# Datenschutzinformation Free (Testphase), Fassung free-beta-1

> Archivkopie der Fassung free-beta-1: Datenschutzinformation Free (Testphase). Der Wortlaut bleibt unter dieser Adresse unverändert abrufbar.

> **Archivkopie der Fassung free-beta-1.** Feste Adresse dieser Fassung: `/legal-archive/free-beta-1/privacy-free/`. Der Wortlaut bleibt hier unverändert abrufbar. Ist eine neuere Fassung in Kraft, ist dies eine frühere Fassung; die geltende Fassung steht unter [Datenschutzinformation](https://privymail.eu/privacy-free.md).

## 1. Das Wichtigste in Kürze

- **Testphase.** Der Free-Tarif wird erprobt. Es gibt keine Verfügbarkeitszusage, keine Zusage zur Wiederherstellung Ihrer Daten aus einer Sicherung und keine Prüfung durch Dritte. Speichern Sie keine sensiblen oder geschäftskritischen Inhalte (Abschnitt 3).
- **Das erfassen wir bei der Registrierung:** Ihre gewählte Adresse und einen Prüfdatensatz für Ihr Passwort. Das Passwort selbst verlässt Ihr Gerät nicht. Name, Telefonnummer, zweite Adresse und Zahlungsdaten fragen wir nicht ab.
- **Ihre gespeicherten Mails** liegen mit einem Schlüssel Ihres Kontos verschlüsselt auf dem Server. Das ist der Modus „Compatible“. Er ist weder Ende-zu-Ende-Verschlüsselung noch „Zero-Access“: Der Server sieht Klartext beim Zustellen, beim Senden und während einer Mail-Sitzung (Abschnitt 6).
- **Zwei Ausnahmen von dieser Verschlüsselung:** Entwürfe und Versandaufträge des Webmails liegen zusätzlich in einem Betriebsjournal, das ein Serverschlüssel schützt, der für alle Konten derselbe ist; abgeschlossene Einträge sollen nach 24 Stunden die Nachricht und die Anhänge verlieren (übrig bleiben Prüfsumme, Größe, Art des Vorgangs und Zeit), und mit der Löschung Ihres Kontos soll das Journal gelöscht werden. Eine Nachricht in der Warteschlange des Mailservers liegt bis zur Zustellung unverschlüsselt auf dem Datenträger (Abschnitt 4.2).
- **Mail geht zunächst nur zwischen Free-Konten.** Adressen @privymail.eu sind von außen nicht erreichbar, und der Dienst sendet keine Mail an externe Adressen. Das Senden im Webmail und mit einem Mailprogramm (IMAP und SMTP, mit App-Passwort) ist vorgesehen. Wir sagen nicht zu, dass es bei Veröffentlichung dieser Information möglich ist.
- **Keine Werbung, keine Analyse, keine Inhalte von Dritten.** Wir setzen genau zwei technisch notwendige Cookies und nutzen keinen Tracking- oder Analysedienst (Abschnitt 10).
- **Auskunft und Löschung** beantragen Sie per E-Mail; eine Schaltfläche dafür gibt es noch nicht. Wir bearbeiten Anträge von Hand, innerhalb eines Monats. Einen Sammelexport gibt es nicht. (Abschnitte 8 und 9)

## 2. Wer ist verantwortlich?

(Art. 13 Abs. 1 lit. a und b DSGVO)

| | |
|---|---|
| Betreiberin der Website | patchletter UG (haftungsbeschränkt), Meisterweg 16, 45896 Gelsenkirchen, Deutschland; Amtsgericht Gelsenkirchen, HRB 20118; vertreten durch den Geschäftsführer Kolja Sagorski. Die Angaben stammen aus dem Impressum und sind vom Betreiber nur für die Website bestätigt. |
| Verantwortliche und Vertragspartnerin des Free-Dienstes | patchletter UG (haftungsbeschränkt), Anschrift und Vertretung wie oben. |
| Kontakt für Datenschutzfragen und Anträge | [legal@patchletter.com](mailto:legal@patchletter.com); allgemein [hello@patchletter.com](mailto:hello@patchletter.com), Telefon [+49 209 73085753](tel:+4920973085753); Post an die Anschrift oben. |
| Datenschutzbeauftragte oder Datenschutzbeauftragter | Wir haben keine Datenschutzbeauftragte und keinen Datenschutzbeauftragten benannt. Für Fragen zum Datenschutz erreichen Sie uns unter dem Kontakt oben. |

## 3. Was „Testphase“ bedeutet

Der Free-Tarif geht für erste Nutzerinnen und Nutzer in Betrieb, bevor alle Prüfungen und Betriebsstrukturen vorhanden sind. Die Testphase hat kein festes Ende; ihr Ende kündigen wir mit mindestens 14 Tagen Frist an. Vor der Registrierung zeigen wir die wichtigsten Punkte in einem Kasten. Ehrlich heißt das:

- Die Verschlüsselung gespeicherter Nachrichten ist **nicht von einer externen Stelle geprüft** (kein externes Kryptografie-Review). Es gab **keinen externen Penetrationstest**. Eine **Datenschutz-Folgenabschätzung** nach Art. 35 DSGVO liegt nicht vor.
- Die virtuelle Maschine, auf der der Server läuft, wird **verschlüsselt gesichert**; der Sicherungsspeicher steht in Düsseldorf (Deutschland). Eine **Wiederherstellung ist nicht zugesagt** und nicht durch eine Wiederherstellungsprobe belegt; sie kann Daten bis zum Zeitpunkt der letzten Sicherung verlieren. Fällt der Server oder seine Festplatte aus, können Konten und Nachrichten verloren gehen, und es kann sein, dass sich niemand mehr anmelden kann. Gelöschte Inhalte können in Sicherungen verbleiben; die Dauer der Aufbewahrung nennen wir noch nicht (Abschnitt 8). Bei einem Software-Wechsel legen wir vorher eine Zwischenkopie der Kontodatenbank auf demselben Server an, die bestehen bleibt, bis wir sie löschen; sie schützt nicht vor einem Ausfall des Servers (Abschnitt 4.3). Daten können verloren gehen.
- Es gibt **keine Verfügbarkeitszusage und keine Bereitschaft rund um die Uhr.** Der Server installiert Software-Updates automatisch und kann dafür nachts neu starten; weitere Neustarts sind möglich.
- **Mail geht nur zwischen Free-Konten.** Sobald externe Zustellung freigeschaltet wird, passen wir diese Information vorher an.
- Die Zahl der Konten ist zunächst begrenzt. Ist die Grenze erreicht, schließt die Registrierung und meldet, dass derzeit keine Plätze frei sind.
- Wer **Passwort und Wiederherstellungscodes verliert, kann Zugang und Mails nicht wiederherstellen.** Wir haben keinen Generalschlüssel für gespeicherte Postfächer.

## 4. Welche Daten verarbeiten wir? Woher, wo, wie lange?

(Art. 13 Abs. 1 lit. c und e, Abs. 2 lit. a und e; Art. 14 Abs. 2 lit. f)

Alle Daten stammen von Ihnen oder entstehen durch Ihre Nutzung. Ausnahme: Daten anderer Personen in Nachrichten, die Ihnen andere Free-Nutzer senden (Absenderadresse, Inhalt). Nicht verarbeitet werden nach heutigem Stand: Name, Telefonnummer, Geburtsdatum, eine zweite Adresse, Zahlungsdaten, Standortdaten sowie Geräte- oder Browserkennungen in der Kontodatenbank. Nachrichten können beliebige personenbezogene Daten enthalten, auch besonders schutzwürdige Angaben, etwa zur Gesundheit. Wir verarbeiten Inhalte nur technisch, um sie zu speichern und zuzustellen, und lesen sie nicht. Für solche Inhalte ist der Free-Tarif in der Testphase nicht gedacht.

### 4.1 Konto und Anmeldung

| Daten | Wann und wie | Wo, wie geschützt | Dauer |
|---|---|---|---|
| Kontoadresse (von Ihnen gewählt), Kontokennung (UUID), Kontostatus, Anlagezeitpunkt | Registrierung | Kontodatenbank (PostgreSQL) auf dem Server | bis zur Löschung des Kontos (Abschnitt 8) |
| Anmelde-Prüfdatensatz (OPAQUE, 192 Byte) statt Passwort | Registrierung, Passwortänderung | Kontodatenbank; enthält weder Passwort noch gewöhnlichen Hash | bis zur Löschung des Kontos; bei einer Passwortänderung wird der alte Datensatz gelöscht |
| Verschlüsselte Kopien Ihres Postfachschlüssels: je eine für das Passwort, für jedes App-Passwort und für jeden der zehn Wiederherstellungscodes | Registrierung, neue App-Passwörter, neue Codes | Kontodatenbank; Codes und App-Passwörter selbst werden nicht gespeichert, auch kein Hash davon | bis zum Widerruf oder Verbrauch (die Zeile wird gelöscht), sonst bis zur Löschung des Kontos |
| Je App-Passwort: Bezeichnung (höchstens 64 Zeichen, von Ihnen), Anlagezeitpunkt, letzte Nutzung (nur Datum) | Anlegen und Nutzen | Kontodatenbank | bis zum Widerruf |
| Zweiter Faktor (freiwillig): TOTP-Geheimnis (verschlüsselt) oder Passkey (nur öffentlicher Teil, Kennung, Zähler und die Angabe, ob der Passkey auf mehreren Geräten gesichert ist); Bezeichnung; Datum der Einrichtung und der letzten Nutzung | wenn Sie ihn einrichten | Kontodatenbank | bis zum Entfernen oder zur Löschung des Kontos |
| Sitzung: Hash des Sitzungstokens, Sitzungskennung, Art des zweiten Faktors, Beginn (nur Datum), drei Fristen mit Uhrzeit (aus ihnen lassen sich die Anmeldezeit und die letzte Nutzung der laufenden Sitzung ableiten, solange die Zeile besteht) | Anmeldung im Browser | Kontodatenbank; Cookie im Browser (Abschnitt 10) | höchstens 7 Tage, 24 Stunden Leerlauf, höchstens 10 Sitzungen je Konto; abgelaufene Sitzungen entfernt ein Lauf alle 5 Minuten |
| Tarifprofil Free: Rechte (1.000.000.000 Byte Speicher; IMAP, SMTP, CalDAV und CardDAV als Rechte im Profil; CalDAV und CardDAV gehören zum Tarif, sind aber im ersten Go-live nicht freigeschaltet), Anfangsmessung der belegten Bytes mit Zeitpunkt | Abschluss der Registrierung | Kontodatenbank | bis zur Löschung des Kontos |
| Einrichtungsvermerk (Kontokennung, Adresse), solange die Einrichtung läuft | Registrierung | Kontodatenbank | bis zum Abschluss; bei ungeklärtem Ausgang bleibt er bestehen, bis der Betreiber ihn prüft |
| Zwischenstände von Registrierung und Anmeldung; gelöste Rechenaufgabe | während der Schritte | Arbeitsspeicher; in der Datenbank nur die Signatur der eingelösten Rechenaufgabe, ohne Personenbezug | Arbeitsspeicher 2 bis 10 Minuten; Signatur höchstens 5 Minuten |
| Willkommensnachricht (Absender noreply@ der Domain) | Registrierung | Ihr Postfach | wie Postfachinhalte |
| Zustimmungsnachweis: Fassungskennung des bestätigten Textsatzes (zum Beispiel `free-beta-1`) und Zeitpunkt der Bestätigung | Registrierung | Kontodatenbank (zwei Spalten am Konto); keine IP, keine Browserkennung, kein Verlauf | bis zur Löschung des Kontos |
| Sperreintrag einer gelöschten Adresse: ein schlüsselgebundener Prüfwert (HMAC-SHA-256, 32 Byte) der Adresse; keine Adresse im Klartext, keine Kontokennung, kein Zeitpunkt. Er entsteht nur für ein Konto, das aktiv war, nicht für eine abgebrochene Registrierung | Löschung eines Kontos (Abschnitt 8), damit die Adresse nie wieder vergeben wird | Kontodatenbank; ohne den Schlüssel des Dienstes lässt er sich weder umkehren noch einer Adresse zuordnen | unbefristet; wir entfernen ihn nicht. Er bleibt ein personenbezogenes Datum (pseudonymisiert), solange wir den Schlüssel haben und eine Adresse prüfen können |

Das Dashboard liest nur diese vorhandenen Angaben und zeigt sie Ihnen an. Es speichert nichts zusätzlich und führt keine Anmeldehistorie und keinen Ereignisverlauf.

### 4.2 Postfach, Webmail, Versand

| Daten | Wann und wie | Wo, wie geschützt | Dauer |
|---|---|---|---|
| Nachrichten (Kopfzeilen, Text, Anhänge), Ordner, Entwürfe, Gesendete, Papierkorb | Empfang, Speichern, Senden | Mailserver (Dovecot) auf dem Server, mit einem Schlüssel Ihres Kontos verschlüsselt („Compatible“, Abschnitt 6); Header- und Suchindex nur im Arbeitsspeicher oder in einem RAM-Dateisystem, nie auf dem Datenträger | bis Sie löschen oder das Konto gelöscht wird; bis rund 1.000.000.000 Byte, nicht auf das einzelne Byte genau |
| Metadaten, die dadurch nicht vollständig verborgen sind: Zahl und Größe der Nachrichten, Ordnerstruktur, Kennungen, Markierungen, Zeitpunkte, Nutzungsmuster; im Index-Cache außerdem Kopfzeilen wie Betreff, Absender und Empfänger, solange der Mailserver läuft | beim Speichern und Abrufen | Dateisystem des Servers; Index-Cache im Arbeitsspeicher, für Administratoren lesbar | wie Nachrichten; der Index-Cache bis zum Neustart des Mailservers oder des Servers |
| Webmail-Journal: Entwürfe und Versandaufträge samt vollständiger Nachricht und Anhängen, Zustand | Entwurf speichern, Senden | je Konto eine Datenbankdatei auf dem Server; die Datensätze (Anfrage, Antwort, Zustand) sind mit AES-256-GCM verschlüsselt, mit einem Serverschlüssel, der für alle Konten derselbe ist und auf demselben Server liegt; Kontokennung, Adresse, Kanal und Art des Vorgangs stehen unverschlüsselt in der Datei | Vorgesehen: abgeschlossene Einträge werden nach 24 Stunden gekürzt (Nachricht und Anhänge entfallen; Prüfsumme, Größe, Art des Vorgangs und Zeit bleiben); bis dahin bleiben die Inhalte bestehen, auch wenn Sie die Nachricht im Postfach löschen; je Konto gilt eine Obergrenze für Größe und Zahl der Einträge; mit der Löschung des Kontos wird das Journal gelöscht; das Journal zählt nicht zu Ihrem Postfachplatz. |
| App-Passwort im Webmail | wenn Sie in der Webmail „Verbinden“ wählen | Arbeitsspeicher des Webmail-Dienstes; nicht in URL oder Browserspeicher | bis Trennen, 5 Minuten Leerlauf oder höchstens 15 Minuten |
| Nachricht in der Warteschlange des Mailservers | Senden an ein Free-Konto | Dateisystem des Servers, unverschlüsselt | bis zur Zustellung; kann eine Zustellung nicht gelingen, bis zum Ablauf der Standardfrist der Mailserver-Software von fünf Tagen |
| Versandzähler: Kontokennung, undurchsichtige Transaktionskennung (Hash), Zahl der Empfänger, Nachrichtengröße, Zeitpunkt; letzter Zeitstand je Konto | beim Senden | Kontodatenbank; keine Adressen, kein Inhalt, keine IP | Zulassungen gelten 24 Stunden; abgelaufene Zeilen werden erst bei einer weiteren Versandzulassung desselben Kontos entfernt, sonst bis zur Löschung des Kontos; der Zeitstand bis zur Löschung des Kontos |
| Speicherbelegung | laufend | Mailserver (Quota); Anfangsmessung in der Datenbank | bis zur Löschung des Kontos |

Kopfzeilen: Die Vorlage des Mailservers setzt `smtpd_hide_client_session = yes`; die Wirkung ist im Betrieb nicht geprüft.

Free-Grenzen (zur Orientierung): sofortiger Versand; zunächst höchstens 10 Empfänger je 24 Stunden, nach sieben vollen Tagen 50; höchstens 10 Empfänger und 10.000.000 Byte je Nachricht.

### 4.3 Schutz, Technik, Protokolle

| Daten | Wann und wie | Wo, wie geschützt | Dauer |
|---|---|---|---|
| IP-Adresse der Gegenstelle, gekürzt auf ein Präfix (IPv4 /24, IPv6 /56), zusammen mit der Adresse, für Begrenzungen von Registrierungen, Rechenaufgaben und Fehlversuchen | bei jeder Anfrage an diese Funktionen | nur Arbeitsspeicher des Account-Dienstes, nicht in der Datenbank; bei Neustart weg. | Zeitfenster von 15 Minuten bis 1 Stunde; abgelaufene Zähler räumt der Dienst jede Minute ab, insgesamt höchstens 61 Minuten |
| Protokolle des Account-Dienstes und der Datenbank: Kontokennung, feste Ereignistexte, Zähler; keine Adresse, keine IP, keine Geheimnisse, keine Inhalte; die Datenbank meldet Fehler nur in der Kurzform ohne Einzelheiten | laufend | Systemjournal des Servers | höchstens 7 Tage (Journal); einzelne frühe Startmeldungen der Datenbank ohne Nutzdaten stehen in einer Datei des Servers, die das System wöchentlich rotiert und bis zu zehn Wochen vorhält |
| IP-Adresse und HTTP-Anfrage beim Abruf der Oberfläche | bei jedem Aufruf | Webserver (Caddy): verarbeitet sie, um die Antwort auszuliefern; keine Zugriffsprotokolle. Bei einem Fehler (zum Beispiel wenn der Dienst dahinter nicht antwortet) kann der Webserver eine Fehlermeldung mit Ihrer IP-Adresse in das Systemjournal schreiben | nur für die Dauer des Aufrufs; Fehlermeldungen im Systemjournal höchstens 7 Tage |
| Protokolle des Mailservers: Zeit, Konto-Adresse, IP, Absender- und Empfängeradresse, Warteschlangenkennung, Message-ID, Größe, Ergebnis; nie Nachrichtentext oder Betreff | bei Anmeldung, Zustellung, Versand | Systemjournal des Servers | höchstens 7 Tage |
| Sperrlisten für Fehlanmeldungen (fail2ban): IP, Regel, Zeitpunkt | bei wiederholten Fehlanmeldungen | für die Mail-Ports und für den SSH-Zugang des Betreibers | 7 Tage |
| Sicherungskopien und Zwischenkopie | Sicherungen: verschlüsselte Sicherung der virtuellen Maschine. Zwischenkopie: bei einem Software-Wechsel des Betreibers | Die Sicherung erfasst die virtuelle Maschine und damit alle Daten auf dem Server; der Sicherungsspeicher steht in Düsseldorf (Deutschland). Eine Wiederherstellung ist nicht zugesagt (Abschnitt 3). Die Zwischenkopie ist ein Abzug der gesamten Kontodatenbank (alle Konten, Zugangsdaten, Zustimmungsnachweise, Sperreinträge, verschlüsselte Schlüsselkopien) auf demselben Server, nur für Administratoren des Servers lesbar | Sicherungen: die Dauer nennen wir noch nicht (Abschnitt 8). Zwischenkopie: bis wir sie nach dem Wechsel löschen; eine feste Frist sagen wir nicht zu |
| Angaben zu Missbrauchsfällen (Meldung, Maßnahme, betroffenes Konto) | bei einem Verdachts- oder Missbrauchsfall | Betreiberunterlagen; heute gibt es keine Missbrauchsdatenbank und keinen festen Ablauf | höchstens 90 Tage |
| Nachrichten an uns (E-Mail, Telefon, Post) | wenn Sie uns schreiben | Postfach der patchletter UG bei einem E-Mail-Dienstleister, mit dem ein Vertrag zur Auftragsverarbeitung besteht (Abschnitt 7) | bis zum Abschluss der Anfrage, danach Löschung innerhalb von 12 Monaten, gesetzliche Aufbewahrungspflichten vorbehalten |

## 5. Wozu und auf welcher Rechtsgrundlage?

(Art. 13 Abs. 1 lit. c und d DSGVO)

| Zweck | Daten | Rechtsgrundlage |
|---|---|---|
| Konto anlegen, Anmeldung, Postfach, Webmail, Senden und Empfangen zwischen Free-Konten bereitstellen | Konto-, Anmelde-, Postfach-, Journal- und Zählerdaten | Art. 6 Abs. 1 lit. b DSGVO (Nutzung des kostenlosen Dienstes nach den Nutzungsbedingungen). |
| Dienst und Konten schützen: Rechenaufgabe, Begrenzungen, Versandgrenzen, Kontobudget, Sicherheitsprotokolle | IP-Präfix (Arbeitsspeicher), Zähler, Protokolle | Art. 6 Abs. 1 lit. f DSGVO. Berechtigtes Interesse: sicherer, missbrauchsfreier Betrieb. Dazu Art. 32 DSGVO. |
| Betrieb, Fehlersuche, Rückweg bei einem Software-Wechsel | Protokolle, Zwischenkopie der Kontodatenbank | Art. 6 Abs. 1 lit. f DSGVO. Berechtigtes Interesse: den Dienst stabil betreiben, Fehler finden und einen Software-Wechsel rückgängig machen können. Soweit zur Vertragserfüllung nötig lit. b |
| Sitzung im Browser | Sitzungs-Cookie, Anmelde-Ticket-Cookie | § 25 Abs. 2 Nr. 2 TDDDG (unbedingt erforderlich); Verarbeitung nach Art. 6 Abs. 1 lit. b DSGVO |
| Nachweisen, welche Bedingungen Sie bestätigt haben | Fassungskennung, Zeitpunkt | Art. 6 Abs. 1 lit. b oder f DSGVO. Berechtigtes Interesse (falls lit. f): nachweisen können, welche Bedingungen vereinbart wurden, und sich gegen Ansprüche verteidigen. |
| Eine gelöschte Adresse dauerhaft sperren | Sperreintrag (Prüfwert der Adresse) | Art. 6 Abs. 1 lit. f DSGVO. Berechtigtes Interesse: Post und Identität früherer Inhaberinnen und Inhaber vor einer Neuregistrierung derselben Adresse schützen. Die Abwägung gegen Ihr Recht auf Löschung steht in Abschnitt 8 |
| Ihre Anfragen und Rechte bearbeiten | Kontaktdaten, Inhalt der Anfrage | Art. 6 Abs. 1 lit. b, c oder f DSGVO, je nach Anlass. Berechtigtes Interesse (lit. f): Anfragen ordentlich beantworten und dokumentieren |
| Gesetzliche Pflichten erfüllen (etwa Anordnungen von Behörden, Meldungen) | je nach Fall | Art. 6 Abs. 1 lit. c DSGVO |
| Einwilligung | keine | Wir stützen den Free-Dienst auf keine Einwilligung. Die Zustimmung zu den Nutzungsbedingungen ist keine Einwilligung im Sinne der DSGVO. |

Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO) nennen wir je Zweck in der Tabelle; Ihr Widerspruchsrecht steht in Abschnitt 9.

## 6. Wer kann technisch auf Ihre Daten zugreifen?

Ehrliche Antwort für den Modus „Compatible“ (der Standard).

- Gespeicherte Nachrichten sind mit einem Schlüssel Ihres Kontos verschlüsselt. Der private Schlüssel liegt nur „eingepackt“ vor, je einmal für Ihr Passwort, jedes App-Passwort und jeden Wiederherstellungscode. Einen Generalschlüssel haben wir nicht.
- **Compatible ist weder Ende-zu-Ende-Verschlüsselung noch „Zero-Access“.** Der Server sieht Klartext (a) beim Zustellen und Senden, (b) während einer Mail-Sitzung über Webmail oder ein Mailprogramm, weil Dovecot dann den entsperrten Schlüssel im Arbeitsspeicher hält, (c) bei Kontoänderungen wie neuen App-Passwörtern, bei denen Ihr Gerät ein aus dem Passwort abgeleitetes Entsperrgeheimnis an den Server sendet (nur Arbeitsspeicher, nicht gespeichert).
- Dieselbe Grenze gilt für jeden mit Administratorzugriff auf den laufenden Server. Der Server läuft **ohne Festplattenverschlüsselung**.
- **Transport:** Browser verbinden sich nur über HTTPS. Für Mailprogramme ist TLS vorgesehen, mindestens TLS 1.2.

| Wer | Was technisch möglich ist | Regel oder Schutz |
|---|---|---|
| Betreiber (Administratoren mit Root-Zugriff) | Arbeitsspeicher und Index-Cache einsehen (Schlüssel, Klartext und Kopfzeilen während der Laufzeit), Warteschlange, Datenbank, Dienstgeheimnisse einschließlich des Schlüssels für das Webmail-Journal | Regel: Inhalte werden nicht gelesen; Betrieb und Fehlersuche arbeiten mit Zählern und Status. Die Missbrauchsregeln (Entwurf) sagen zu, gespeicherte Nachrichten nicht nach Verstößen zu durchsuchen. Technisch nicht erzwungen. Kein Vier-Augen-Prinzip. Zugriff auf den Server hat nur der Betreiber, mit einem SSH-Schlüssel; Anmeldungen stehen im Systemjournal (höchstens 7 Tage). |
| KI-gestützte Werkzeuge in der Entwicklung | Wir entwickeln und betreiben den Dienst mit KI-gestützten Werkzeugen; der Modellanbieter ist ein US-Unternehmen (Anthropic). Ein solches Werkzeug arbeitet mit Administratorrechten auf dem Produktivserver, auf dem Ihre Daten liegen. | Wir setzen es für Aufbau, Wartung und Fehlersuche im Auftrag des Betreibers ein; der Betreiber kann den Zugang jederzeit entziehen. Unsere Arbeitsregeln verbieten, Geheimnisse und Nachrichteninhalte in Protokolle und Ausgaben zu übernehmen, und das Werkzeug liest Nachrichteninhalte nicht planmäßig; technisch ausgeschlossen ist der Zugriff darauf nicht. Die Befehle des Werkzeugs und deren Ausgaben werden zur Verarbeitung an den Anbieter in den USA übermittelt. |
| Hypervisor und Rechenzentrum | Der Server ist eine virtuelle Maschine (KVM) auf einem Proxmox-Server, den der Betreiber selbst betreibt; der Hypervisor gehört dem Betreiber. Auf Ebene der virtuellen Maschine ist ein technischer Zugriff auf Arbeitsspeicher und Datenträger möglich. Der Proxmox-Server steht in einem Rechenzentrum; welche Zugriffsmöglichkeiten dessen Betreiber auf die Hardware hat, haben wir nicht geprüft. | Rechenzentrum in Helsinki (Finnland). Name und Vertrag zur Auftragsverarbeitung des Rechenzentrumsbetreibers nennen wir nach Bestätigung (Abschnitt 7). |
| Andere Free-Nutzer | nur Nachrichten, die Sie ihnen senden, samt Ihrer Absenderadresse. Wer die Registrierung bedient, kann nach einer gelösten Rechenaufgabe abfragen, ob eine Adresse vergeben ist. | Rechenaufgabe, Begrenzungen |
| Behörden und Gerichte | nur, soweit wir gesetzlich verpflichtet sind | Anfragen leiten wir zur Prüfung an eine Anwältin oder einen Anwalt weiter. |

Metadaten (Absender, Empfänger, Zeitpunkt, Größe, Ordner) sind in jeder Schutzstufe für den Server sichtbar. In dieser Stufe findet keine automatische Inhaltsprüfung (Spam- oder Virenfilter) statt, und der Dienst fragt keine Sperrlisten oder Auskunftsdienste Dritter ab.

## 7. Empfänger, Auftragsverarbeiter, Drittländer

(Art. 13 Abs. 1 lit. e und f DSGVO)

| Empfänger | Wofür | Daten | Stand |
|---|---|---|---|
| Rechenzentrumsbetreiber des Servers | Server und Speicher | alle Daten auf dem Server, geschützt wie in Abschnitt 6 | Rechenzentrum in Helsinki (Finnland). Name und Vertrag zur Auftragsverarbeitung nennen wir nach Bestätigung. |
| Betreiber des Sicherungsspeichers | verschlüsselte Sicherungen der virtuellen Maschine | alle Daten der virtuellen Maschine, verschlüsselt gesichert | Speicher in Düsseldorf (Deutschland). Name und Vertrag zur Auftragsverarbeitung nennen wir nach Bestätigung. |
| DNS-Betreiber der Domain privymail.eu: INWX GmbH, Berlin | Namensauflösung | keine Nutzerdaten; der Betreiber sieht Abfragen der anfragenden Resolver | Vertrag zur Auftragsverarbeitung abgeschlossen. |
| Andere Free-Nutzer | Zustellung Ihrer Nachrichten | Absenderadresse, Nachricht | entfällt |
| E-Mail-Dienstleister für die Postfächer von patchletter.com | wenn Sie uns schreiben | Ihre Nachricht an uns | Vertrag zur Auftragsverarbeitung abgeschlossen. |
| KI-gestützte Werkzeuge | Entwicklung | Befehle und Ausgaben des Werkzeugs mit Administratorrechten; Nutzerdaten sind dabei nicht ausgeschlossen (Abschnitt 6) | |
| Hoster des Quellcodes (USA) | Code und Dokumentation des Projekts | keine Nutzerdaten; Berichte enthalten nur Zähler und Hashes | Code und Dokumentation liegen dort in einem privaten Repository. |
| Behörden, Gerichte | nur bei gesetzlicher Pflicht | je nach Anordnung | entfällt |

**Nicht beteiligt:** Werbe- und Analysedienste, fremde CAPTCHA-Dienste, Zahlungsdienstleister (Free ist kostenlos), VPN-Dienstleister (nicht Teil dieses Tarifs im ersten Go-live), Spam- oder Reputationsdienste Dritter in dieser Stufe.

**Drittländer.** Wir beabsichtigen nicht, Nutzerdaten in Länder außerhalb der EU und des EWR zu übermitteln. Zwei Drittlandbezüge bestehen aber: Die KI-gestützten Werkzeuge in der Entwicklung stammen von einem Unternehmen mit Sitz in den USA, und der Quellcode liegt bei einem Hoster in den USA (Abschnitte 6 und 7). Der Quellcode enthält keine Nutzerdaten. Das Werkzeug mit Administratorrechten auf dem Produktivserver kann dort aber Nutzerdaten sehen, und seine Befehle und Ausgaben gehen zur Verarbeitung an den Anbieter in den USA (Abschnitt 6). Bei externer Zustellung von Mail (später) können Nachrichten an Server außerhalb der EU gehen; dazu informieren wir vorher.

**Daten Dritter (Art. 14).** Nachrichten enthalten Daten anderer Personen, etwa Absender. Wir verarbeiten sie nur, um den Dienst für Sie zu erbringen, und informieren diese Personen nicht einzeln.

## 8. Wie lange speichern wir? Löschung

(Art. 13 Abs. 2 lit. a DSGVO)

Die Fristen stehen in den Tabellen in Abschnitt 4. Kurz zusammengefasst:

| Daten | Dauer |
|---|---|
| Sitzungen | höchstens 7 Tage, 24 Stunden Leerlauf |
| Zwischenstände, Rechenaufgaben | Minuten |
| Zähler für Begrenzungen (IP-Präfix) | höchstens 61 Minuten (Zeitfenster bis 1 Stunde plus der Aufräumlauf jede Minute), nur Arbeitsspeicher |
| Protokolle des Account-Dienstes, der Datenbank und Systemjournal | höchstens 7 Tage; einzelne frühe Startmeldungen der Datenbank ohne Nutzdaten bis zu zehn Wochen (Abschnitt 4.3) |
| Protokolle des Mailservers | höchstens 7 Tage |
| Angaben zu Missbrauchsfällen | höchstens 90 Tage |
| Konto-, Anmelde- und Tarifdaten, Zustimmungsnachweis | bis zur Löschung des Kontos |
| Sperreintrag einer gelöschten Adresse (Prüfwert) | unbefristet (Abschnitt 4.1) |
| Postfachinhalte | bis Sie löschen oder das Konto gelöscht wird |
| Index-Cache (Kopfzeilen) im Arbeitsspeicher | bis zum Neustart des Mailservers oder des Servers |
| Webmail-Journal | Vorgesehen: Nachricht und Anhänge entfallen 24 Stunden nach Abschluss des Vorgangs; der Rest bleibt bis zur Löschung des Kontos, dann wird das Journal gelöscht |
| Sicherungen | Die virtuelle Maschine wird verschlüsselt gesichert. Die Dauer der Aufbewahrung nennen wir noch nicht; gelöschte Inhalte können bis zum Ablauf der Sicherungen in diesen verbleiben. Bei einem Software-Wechsel entsteht zusätzlich eine Zwischenkopie der Kontodatenbank, die wir nach dem Wechsel löschen; eine feste Frist sagen wir nicht zu (Abschnitt 4.3). |

**Löschung heute.** Es gibt keine Schaltfläche für die Kontolöschung. Einzelne Nachrichten, App-Passwörter, Sitzungen und zweite Faktoren löschen Sie selbst. Ein ganzes Konto löschen wir auf Ihre Anfrage von Hand innerhalb von 30 Tagen mit unserem Betreiberwerkzeug. Eine Bedenkzeit gibt es nicht; Sie können Ihre Anfrage bis zur Ausführung zurücknehmen. Die Adresse wird nach der Löschung nicht wieder vergeben. Dazu behalten wir einen Sperreintrag, nämlich einen schlüsselgebundenen Prüfwert der Adresse ohne Klartext, ohne Kontokennung und ohne Zeitpunkt, unbefristet (Abschnitt 4.1). Zweck ist, Post und Identität früherer Inhaberinnen und Inhaber zu schützen; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Gegen diese Speicherung können Sie nach Abschnitt 9 Widerspruch einlegen; wir prüfen ihn im Einzelfall. Dabei entfernen wir Konto und Zugangsdaten aus der Datenbank und löschen das Postfach samt Schlüsselkopien; der Sperreintrag bleibt als einziger Rest in der Datenbank. Die Löschung entfernt die Zeilen aus der Datenbank. Physische Reste (zum Beispiel Adresse und Kontokennung) können auf dem Datenträger des Servers bleiben, bis der Datenbankdienst den Platz bei einer späteren Bereinigung oder mit neuen Daten überschreibt; eine feste Frist dafür sagen wir nicht zu. Das Webmail-Journal soll mit dem Konto gelöscht werden. Protokolle verschwinden erst mit dem Ablauf ihrer Fristen. Gelöschte Inhalte können noch in Sicherungen der virtuellen Maschine enthalten sein; die Dauer nennen wir noch nicht (Abschnitt 8). Auch eine Zwischenkopie der Kontodatenbank (Abschnitt 4.3) kann das Konto bis zu ihrer Löschung noch enthalten. Eine automatische Löschung unbenutzter Konten gibt es nicht. Verwaiste Registrierungen, deren Schlüssel den Mailserver nie erreicht hat, verwirft der Aufräumlauf (alle 5 Minuten), sobald sie älter als 15 Minuten sind.

## 9. Ihre Rechte

(Art. 13 Abs. 2 lit. b bis d DSGVO)

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen aufgrund berechtigter Interessen (Art. 21). Eine Einwilligung, die Sie widerrufen könnten (Art. 7 Abs. 3), gibt es im Free-Dienst nicht.

- **So üben Sie Ihre Rechte aus:** per E-Mail an [legal@patchletter.com](mailto:legal@patchletter.com) (alternativ [hello@patchletter.com](mailto:hello@patchletter.com)) oder per Post an die Anschrift in Abschnitt 2. Wir antworten unverzüglich, spätestens innerhalb eines Monats (Art. 12 Abs. 3 DSGVO). Die Ausübung kostet nichts. Bitte schreiben Sie keine Passwörter, Codes oder Mailinhalte in die Anfrage.
- **Nachweis:** Damit niemand fremde Daten erschwindeln kann, antworten wir nur an die Adresse Ihres Kontos und verlangen einen Nachweis aus dem angemeldeten Konto. Wir bearbeiten Anträge von Hand, innerhalb eines Monats. **Konten ohne Zugang:** Ohne Passwort und Wiederherstellungscode können wir nichts herausgeben oder löschen.
- **Export und Datenübertragbarkeit (Art. 20):** Einen Sammelexport gibt es nicht, und wir können Ihr Postfach ohne Ihr Passwort oder einen Wiederherstellungscode nicht entschlüsseln und herausgeben. Einzelne Nachrichten laden Sie im Webmail als Datei herunter. Der Abruf aller Nachrichten mit einem Mailprogramm per IMAP ist vorgesehen; wir sagen nicht zu, dass er bei Veröffentlichung dieser Information möglich ist (Abschnitt 1). Anträge auf Datenübertragung beantworten wir mit einem Verweis auf diesen Abruf, innerhalb eines Monats.
- **Beschwerde:** Sie können sich bei jeder Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), insbesondere am Ort Ihres Aufenthalts oder des mutmaßlichen Verstoßes. Zuständig für uns: die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2-4, 40213 Düsseldorf, Postfach 20 04 44, 40102 Düsseldorf.

### Ihr Widerspruchsrecht

Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Ihrer personenbezogenen Daten, die wir auf berechtigte Interessen stützen (Art. 6 Abs. 1 lit. f DSGVO), Widerspruch einzulegen (Art. 21 Abs. 1 DSGVO). Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Wir verarbeiten Ihre Daten nicht für Direktwerbung. Richten Sie den Widerspruch an die Adresse in Abschnitt 2.

## 10. Weitere Angaben

- **Müssen Sie Daten angeben?** Für ein Konto sind Adresse und Passwort nötig; ohne sie richten wir kein Konto ein. Für Webmail und Mailprogramme brauchen Sie ein App-Passwort. Zweiter Faktor und Bezeichnungen sind freiwillig. (Art. 13 Abs. 2 lit. e DSGVO)
- **Cookies:** Nur zwei technisch notwendige Cookies auf `account.privymail.eu`: `__Host-privymail-session` (Sitzung, höchstens 7 Tage) und `__Host-privymail-login` (Anmeldeschritt, höchstens 10 Minuten). Beide sind `Secure`, `HttpOnly` und `SameSite=Strict`. Es gibt keinen lokalen Browserspeicher, keinen Service Worker, keine Schriften oder Skripte von Dritten und keinen Tracking- oder Analysedienst; die Sprache wählen Sie über die Adresse (/de/, /en/). Die Webmail lädt keine externen Inhalte aus Nachrichten nach.
- **Automatisierte Entscheidungen, Profilbildung:** Wir bilden keine Profile und treffen keine Entscheidung allein durch automatisierte Verarbeitung mit rechtlicher oder ähnlich erheblicher Wirkung (Art. 22 DSGVO). Automatisch wirken Begrenzungen: Sperre von Anmeldeversuchen für ein Zeitfenster, vorübergehende Ablehnung von Mail über den Free-Grenzen (SMTP 451), vorübergehende Abweisung von Anfragen im Webmail, wenn ein Konto zu viele zugleich oder zu schnell hintereinander stellt (technischer Schutz der anderen Konten, keine Maßnahme gegen Sie), Schließung der Registrierung beim Kontobudget. Eine automatische Kontosperre gibt es nicht.
- **Mindestalter:** Sie müssen mindestens 16 Jahre alt sein. Sind Sie noch nicht 18, gilt zusätzlich Ziffer 4.2 der Nutzungsbedingungen (Einverständnis Ihrer Eltern oder Sorgeberechtigten).
- **Zusagen:** Wir verwenden Ihre Daten nicht für Werbung und verkaufen sie nicht.
- **Änderungen:** Wir passen diese Information an, wenn sich Verarbeitung oder Rechtslage ändern, insbesondere vor externer Zustellung von Mail und mit dem Ende der Testphase. Die geltende Fassung trägt Version und Stand. Wesentliche Änderungen kündigen wir auf der Website und, soweit möglich, durch eine Nachricht in Ihr Postfach an.
- **Weitere Texte:** Die [Nutzungsbedingungen](https://privymail.eu/legal-archive/free-beta-1/terms-free.md) und die [Missbrauchsregeln](https://privymail.eu/legal-archive/free-beta-1/acceptable-use-free.md) gehören zum selben Textsatz (Fassung free-beta-1).
- **Stand:** Fassung free-beta-1 vom 21. Oktober 2026, Revision vom 8. November 2026 (Angaben zum Standort des Servers und zur Sicherung, Abschnitte 1, 3, 4.3, 6, 7 und 8).

---

- privymail.eu: patchletter UG (haftungsbeschränkt) · Deutschland
- Commit: `71cd013265df`
- Diese Seite als HTML: https://privymail.eu/legal-archive/free-beta-1/privacy-free/
- English version: https://privymail.eu/en/legal-archive/free-beta-1/privacy-free.md