonyme Adresse wird nicht in den Nachrichtendatensatz übernommen; technische Versandprotokolle unterliegen den Fristen nach Ziffern 5 und 9. Eine für den optionalen Zustellnachweis verwendete Adresse wird gemeinsam mit dem zugehörigen Secret gelöscht (sofort bei Abruf bzw. mit Ablauf der gewählten Frist, Voreinstellung Free und Pro 48 Stunden, Business 7 Tage; längstens 7 Tage). Für die Konto-E-Mail-Adresse gelten die Fristen für das Kundenkonto.

9. Versand der Benachrichtigungs- und Code-E-Mails

Welche E-Mails wir versenden, richtet sich nach der gewählten Versandart:

• Komfort-Modus („Einfach"): Der Empfänger erhält bei der Erstellung eine neutrale Benachrichtigungs-E-Mail mit dem Abruf-Link und später, wenn er ihn anfordert, den Einmal-Code.
• Sicherheits-Modus („Sicherer"): Der Empfänger erhält bei der Erstellung keine E-Mail. Nachdem er den vom Absender selbst übermittelten Link geöffnet und einen Code angefordert hat, senden wir ihm ausschließlich den Einmal-Code. Der Absender erhält stattdessen die unter Ziffer 8 beschriebene neutrale Versandbestätigung mit Ablaufzeit.
• Inhalt der Empfänger-Benachrichtigung: Der eigentliche Nachrichteninhalt liegt niemals in der E-Mail, sondern ausschließlich verschlüsselt hinter dem Abruf-Link. Soweit eine Empfänger-Benachrichtigung versendet wird, kann sie zwei vom Absender frei wählbare Angaben enthalten: einen Absendernamen (je nach Versandweg bis 60 beziehungsweise 80 Zeichen, erscheint im Betreff und auf der Abrufseite) und eine kurze persönliche Nachricht (bis 500 Zeichen, erscheint im Text der E-Mail). Beide dürfen leer bleiben. Zweck: Der Empfänger soll erkennen können, von wem und worum es geht; ohne diese Angabe wirkt eine Benachrichtigung wie ein Phishing-Versuch. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO gegenüber dem Absender, Art. 6 Abs. 1 lit. f DSGVO gegenüber dem Empfänger. Speicherdauer: Der Absendername wird bis zum Abruf, Rückzug oder Ablauf der zugehörigen Nachricht gespeichert und dann aus dem Versandprotokoll entfernt. Die persönliche Nachricht wird nicht in diesem Protokoll gespeichert. Ein automatischer Filter entfernt aus beiden Feldern Internet- und E-Mail-Adressen, damit die Benachrichtigung nicht als Träger fremder Verweise missbraucht werden kann; eine inhaltliche Prüfung findet nicht statt. Für Einsendungen über Empfangs-Postfächer enthält die Benachrichtigung statt der persönlichen Nachricht einen Betreff (bis 80 Zeichen); Absendername und Betreff können vom Inhaber als erforderlich oder optional konfiguriert werden (Ziffer 6.3 Buchstabe c). Für die Programmierschnittstelle und MCP-Anbindung im Business-Tarif gelten dieselben Regeln.
• Verarbeitete Daten: Empfänger-E-Mail-Adresse und – je nach Versandart – Abruf-Link bzw. Einmal-Code sowie im Sicherheits-Modus die Absenderadresse und Ablaufzeit für die Versandbestätigung. Im Komfort-Modus („Einfach") sowie bei Postfach-Stufen ohne eigenes E2E-Schlüsselpaar enthält der in der E-Mail versendete Abruf-Link zusätzlich das Schlüsselfragment. Im Sicherheits-Modus („Sicherer") enthält keine von uns versendete E-Mail einen Abruf-Link oder ein Schlüsselfragment.

Zweck: Zustellung von Abruf-Link, Versandbestätigung und Einmal-Code sowie Sicherstellung, dass nur der Inhaber des Empfänger-Postfachs Zugriff auf das Chiffrat erhält. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Übermittlungsvorgangs); hinsichtlich des Einmal-Codes ergänzend Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an sicherer Zustellung und Missbrauchsabwehr). Speicherdauer: Empfänger-Adresse und Code-Bezug werden gemeinsam mit dem Secret gelöscht (siehe Ziffern 6, 7 und 10); für die Absenderadresse gilt Ziffer 8.

Versandweg: Der E-Mail-Versand erfolgt über einen eigenen Mailserver (server.messingerdesign.de), betrieben vom Anbieter in Deutschland. Ein externer Transaktions-Mail-Dienstleister kommt nicht zum Einsatz; es findet insoweit keine Übermittlung an Dritte und kein Drittlandbezug statt.

10. Einmal-Code (Nachweis, dass das Postfach erreichbar ist)

Der Einmal-Code dient dem Nachweis, dass der Empfänger die Kontrolle über das angegebene Postfach hat, und schützt vor unbefugtem Zugriff durch bloße Weiterleitung oder ein Abfangen des Links.

Verarbeitete Daten: der Einmal-Code; serverseitig wird dieser ausschließlich als kryptografischer Hash gespeichert, niemals im Klartext. Zweck: sichere, an das konkrete Secret und den Empfänger gebundene Auslieferung des Chiffrats; Schutz vor Link-Leaks, Weiterleitungen und automatisierten Angriffen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bestandteil der sicheren Zustellung) i. V. m. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Sicherheit und Missbrauchsabwehr). Technische Schutzmaßnahmen (Art. 32 DSGVO): Hash-only-Speicherung, Vergleich in konstanter Zeit (Schutz vor Timing-Angriffen), ausreichende Schlüssellänge, Brute-Force-Schutz durch Rate-Limit und Versuchszähler, Einmalgebrauch, Bindung an das jeweilige Secret. Speicherdauer: gemeinsam mit dem zugehörigen Secret (sofort bei Abruf bzw. mit Ablauf der gewählten Frist, Voreinstellung Free und Pro 48 Stunden, Business 7 Tage; längstens 7 Tage).

11. Sicherheit, Missbrauchsabwehr und Captcha

11.1 IP-Adressen für Rate-Limiting und Abuse-Abwehr

Verarbeitete Daten: IP-Adresse (vollständig, ausschließlich als Zähler-Schlüssel; automatische Löschung nach längstens 24 Stunden) des zugreifenden Geräts, ggf. Zähler zu Versandvorgängen. Zweck: Schutz vor Brute-Force-Angriffen, Spam, Massenversand und Überlastung (DoS); Sicherstellung der Verfügbarkeit und Integrität des Dienstes. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Sicherheit, Verfügbarkeit und Missbrauchsabwehr; vgl. Erwägungsgrund 49 DSGVO). IP-Adressen sind nach der Rechtsprechung des EuGH (Rs. C-582/14, „Breyer") personenbezogen. Interessenabwägung: Das Risiko des Missbrauchs eines anonym nutzbaren Übermittlungsdienstes ist erheblich; die Verarbeitung ist zur Abwehr erforderlich, erfolgt datensparsam: Die Adresse dient nur als Zähler-Schlüssel, wird keinem Konto zugeordnet und nach längstens 24 Stunden gelöscht, kurzlebig und ohne Profilbildung oder Zusammenführung mit Inhalten. Ihre schutzwürdigen Interessen überwiegen daher nicht. Speicherdauer: im Rahmen kurzlebiger Rate-Limit-Fenster (Minuten); zur Korrelation von Missbrauch längstens 24 Stunden, anschließend Löschung.

11.2 Captcha (Bot-Abwehr)

Zum Schutz vor automatisiertem Missbrauch beim Versand setzen wir einen datenschutzfreundlichen, vorzugsweise EU-/selbst gehosteten Schutzmechanismus ein: eine selbst betriebene Rechenaufgabe (Proof-of-Work), die im Browser gelöst wird.

Zweck: Schutz vor automatisiertem Spam-/Massenversand. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Missbrauchsabwehr). Speicherdauer: nur für die Dauer der Validierung der jeweiligen Challenge.

Hinweis: Sollte künftig ein externer Captcha-Anbieter (z. B. Cloudflare Turnstile, hCaptcha) eingesetzt werden, der Daten außerhalb der EU verarbeitet, wird dieser als Auftragsverarbeiter mit Standort und Drittlandgarantien in Ziffer 17 ausgewiesen und – soweit erforderlich – eine Einwilligung eingeholt. Ein externer Captcha-Dienst wird nicht eingebunden; es werden keine Daten an Dritte übermittelt.

12. Reichweitenmessung / Analytics

Nur eigener, geprüfter Programmcode: Für die einwilligungsbasierte Statistik lädt SchlüsselBot ausschließlich das eigene Skript sb-analytics.js von schluesselbot.de. Der Browser baut keine Verbindung zu einem fremden Analyseanbieter und auch keine direkte Verbindung zu meinKI auf. Google Analytics und vergleichbare Drittanbieterdienste kommen nicht zum Einsatz.

Bewusst ausgeschlossene Seiten und Eingaben: Das Skript ist nur auf öffentlichen Informations- und Marketingseiten eingebunden. Es wird insbesondere nicht auf Abrufseiten (/r/…), Empfangs-Postfächern (/i/…), eingebetteten Postfachformularen (/embed/…), Anmelde-, Konto-, Admin-, Zahlungs- und Schnittstellenseiten ausgeführt. Auf der Startseite befindet sich das freiwillige Sendeformular. Der lokal ausgelieferte Analytics-Code liest oder serialisiert dort weder Eingabefelder noch Dateien; zusätzlich kann der Serverendpunkt solche Felder aufgrund seiner geschlossenen Positivliste technisch nicht annehmen.

12.1 Interne Tagesstatistik und Nutzung des Dienstes

Für die interne Betriebsübersicht bildet SchlüsselBot zusätzlich eine bewusst grobe Tagesstatistik. Dafür werden die bereits unter Ziffer 5 beschriebenen Server-Logs ausgewertet; es wird keine weitere Anfrage aus Ihrem Browser ausgelöst, kein Cookie oder Browser-Speicher benutzt und keine zusätzliche Kennung gesetzt. Bekannte Bots und technische Prüfprogramme werden herausgefiltert. IP-Adresse und Browserkennung dienen während des Rechenlaufs ausschließlich dazu, wiederholte Aufrufe am selben Kalendertag nicht mehrfach als Besucher zu zählen. Diese Angaben und auch eine daraus gebildete Prüfsumme bleiben nur im Arbeitsspeicher und werden nicht in die Statistik übernommen. Gespeichert werden ausschließlich Kalendertag, Anzahl der Besucher und Anzahl der Seitenaufrufe. Eine Wiedererkennung über verschiedene Tage hinweg ist damit nicht möglich.

In der Tagesstatistik werden nur öffentliche Informations-, Anmelde- und Registrierungsseiten berücksichtigt. Abrufseiten (/r/…), Empfangs-Postfächer (/i/…), Schnittstellen und der angemeldete Bereich sind ausgeschlossen. Die Summe mehrerer Tage ist deshalb die Summe der jeweiligen Tagesbesucher und keine Zahl eindeutig wiedererkannter Personen.

Außerdem erfasst SchlüsselBot bei einer erfolgreich gespeicherten sicheren Sendung ausschließlich Vorgangsart (Direktversand oder Empfangs-Postfach), Anmeldekontext (ohne Anmeldung, aus einem Konto oder bei nicht mehr eindeutig zuordenbaren Altdaten), Größe des bereits verschlüsselten Datenpakets, Anhang ja/nein und Zeitpunkt. Soweit ein Vorgang einem Absenderkonto oder einem Empfangs-Postfach zugeordnet ist, kommt die Konto- beziehungsweise Firmenzuordnung hinzu; nach einer Kontolöschung wird diese Zuordnung entfernt. Der abstrakte Anmeldekontext bleibt für die zusammengefasste Nutzungsstatistik erhalten, identifiziert aber kein Konto und keine Person. Nicht erfasst werden Nachrichteninhalt, Empfängeradresse, Betreff oder Dateiname. Bei einer bestätigten Selbstregistrierung wird lediglich unterschieden, ob sie selbst oder über einen Social-Login erfolgte; Einladungen und vom Betreiber angelegte Konten zählen nicht als Conversion.

Für neu entstehende Sendungen wird außerdem kurzzeitig festgehalten, ob der verschlüsselte Einmalvorgang technisch abgerufen, vor dem Abruf zurückgezogen, sicher verworfen, nicht eindeutig feststellbar oder bis zum Ablauf nicht abgerufen wurde. Gespeichert werden dafür nur eine schlüsselgebundene Prüfsumme der zufälligen Vorgangskennung, Versandart, abstrakter Anmeldekontext, Erstellungs- und Ablaufzeit, Zustand sowie gegebenenfalls der genaue technische Abruf- und Abschlusszeitpunkt. Die getrennte Prüfsumme verhindert einen unmittelbaren Datenbank-Abgleich über die Vorgangskennung. Zeit und Vorgangsart können bei geringem Volumen trotzdem eine statistische Zuordnung zu einem Nutzungsereignis nahelegen. Deshalb wird dieser Zustand nur kurz gespeichert und im Admin-Bereich ausschließlich als Tagessumme ausgegeben. Diese Auswertung enthält keine Empfängeradresse, keine Konto- oder Firmenkennung und keine Inhalte. Ein technischer Abruf belegt die erfolgreiche Auslieferung des Chiffrats, nicht, dass eine Person den Inhalt tatsächlich gelesen oder verstanden hat. Für Sendungen vor Beginn dieser Erfassung werden keine Werte nachträglich geschätzt.

Zweck: tägliche Reichweiten-, Nutzungs- und Conversion-Auswertung, Kapazitätsplanung sowie Verbesserung der Zustellzuverlässigkeit des Dienstes. Die Conversion ist eine rein statistische Gegenüberstellung der Tagessummen; SchlüsselBot verfolgt nicht, welche konkrete Person später eine Nachricht versendet oder ein Konto anlegt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an datensparsamer Erfolgsmessung und wirtschaftlichem, sicherem Betrieb); bei kontobezogenen Nutzungsereignissen zusätzlich Art. 6 Abs. 1 lit. b DSGVO zur Bereitstellung und Abrechnung des gebuchten Tarifs. Speicherdauer: aggregierte Tageswerte und inhaltsfreie Nutzungsereignisse werden nach 25 Monaten automatisch gelöscht. Der kurzlebige Abrufzustand wird beim Direktversand 30 Tage nach Ablauf und bei Postfach-Einsendungen bereits 30 Tage nach Eingang gelöscht. Damit sind Vergleiche über zwei vollständige Jahre möglich, ohne eine unbegrenzte Nutzungshistorie zu führen. Die zugrunde liegenden Server-Logs werden unabhängig davon bereits nach 7 bis 14 Tagen gelöscht.

12.2 Erweiterte Statistik mit meinKI — nur nach Einwilligung

Wenn Sie im Hinweis ausdrücklich zustimmen, sendet das lokale Skript Messereignisse ausschließlich an eine Adresse auf schluesselbot.de (Same-Origin). Dort verwirft eine geschlossene serverseitige Positivliste alle unbekannten Felder und ordnet die Angaben festen Kategorien zu. Erst anschließend leitet der SchlüsselBot-Server den minimierten Datensatz über eine private, verschlüsselte WireGuard-Verbindung an die eigene meinKI-Instanz des Verantwortlichen weiter. Browser und meinKI sind dadurch voneinander getrennt; Analyse-Adresse und Zugangsschlüssel bleiben serverseitig. Es findet keine Übermittlung an ein anderes Unternehmen und kein Drittlandtransfer statt.

Übermittelt werden ausschließlich: eine feste, grobe Seitenkategorie, Sprache Deutsch oder Englisch, grobe Bildschirmgrößenklasse, grobe Verweildauerstufe, Scrollstufe (0, 25, 50, 75 oder 100 Prozent) und fest vorgegebene Ereigniskategorien. Bei Ereignissen wird nur unterschieden zwischen einem Verweis auf eine ausgewählte seriöse Quelle, einer Download-Kategorie und der erfolgreichen Nutzung des kostenlosen sicheren Versands. Für die Zuordnung innerhalb eines geöffneten Browser-Tabs wird nach Ihrer Zustimmung eine zufällige Sitzungskennung erzeugt.

Nicht an meinKI übermittelt werden: Formularwerte, Nachrichten, Dateien, E-Mail-Adressen, rohe oder vom Browser gelesene Internetadressen, Query-Parameter, URL-Fragmente, Referrer, vom Browser gelesene Seitentitel, Linktexte, Dateinamen, Konto- oder Firmenkennungen, Ihre IP-Adresse oder der User-Agent Ihres Browsers. Zur technischen Kompatibilität mit meinKI bildet der Server die erlaubte Seitenkategorie ausschließlich auf ein festes URL- und Titelkennzeichen ab; diese Kennzeichen enthalten keine Adresse, Parameter oder Überschrift aus dem Browser. Auch aus der Kategorie „sicherer Versand erfolgreich“ ist weder Empfänger noch Inhalt, Größe, Anhang oder Konto erkennbar. Die IP-Adresse erreicht technisch den SchlüsselBot-Endpunkt, wird dort für die Missbrauchsbegrenzung sofort durch eine schlüsselbasierte Prüfsumme ersetzt und höchstens 24 Stunden in einer von Login und Versand getrennten Limiter-Datenbank gehalten. SchlüsselBot leitet weder Adresse noch Prüfsumme an meinKI weiter. Für diesen Endpunkt ist außerdem das Zugriffsprotokoll deaktiviert.

Zweck: zu verstehen, welche öffentlichen Inhalte hilfreich sind, wo die Bedienung verbessert werden kann und wie häufig der kostenlose sichere Versand genutzt wird. Rechtsgrundlage: Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 25 Abs. 1 TDDDG. Die Einwilligung ist freiwillig und kann jederzeit mit Wirkung für die Zukunft über „Datenschutz-Einstellungen“ im Fußbereich widerrufen werden; die Nutzung von SchlüsselBot bleibt ohne Einwilligung uneingeschränkt möglich.

Speicherdauer: Einzelne Aufrufe und Ereignisse werden in meinKI nach 13 Monaten automatisch gelöscht; danach bleiben ausschließlich aggregierte Monatswerte ohne Personenbezug bestehen. Angaben zu gerade aktiven Besuchen werden bereits 15 Minuten nach dem letzten Signal entfernt. Die zufällige Sitzungskennung liegt nur im Sitzungsspeicher des Browsers und verfällt beim Schließen des Tabs.

13. Cookies, lokaler Speicher und Einwilligungsverwaltung

SchlüsselBot setzt für die Statistik keine Cookies. Wenn Sie der erweiterten Statistik zustimmen, speichert der Browser die zufällige Sitzungskennung ausschließlich im sessionStorage; sie verfällt beim Schließen des Tabs. Ihre Entscheidung „erlauben“ oder „nicht erlauben“ wird im localStorage gespeichert, damit SchlüsselBot nicht bei jedem Seitenaufruf erneut fragt. Diese Entscheidung bleibt gespeichert, bis Sie sie über „Datenschutz-Einstellungen“ im Fußbereich ändern oder den Website-Speicher im Browser löschen.

Vor Ihrer Zustimmung wird weder eine Statistikkennung gespeichert noch ein Messereignis an meinKI übermittelt. Eine Ablehnung ist genauso einfach wie eine Zustimmung und hat keine Nachteile. Der Widerruf beendet die erweiterte Statistik sofort; die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Technisch notwendige Speichervorgänge für die sichere Kontositzung, die von Ihnen gewählte Sprache und kurzfristige Sicherheitszustände beim Einmal-Abruf dienen ausschließlich der ausdrücklich angeforderten Funktion und sind nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei.

Abweichend davon verwendet das eingebettete Postfachformular unter /embed/… überhaupt keine Cookies und keinen Browser-Speicher. Es enthält außerdem keine Reichweitenmessung oder sonstige Analysefunktion; Einzelheiten stehen in Ziffer 6.3.1.

14. Account und Anmeldung (kostenpflichtige Tarife, optional)

Die Kernnutzung von SchlüsselBot ist ohne Account möglich. Ein Account ist nur für kostenpflichtige Tarife (z. B. höhere Limits, eigene Empfangs-Postfächer, Kontaktverwaltung) erforderlich und vollständig optional.

Wichtig: Ein Account gewährt keinen Zugriff auf verschlüsselte Inhalte. Der Account dient ausschließlich der Verwaltung und der Steuerung von Nutzungslimits; die Architektur des Dienstes bleibt davon unberührt (der Entschlüsselungsschlüssel wird nicht aus Account-Daten abgeleitet und nicht im Account gespeichert; es gilt unverändert die Versandart-Unterscheidung nach Ziffer 6.3).

Verarbeitete Daten: E-Mail-Adresse, Passwort (ausschließlich als Argon2id-Hash gespeichert, niemals im Klartext), bei Aktivierung der Zwei-Faktor-Authentifizierung ein 2FA-Secret bzw. Passkey-Daten, optional eine Profil-/Subject-ID bei Nutzung des Social-Logins (siehe Ziffer 15). Zweck: Bereitstellung und Verwaltung des kostenpflichtigen Accounts (Anmeldung, Verwaltung, höhere Limits, Sicherheit). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Nutzungsvertrags). Technische Schutzmaßnahmen (Art. 32 DSGVO): Passwort-Hashing mit Argon2id, optionale bzw. verpflichtende Zwei-Faktor-Authentifizierung (TOTP/Passkey), widerrufbare Sitzungen. Speicherdauer: für die Dauer des Bestehens des Accounts. Nach Kündigung/Löschung des Accounts werden die Daten gelöscht oder anonymisiert, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen (für abrechnungsrelevante Daten siehe Ziffer 16).

14.1 Zwei-Faktor-Authentifizierung (2FA)

Passkeys (WebAuthn): Bei der Anmeldung mit einem Passkey verbleiben biometrische Merkmale (z. B. Fingerabdruck, Gesichtsdaten) ausschließlich auf Ihrem Endgerät und werden zu keinem Zeitpunkt an uns übertragen. Unser Server speichert lediglich einen öffentlichen Schlüssel sowie eine zufällige Kennung; eine Identifizierung oder Nachverfolgung über andere Dienste hinweg ist damit nicht möglich.

Verarbeitete Daten: TOTP-Secret und/oder Passkey-/WebAuthn-Anmeldedaten, ggf. Argon2id-gehashte Wiederherstellungscodes. Zweck: Absicherung des Account-Zugangs gegen unbefugte Anmeldung und Phishing. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (sichere Vertragsdurchführung) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Kontosicherheit). Speicherdauer: für die Dauer des Accounts bzw. bis zur Deaktivierung der Funktion.

14.2 Adressbuch und Eingangsübersicht im Kundenbereich

Adressbuch und Versandvorgaben: Sie können im angemeldeten Bereich E-Mail-Adressen nebst optionaler Namensangabe hinterlegen, um sie beim Versand auswählen zu können. Zusätzlich können Sie für Ihr Konto einen allgemeinen Versandstandard und für einzelne Kontakte abweichende Vorgaben festlegen: die Aufbewahrungsdauer, den in der Empfänger-Mail angezeigten Absendernamen und ob standardmäßig ein Zustellnachweis an Ihre Konto-Adresse gewünscht ist. Kontaktvorgaben gehen dem Kontostandard vor; im einzelnen Sendeformular können Sie weiterhin sichtbar davon abweichen. Der sicherheitsrelevante Versandmodus und persönliche Nachrichtentexte werden ausdrücklich nicht als automatische Vorgabe gespeichert. Im Business-Tarif kann ein ausdrücklich mit contacts:read oder contacts:write berechtigter API-Schlüssel Namen und E-Mail-Adressen derselben eigenen Kontakte lesen beziehungsweise verwalten; die Komfortvorgaben werden darüber nicht offengelegt. Verarbeitete Daten: die von Ihnen eingegebenen Namen und E-Mail-Adressen sowie gegebenenfalls die genannten Versandvorgaben. Alle diese Angaben werden in der Datenbank mit AES-256-GCM verschlüsselt gespeichert. Namen und Adressen werden nur für Ihre angemeldete Sitzung oder einen von Ihnen ausdrücklich berechtigten API-Aufruf entschlüsselt; die Versandvorgaben ausschließlich für Ihre angemeldete Sitzung. Der dafür verwendete Schlüssel liegt getrennt von Datenbank und Webroot. Die Prüfsumme zur Dublettenerkennung ist geheim schlüsselgebunden und je Konto verschieden, sodass ein Datenbankabzug gleiche Kontakte verschiedener Konten nicht miteinander verknüpfen kann. Zweck: Bedienkomfort beim Versand und vom Kunden gewählte Software-Anbindung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Speicherdauer: Kontaktvorgaben bis zur Löschung des jeweiligen Kontakts, Kontostandards längstens bis zur Löschung des Accounts. Ein Abgleich mit anderen Datenbeständen, eine Anreicherung oder eine Weitergabe an Dritte findet nicht statt.

Eingangsübersicht der Empfangs-Postfächer: Geht über eines Ihrer Empfangs-Postfächer eine Einsendung ein, vermerken wir dazu einen Eintrag in Ihrem Kundenbereich. Verarbeitete Daten: die ohnehin öffentliche Vorgangskennung des Abruf-Links, das betroffene Postfach, der Eingangszeitpunkt, die Angabe, ob ein Anhang enthalten ist, sowie – soweit bei der Einsendung angegeben, unabhängig davon, ob optional oder vom Inhaber als erforderlich konfiguriert – Absendername und Betreff (dieselben Angaben, die auch in der Benachrichtigungs-E-Mail stehen). Bei Postfächern ohne E2E-Passphrase kommt bis Abruf, Ablauf oder Ausblenden die unter Ziffer 6.3 c beschriebene verschlüsselte Kopie des URL-Fragments hinzu. Inhalte werden im Eingang nicht gespeichert. Die Einsendung selbst bleibt verschlüsselt auf dem getrennten Vault-Server; für Postfächer mit eigenem Schlüsselpaar ist uns eine Kenntnisnahme des Inhalts technisch ausgeschlossen. Zweck: Übersicht und direkter, weiterhin durch die gewählte Schutzstufe abgesicherter Abruf unabhängig von der Benachrichtigungs-E-Mail. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Speicherdauer: Metadaten 30 Tage ab Eingang; die verschlüsselte Fragmentkopie nur bis Abruf, Ablauf oder Ausblenden, bei nicht abgerufenen Einsendungen also höchstens 7 Tage. Die Einsendung selbst wird davon unabhängig nach Ziffer 6 gelöscht.

15. Social-Login (optional)

Sofern angeboten und von Ihnen gewählt, können Sie sich optional über einen externen Identitätsanbieter (Identity Provider, IdP) registrieren und anmelden. Die Nutzung ist strikt freiwillig (Opt-in) und betrifft nicht die Kernnutzung ohne Konto des Dienstes. Es werden nur die zur Anmeldung erforderlichen Profildaten (in der Regel E-Mail-Adresse und eine Subject-ID) verarbeitet.

Gemeinsamer Rechtsrahmen für alle Social-Logins: Zweck: schnelle Account-Erstellung und Anmeldung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Account-Vertrags) sowie Art. 6 Abs. 1 lit. a DSGVO (Einwilligung in die Einbindung des jeweiligen Anbieters). Die Einwilligung ist jederzeit mit Wirkung für die Zukunft widerrufbar. Drittlandtransfer: Die nachfolgend genannten Anbieter sind in den USA ansässig bzw. verarbeiten Daten in den USA. Es findet insoweit ein Drittlandtransfer statt. Grundlage des Transfers ist – soweit der jeweilige Anbieter zertifiziert ist – das EU-US Data Privacy Framework (DPF) gemäß Angemessenheitsbeschluss der EU-Kommission, andernfalls Standardvertragsklauseln (SCC) nach Art. 46 Abs. 2 lit. c DSGVO nebst ergänzenden Garantien. Technischer Hinweis: Der für die Entschlüsselung erforderliche Schlüssel hängt zu keinem Zeitpunkt vom Identitätsanbieter ab; das Sicherheitsversprechen des Dienstes bleibt unberührt.

15.1 Microsoft-Login

Anbieter: Microsoft Corporation, One Microsoft Way, Redmond, WA 98052, USA. Drittlandtransfer USA auf Grundlage von DPF/SCC (siehe oben). Datenschutzhinweise: https://privacy.microsoft.com/de-de/privacystatement.

15.2 Google-Login

Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, bzw. Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA. Drittlandtransfer USA auf Grundlage von DPF/SCC (siehe oben). Datenschutzhinweise: https://policies.google.com/privacy.

15.3 Apple-Login

Anbieter: Apple Inc., One Apple Park Way, Cupertino, CA 95014, USA. Drittlandtransfer USA auf Grundlage von DPF/SCC (siehe oben). Datenschutzhinweise: https://www.apple.com/legal/privacy/de-ww/.

Hinweis: Welche der vorgenannten Anmeldeoptionen tatsächlich angeboten werden, kann variieren. Nicht angebotene Optionen lösen keine Verarbeitung aus. Stand heute ist die Anmeldung über Microsoft, Google und Apple abgeschaltet — die Schaltflächen auf der Anmeldeseite sind ausgegraut. Es findet keine Übermittlung an diese Anbieter statt. Dieser Abschnitt gilt erst ab dem Zeitpunkt, an dem die Funktion freigeschaltet wird.

16. Zahlungsabwicklung (kostenpflichtige Tarife)

Die Bezahlung kostenpflichtiger Tarife wickelt die PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg ab. PayPal ist reiner Zahlungsdienstleister. Vertragspartner, Rechnungssteller und Schuldner der Umsatzsteuer bleibt die MessingerDesign GbR; Rechnung und Umsatzsteuerausweis kommen von uns. An PayPal übermitteln wir die für die Zahlung erforderlichen Daten (Betrag, Abo-Kennung, E-Mail-Adresse). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Verarbeiteter Datenbestand bei SchlüsselBot: abrechnungsrelevante Stammdaten (z. B. Name, Rechnungsanschrift, gebuchter Tarif, beantragte und wirksame Platzänderungen, Transaktions-/Rechnungsreferenz) – keine vollständigen Zahlungsmitteldaten. Zweck: Abwicklung und Abrechnung des kostenpflichtigen Abonnements sowie Erfüllung steuer- und handelsrechtlicher Pflichten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung) sowie Art. 6 Abs. 1 lit. c DSGVO (Erfüllung gesetzlicher Aufbewahrungspflichten). Buchhaltung: SchlüsselBot übermittelt Kundenname, Rechnungsanschrift, E-Mail-Adresse, Beleg-, Steuer- und Transaktionsdaten an Lexware Office (Haufe-Lexware GmbH & Co. KG, Freiburg), damit Rechnungen und Rechnungskorrekturen in der Finanzbuchhaltung erfasst und aufbewahrt werden. Nachrichteninhalte, Anhänge, Kontakte und Postfachdaten werden nicht an Lexware Office übertragen. Drittlandtransfer: Die Zahlungsabwicklung erfolgt über PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg. PayPal kann im Rahmen seiner Konzernstruktur Daten in Drittländern verarbeiten. Lexware Office wird auf Grundlage eines Vertrags zur Auftragsverarbeitung eingesetzt und nutzt die in Ziffer 17 genannten Unterauftragsverarbeiter; für einen möglichen Drittlandzugriff gelten die dort ausgewiesenen Garantien. Speicherdauer: Rechnungs- und Buchungsdaten werden entsprechend den gesetzlichen Aufbewahrungsfristen 8 Jahre gespeichert (§ 147 Abs. 3 AO, § 257 Abs. 4 HGB, § 14b Abs. 1 UStG; Handelsbücher, Inventare und Jahresabschlüsse: 10 Jahre). Die übrigen Account-Daten werden nach Ziffer 14 gelöscht.

Ortsnachweis bei Rechnungsadressen außerhalb der EU: Damit SchlüsselBot den steuerlichen Leistungsort nicht allein aus einem frei wählbaren Länderfeld ableitet, gleicht SchlüsselBot das Land der vollständigen Rechnungsanschrift mit dem Herkunftsland der beim Checkout verwendeten IP-Adresse ab. Die Geolokalisierung erfolgt ausschließlich lokal auf dem SchlüsselBot-Server; die IP-Adresse wird dafür nicht an einen Geolokalisierungsdienst übertragen. Im Steuerbeleg wird die IP mit einem getrennt aufbewahrten Schlüssel verschlüsselt und zusammen mit den beiden Länderkennungen, Zeitpunkt, Datenbankversion und einer Manipulationsschutz-Signatur gespeichert. Stimmen die beiden Länder nicht überein oder fehlt ein Nachweis, erfolgt keine automatische steuerfreie Drittland-Abrechnung. Zweck und Rechtsgrundlage: Ermittlung und Nachweis des steuerlichen Leistungsorts, Art. 6 Abs. 1 lit. c DSGVO i. V. m. Art. 24b und Art. 24f der Durchführungsverordnung (EU) Nr. 282/2011. Speicherdauer: zusammen mit dem Rechnungsbeleg 8 Jahre. Verwendete Geodaten: IP Geolocation by DB-IP (Country Lite, CC BY 4.0; lokale Monatsdatei).

17. Auftragsverarbeiter und Empfänger (Art. 28 DSGVO)

Wir setzen sorgfältig ausgewählte Dienstleister ein, die personenbezogene Daten ausschließlich nach unserer Weisung und auf Grundlage eines Vertrags zur Auftragsverarbeitung nach Art. 28 DSGVO verarbeiten. Eine Übermittlung an andere Empfänger erfolgt nur, soweit dies zur Leistungserbringung erforderlich ist oder eine gesetzliche Grundlage besteht.

Der kostenlose Kerndienst läuft ausschließlich innerhalb der EU und ohne Drittlandtransfer. Bei kostenpflichtigen Tarifen können Drittlandverarbeitungen entstehen, soweit PayPal konzernintern Daten übermittelt oder ein vertraglich zugelassener Unterauftragsverarbeiter von Lexware Office Supportzugriff erhält. Nachrichteninhalte werden an keinen dieser Anbieter übertragen. Der optionale Social-Login ist derzeit abgeschaltet.

Die eingesetzten Auftragsverarbeiter und weiteren Empfänger sind netcup GmbH (Serverinfrastruktur, Deutschland), CrowdSec SAS (Angriffserkennung, Frankreich), PayPal (Europe) S.à r.l. et Cie, S.C.A. (Zahlungsabwicklung, Luxemburg) und Haufe-Lexware GmbH & Co. KG mit Lexware Office (Finanzbuchhaltung, Deutschland). Sie sind in der Tabelle oben mit Zweck und Standort aufgeführt. meinKI ist keine externe Empfängerin, sondern eine eigene Instanz desselben Verantwortlichen.

18. Drittlandübermittlung – allgemeine Hinweise

Soweit wir – wie in dieser Erklärung im Einzelnen ausgewiesen – Daten an Empfänger in einem Drittland (insbesondere die USA) übermitteln, geschieht dies nur

• auf Grundlage eines Angemessenheitsbeschlusses der EU-Kommission, insbesondere des EU-US Data Privacy Framework (DPF), soweit der jeweilige Empfänger zertifiziert ist, oder
• auf Grundlage geeigneter Garantien gemäß Art. 46 DSGVO, insbesondere der von der EU-Kommission erlassenen Standardvertragsklauseln (SCC), ergänzt um eine Bewertung der Wirksamkeit zusätzlicher Schutzmaßnahmen (Transfer Impact Assessment).

Eine Kopie der jeweiligen Garantien können Sie beim Verantwortlichen anfordern.

19. Speicherdauern im Überblick

Vorbemerkung zu Sicherungen. Die folgenden Fristen gelten für den laufenden Betrieb. Zusätzlich werden die Systeme täglich gesichert, damit der Dienst nach einem Ausfall wiederhergestellt werden kann. In diesen Sicherungen kann ein bereits gelöschter Datensatz noch bis zum Ablauf der Sicherungsfrist enthalten sein (täglich 7, wöchentlich 4, monatlich 12 Generationen). Die Sicherungen sind verschlüsselt und liegen auf einem eigenen, nicht öffentlich erreichbaren System. Nachrichteninhalte bleiben darin unlesbar — der Schlüssel dazu wird nirgends gespeichert. Begleitangaben (insbesondere Absender- und Empfängeradresse) sind zwar ebenfalls verschlüsselt, das dafür nötige Schlüsselmaterial liegt aber im selben Sicherungssatz. Ein Löschverlangen nach Art. 17 DSGVO wird im laufenden Betrieb sofort umgesetzt; die Sicherungen laufen anschließend turnusmäßig aus.

Die kurzen Löschfristen werden durch einen zeitgesteuerten, automatisierten Löschprozess (Janitor) technisch erzwungen und sind nicht von einem Abruf abhängig.

19a. Weitere Verarbeitungen im Konto (Stand August 2026)

Die folgenden Funktionen sind nach der ersten Fassung dieser Erklärung hinzugekommen. Sie werden hier vollständig aufgeführt, damit die Erklärung dem tatsächlichen Stand entspricht.

a) Schutzprotokoll fehlgeschlagener Anmeldungen

Bei jedem fehlgeschlagenen Anmelde-, Bestätigungs- oder Abrufversuch speichern wir Zeitpunkt, Art des Ereignisses und die IP-Adresse in einer eigenen Protokolldatei. Sie dient dazu, wiederholte automatisierte Angriffe auf Netzebene zu sperren. Eingesetzt werden dafür fail2ban (rein lokal, wertet nur diese Datei mit den Fehlversuchen aus) und CrowdSec, das zusätzlich das allgemeine Zugriffsprotokoll auswertet und erkannte Angriffsmuster an das Gemeinschaftsnetz des Anbieters übermittelt — dazu Ziffer 17.

Zweck: Abwehr von Angriffen auf Konten und auf die Verfügbarkeit des Dienstes. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Speicherdauer: 7 Tage, danach automatische Löschung durch tägliche Rotation. Eine Netzsperre wird nach einer Stunde automatisch aufgehoben.

b) Schnittstellen- und MCP-Schlüssel (API/MCP)

Im Business-Tarif lassen sich Schlüssel für die Programmierschnittstelle erzeugen. Gespeichert werden eine frei wählbare Bezeichnung, ein nicht geheimes Namenskürzel, eine Prüfsumme des Schlüssels (nie der Schlüssel selbst), seine einzeln vergebenen Berechtigungen, optional freigegebene Browser-Ursprünge (HTTPS-Origins), der Zeitpunkt der Erstellung, der Zeitpunkt der letzten Nutzung sowie ein etwaiger Widerruf.

Zusätzlich können Sie eine befristete MCP-Verbindung für Claude, ChatGPT oder einen anderen von Ihnen gewählten MCP-Client anlegen. Gespeichert werden auch hier nur Bezeichnung, nicht geheimes Kürzel, Prüfsumme, fest begrenzte Berechtigungen, Erstellung, Ablauf, letzte Nutzung und ein etwaiger Widerruf. Der einmalig angezeigte Verbindungslink enthält das vollständige Geheimnis und ist wie ein Passwort zu behandeln. SchlüsselBot entfernt dieses Geheimnis aus seinen Webserver-Protokollen. MCP kann keine Postfachinhalte oder empfangenen Nachrichten lesen, keine Kontakte verändern und keine Dateien anhängen.

Datentransfer an den von Ihnen gewählten KI-Anbieter: Wenn Sie den MCP-Server über einen KI-Assistenten benutzen, verarbeitet dieser Anbieter Ihre Eingabe und die vom Werkzeug zurückgegebenen Daten. Bei einer Kontaktsuche können dies Namen und E-Mail-Adressen aus Ihrem eigenen Adressbuch sein. Beim MCP-Komfortversand sieht der KI-Anbieter den Nachrichtentext; anschließend erreicht der Text SchlüsselBot kurzzeitig lesbar, wird im Arbeitsspeicher verschlüsselt und nicht im Klartext gespeichert. Dieser Weg ist daher nicht Zero-Knowledge. SchlüsselBot übermittelt die Daten nicht von sich aus an einen KI-Anbieter: Sie wählen und verbinden den Client selbst. Prüfen Sie vor der Nutzung, ob Sie dem jeweiligen Anbieter die betroffenen Daten übermitteln dürfen. Für technisch anbieterblinden Versand verwenden Sie den Browserweg und geben keinen Klartext an einen KI-Assistenten.

Für sicher wiederholbare Versandaufrufe kann die Kundensoftware einen Idempotency-Key übermitteln. SchlüsselBot speichert diese Kennung, eine schlüsselgebundene und nicht allein mit der Datenbank überprüfbare Prüfsumme des Anfrageinhalts, Bearbeitungszustand und Antwort für höchstens 24 Stunden. Die Antwort kann einen einmaligen Abruf-Link enthalten und wird deshalb mit einem außerhalb der Datenbank liegenden Schlüssel authentifiziert verschlüsselt. Der Anfrageinhalt selbst wird nicht gespeichert.

Zweck: Authentifizierung von Anfragen aus eigener Software oder einem vom Kunden verbundenen MCP-Client, Beschränkung auf erforderliche Funktionen, sichere Browser-Anbindung und Verhinderung doppelter Sendungen bei Netzfehlern. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Speicherdauer: Metadaten klassischer API-Schlüssel bis zum Widerruf bzw. bis zur Löschung des Kontos; Metadaten befristeter MCP-Verbindungen bis 30 Tage nach Ablauf oder Widerruf, längstens bis zur Kontolöschung; Wiederholungsdaten höchstens 24 Stunden.

c) Webhooks — Übermittlung an ein vom Kunden bestimmtes System

Kunden im Business-Tarif können eine eigene Internetadresse hinterlegen, an die SchlüsselBot Mitteilungen zu Erstellung, Abruf, Rücknahme, Ablauf oder fehlgeschlagener E-Mail-Zustellung sendet. Übermittelt werden dabei Ereignis- und Vorgangsnummer, Zeitpunkt, Zustellstatus und die Angabe, ob ein Anhang enthalten war — keine Inhalte und keine Empfänger- oder Kontaktadressen. Die Zustellung ist mit einem Geheimnis signiert und erfolgt ausschließlich an über das öffentliche Internet erreichbare https-Adressen. Das Signaturgeheimnis liegt bei SchlüsselBot mit einem außerhalb der Datenbank gespeicherten Schlüssel authentifiziert verschlüsselt vor.

Damit ein kurz ausgefallenes Zielsystem kein Ereignis verliert, wird jede Zustellung vor dem ersten Netzwerkaufruf in einer Warteschlange gespeichert und kontrolliert wiederholt. Gespeichert werden Ereignistyp und -kennung, inhaltsfreier JSON-Rumpf, Versuchszähler, nächste Versuchzeit, Antwortstatus und Fehlertext.

Empfänger: das vom Kunden benannte Zielsystem. Der Kunde bestimmt es selbst und ist für dessen Datenschutzkonformität verantwortlich. Zweck: zuverlässige Anbindung an eigene Software des Kunden. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Speicherdauer: Zieladresse und verschlüsseltes Signaturgeheimnis bis zur Löschung des Webhooks bzw. des Kontos; abgeschlossene oder endgültig fehlgeschlagene Zustellprotokolle höchstens 30 Tage.

d) Team-Mitgliedschaften im Business-Tarif

Ein Business-Konto kann weitere Konten als Mitglieder aufnehmen. Der Gruppen-Admin sieht von jedem Mitglied E-Mail-Adresse, Name, Beitrittsdatum und den Zeitpunkt der letzten Anmeldung — niemals Nachrichten, Postfächer oder Kontakte der Mitglieder. Offene Einladungen werden mit Zieladresse und Ablaufdatum gespeichert.

Zweck: Verwaltung der gebuchten Plätze. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; setzt der Kunde den Dienst für Beschäftigte ein, ist er für deren Daten selbst verantwortlich (§ 26 BDSG). Speicherdauer: bis zum Ausscheiden aus dem Team; Einladungen 14 Tage.

e) Nachweis erzeugter Auftragsverarbeitungsverträge

Erzeugt ein Kunde im Konto einen Vertrag nach Art. 28 DSGVO, halten wir Vertragsnummer, Firma, Anschrift, benannte vertretende Person, Fassung des Vertragstextes, Zeitpunkt und IP-Adresse fest. Diese Einträge werden nicht verändert und nicht gelöscht, solange der Vertrag Bestand hat — sie sind der Nachweis darüber, wann welche Fassung geschlossen wurde.

Zweck: Nachweisbarkeit gegenüber Aufsichtsbehörden für beide Seiten. Rechtsgrundlage: Art. 6 Abs. 1 lit. c i. V. m. Art. 28 Abs. 9 DSGVO. Speicherdauer: für die Dauer des Vertrags und anschließend mindestens sechs Jahre ab Ende des Jahres, in dem der Vertrag endete (§ 147 Abs. 1 Nr. 2 i. V. m. Abs. 3 AO). Eine Löschung erfolgt, sobald der Nachweiszweck entfällt; bei Löschung Ihres Kontos entfernen wir daraus Firma, Anschrift, vertretende Person und IP-Adresse und behalten nur Vertragsnummer, Fassung und Zeitpunkt — der Nachweis nach Art. 28 DSGVO wird gerade für die Zeit nach dem Vertragsverhältnis gebraucht.

f) Kündigungsprotokolle

Jede über die Kündigungsschaltfläche abgegebene Erklärung wird mit Adresse, Name, Vertragsbezeichnung, Art der Kündigung, freiwilliger Begründung, Wunschtermin, Eingangszeitpunkt und IP-Adresse festgehalten.

Zweck: Nachweis von Eingang, Inhalt und Zeitpunkt, wie § 312k Abs. 4 BGB ihn verlangt. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO. Speicherdauer: mindestens sechs Jahre ab Ende des Kündigungsjahres (§ 147 Abs. 1 Nr. 2 AO; die Kündigungsbestätigung ist zugleich Nachweis nach § 312k Abs. 4 BGB). Bei Löschung Ihres Kontos entfernen wir daraus Name, Begründung, Wunschtermin und IP-Adresse; Ihre E-Mail-Adresse ersetzen wir durch eine Prüfsumme. Sie ist kein Klartext mehr, erlaubt uns im Streitfall aber noch die Zuordnung — deshalb bewahren wir sie im Rahmen der gesetzlichen Nachweispflichten auf; erhalten bleibt nur die Tatsache, dass zu einem bestimmten Zeitpunkt gekündigt und dies bestätigt wurde.

g2) Anfrage zum Tarif Business (Anfrageformular)

Verarbeitete Daten: Unternehmens- oder Praxisname, Ihr Name (freiwillig), E-Mail-Adresse, Telefonnummer (freiwillig), gewünschte Anzahl der Plätze, Rückrufwunsch und eine freiwillige Nachricht (bis 1.000 Zeichen). Zweck: Ihnen das angefragte Angebot zu machen und den Tarif anschließend freizuschalten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Maßnahmen auf Ihre Anfrage hin, die dem Vertragsschluss vorausgehen). Speicherung: Die Angaben werden nicht dauerhaft in unserer Datenbank gespeichert. Für längstens 25 Stunden wird Ihre Adresse dort als Zähler gegen Missbrauch abgelegt — damit niemand das Formular als Versandwerkzeug benutzt; danach wird sie automatisch gelöscht. Sie werden ausschließlich per E-Mail an unser Postfach office@messingerdesign.de übermittelt und dort bearbeitet; eine Eingangsbestätigung geht an die von Ihnen angegebene Adresse. Empfänger: Dieses Postfach wird bei einem Hosting-Dienstleister in Deutschland betrieben; er ist insoweit Auftragsverarbeiter nach Art. 28 DSGVO. Speicherdauer: bis zur abschließenden Bearbeitung Ihrer Anfrage, längstens 12 Monate; kommt ein Vertrag zustande, gelten die handels- und steuerrechtlichen Aufbewahrungsfristen (Ziffer 16). Freiwilligkeit: Pflichtangaben sind ausschließlich Firma und E-Mail-Adresse — ohne sie können wir kein Angebot machen. Telefonnummer und Nachricht sind freiwillig; ohne Telefonnummer melden wir uns per E-Mail. Keine Werbung: Wir nutzen diese Angaben ausschließlich zur Beantwortung Ihrer Anfrage und senden Ihnen ohne Ihre ausdrückliche Einwilligung keine Werbung (§ 7 UWG).

g) Verarbeitung eingehender Spam-Nachrichten

Wir betreiben eine E-Mail-Adresse, die ausschließlich für automatisierte Adress-Sammler ausgelegt und für Menschen nicht sichtbar ist. Alle dort eingehenden Nachrichten werden als unerwünscht gewertet und zum Training unseres eigenen Spamfilters verwendet.

Zweck: Schutz der eigenen Mailinfrastruktur vor unerwünschten Nachrichten. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Eine Information der Absender nach Art. 14 DSGVO unterbleibt, weil sie sich an Absender unerwünschter Massensendungen richten würde und mit unverhältnismäßigem Aufwand verbunden wäre (Art. 14 Abs. 5 lit. b DSGVO).

20. Ihre Rechte als betroffene Person (Art. 12–22 DSGVO)

Ihnen stehen gegenüber dem Verantwortlichen folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten zu:

• Auskunft (Art. 15 DSGVO),
• Berichtigung (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO, siehe Ziffer 21),
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Zur Ausübung Ihrer Rechte genügt eine formlose Mitteilung an die unter Ziffer 1 genannten Kontaktdaten.

20.1 Besonderheit beim server-blinden Dienst (Art. 11 DSGVO)

Für die unverschlüsselt verarbeiteten Daten (insbesondere Empfänger-E-Mail-Adresse, Account- und Zahlungsdaten) gewähren wir Auskunft, Berichtigung und Löschung im gesetzlichen Umfang.

Für die verschlüsselten Inhalte und Anhänge gilt eine konzeptbedingte Einschränkung: Bei der Versandart „Sicherer“ und beim E2E-Passphrase-Postfach fehlt uns der Entschlüsselungsschlüssel technisch vollständig; eine inhaltliche Auskunft oder Berichtigung ist uns dort nicht möglich (Art. 11 DSGVO). In den übrigen Postfach-Stufen sind Chiffrat und verschlüsselte Fragmentkopie zwar organisatorisch und technisch getrennt, der Vorgang ist dem angemeldeten Postfach-Inhaber aber bewusst zugeordnet. Betroffenenanfragen bearbeiten wir dort anhand der vorhandenen Metadaten; eine inhaltliche Entschlüsselung erfolgt nicht als Teil der normalen Leistung.

Sie behalten gleichwohl die volle Kontrolle: Eine Löschung des konkreten verschlüsselten Vorgangs können Sie jederzeit über dessen Kennung bzw. Link auslösen; unabhängig davon löscht unser Janitor-Prozess jeden Vorgang ohnehin spätestens nach 48 Stunden (in kostenpflichtigen Tarifen nach der gewählten Frist, höchstens sieben Tage) bzw. unmittelbar nach dem Abruf.

21. Widerspruchsrecht (Art. 21 DSGVO)

Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Sie betreffender personenbezogener Daten, die auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO erfolgt, Widerspruch einzulegen.

Dies betrifft insbesondere: die Zustellung von Benachrichtigungen an eine Empfängeradresse, die uns eine absendende Person angegeben hat (Ziffer 7), die Führung der Zustell-Sperrliste (Ziffer 7), die Verarbeitung von IP-Adressen zur Missbrauchsabwehr (Ziffer 11.1), die Server-Logs und die interne Tagesstatistik nach Ziffer 12.1. Die erweiterte meinKI-Statistik beruht dagegen ausschließlich auf Ihrer Einwilligung und kann über die Datenschutz-Einstellungen mit Wirkung für die Zukunft beendet werden. Legen Sie Widerspruch ein, verarbeiten wir die betreffenden Daten nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Für die Zustellung an eine Empfängeradresse gilt darüber hinaus: Dort prüfen wir nichts nach und wägen nichts ab — Ihre Nachricht an unsere Missbrauchsadresse genügt, und wir stellen Ihnen dauerhaft nichts mehr zu. Diesen Eintrag löschen wir nicht wieder von selbst (Art. 17 Abs. 3 lit. e DSGVO); nur auf Ihren Wunsch nehmen wir ihn zurück.

22. Beschwerderecht bei einer Aufsichtsbehörde

Unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs steht Ihnen das Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde zu (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes.

Die für den Verantwortlichen zuständige Aufsichtsbehörde ist:

Berliner Beauftragte für Datenschutz und Informationsfreiheit Alt-Moabit 59–61, 10555 Berlin Telefon: +49 30 13889-0 E-Mail: mailbox@datenschutz-berlin.de

23. Pflicht zur Bereitstellung von Daten

Die Bereitstellung der Empfänger-E-Mail-Adresse ist für die Nutzung der Kernfunktion erforderlich: Ohne sie können wir den von Ihnen beauftragten Übermittlungsvorgang nicht durchführen. Eine gesetzliche oder vertragliche Pflicht zur Bereitstellung besteht nicht; es entstehen Ihnen jedoch keine Nachteile außer der Nichtnutzbarkeit der jeweiligen Funktion.

Im Komfort-Modus ist die Bereitstellung einer Absender-Adresse freiwillig. Im Sicherheits-Modus ist sie für die neutrale Versandbestätigung erforderlich: Bei einem Konto verwenden wir dessen bestätigte E-Mail-Adresse, beim anonymen Versand ist eine gesonderte Absenderadresse anzugeben. Ohne diese Adresse kann der Sicherheits-Modus nicht genutzt werden. Eine gesetzliche Pflicht zur Bereitstellung besteht nicht. Die Anlage eines Accounts sowie die Nutzung von Social-Login und kostenpflichtigen Funktionen bleiben freiwillig.

Bei Einsendungen über ein Empfangs-Postfach kann dessen Inhaber Absendername, Betreff und einzelne Vorlagenfelder als erforderlich kennzeichnen. Eine gesetzliche Pflicht gegenüber uns besteht dadurch nicht. Ohne einen verlangten Absendernamen oder Betreff kann dieses konkrete Formular nicht abgesendet werden. Als erforderlich markierte Vorlagenfelder werden abgefragt, sobald die einsendende Person Angaben in dieser Vorlage macht; eine vollständig ungenutzte Vorlage kann übersprungen und stattdessen eine freie Nachricht gesendet werden. Werte aus Vorlagenfeldern erreichen uns nur als Chiffrat (Ziffer 6.3 Buchstabe c).

24. Keine automatisierte Entscheidungsfindung / kein Profiling

Eine ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhende Entscheidung im Sinne des Art. 22 DSGVO, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt, findet nicht statt. Automatisiert erfolgt allein der Eintrag einer E-Mail-Adresse in unsere Zustell-Sperrliste, wenn der Mailserver der Empfängerin oder des Empfängers sie dauerhaft ablehnt, sowie eine befristete Netzsperre nach wiederholten Fehlversuchen. Beides betrifft die technische Zustellbarkeit, nicht die Bewertung Ihrer Person; Sie können den Eintrag jederzeit unter der in Ziffer 1 genannten Adresse aufheben lassen, wir prüfen das von Hand. Die zur Sicherheit eingesetzten Maßnahmen (z. B. Rate-Limiting) dienen ausschließlich der Missbrauchsabwehr und führen nicht zu einer Profilbildung über Ihre Person.

25. Datensicherheit (technische und organisatorische Maßnahmen, Art. 32 DSGVO)

Wir treffen geeignete technische und organisatorische Maßnahmen zum Schutz Ihrer Daten, insbesondere:

• clientseitige Ende-zu-Ende-nahe Verschlüsselung (außer bei Klartext-Übergabe über die Programmierschnittstelle, siehe Ziffer 6.3) der Inhalte; technisch erzwungene Server-Blindheit im Sicherheits-Modus und beim E2E-Passphrase-Postfach,
• bei anderen Postfach-Stufen AES-256-GCM-verschlüsselte, zeitlich begrenzte Fragmentkopie auf dem Edge-Server, mit root-geschütztem und von Datenbank, Vault und Anwendungssicherungen getrenntem Serverschlüssel,
• beim Versand über unser Sendeformular die Wahlmöglichkeit einer Versandart, bei der uns der Schlüssel überhaupt nicht zugeht (Sicherheits-Modus („Sicherer"), Ziffer 6.3),
• Trennung in Edge- und Vault-Server, Verschlüsselung der Inhalte auch im Ruhezustand (at-rest),
• ausschließliche Hash-Speicherung der Einmal-Code und Vergleich in konstanter Zeit,
• Passwort-Hashing mit Argon2id sowie Zwei-Faktor-Authentifizierung,
• Rate-Limiting und Missbrauchsabwehr,
• strikte Logging-Minimierung (keine Schlüssel, Einmal-Codes, URL-Fragmente oder Klartext-Inhalte in Logs),
• zeitgesteuerte, endgültige Löschung (Janitor-Prozess, „Crypto-Shredding"); zum Fortbestand in verschlüsselten Sicherungen siehe die Vorbemerkung zu Ziffer 19,
• TLS-Verschlüsselung der Datenübertragung.

26. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte Rechtslagen oder an Änderungen des Dienstes und der Datenverarbeitung anzupassen. Es gilt jeweils die zum Zeitpunkt Ihres Besuchs abrufbare, aktuelle Fassung. Den Stand finden Sie zu Beginn dieser Erklärung.

Stand: 18. September 2026