Datenschutzerklärung

Stand: 3. Oktober 2026 · Version 2026-10-03

1. Verantwortlicher

Jonas Heip, Klusenerweg 11, 59494 Soest, Deutschland. Datenschutzkontakt: felixh82006@gmail.com. Es wird derzeit kein benannter Datenschutzbeauftragter behauptet.

2. Welche Daten wir verarbeiten

Account verarbeitet E-Mail-Adressen und ihren Verifikationsstatus, Anzeigenamen, optional eine Profilbild-URL, interne Kennungen, Konto- und Sperrstatus, Rollen, Produktfreigaben, Einladungen sowie Zeitpunkte sicherheitsrelevanter Aktionen. Passwörter werden als gesalzene scrypt-Prüfwerte gespeichert. MFA verwendet geschützte Authenticator-Schlüssel und verschlüsselt gespeicherte Wiederherstellungscodes. Sitzungsdaten umfassen Kennung, Laufzeit, IP-Adresse und Browserinformationen. Authentifizierungstokens und kurzlebige Verifikationsnachweise werden zur Anmeldung und Wiederherstellung benötigt.

Bei Ostrae.email werden gewünschte und zugeordnete Adressnamen, Aktivierungsstatus und technische Postfachkennungen verarbeitet. Ein aktiviertes Postfach speichert eingehende Nachrichten, einschließlich Inhalt, Absendern, Empfängern, Anhängen und Transportmetadaten. Die Ostrae.email-Webseite liest und organisiert Ihr eigenes Postfach über Account; verschlüsselte OAuth-Sitzungen werden für höchstens 12 Stunden in Neon gespeichert. Kurzlebige Anmeldezustände laufen nach fünf Minuten ab. Eine Adresse ohne aktives Postfach bietet diese Funktion nicht. Wenn Sie den Betreiber per E-Mail kontaktieren, werden Ihre Nachricht und die für ihre Bearbeitung nötigen Angaben verarbeitet.

3. Zwecke und Rechtsgrundlagen

Registrierung, Anmeldung, Verifikation, erforderliche Mitteilungen, Produktverbindungen und die Bereitstellung angefragter Kontofunktionen erfolgen zur Vertragsdurchführung beziehungsweise für vorvertragliche Maßnahmen (Art. 6 Abs. 1 Buchst. b DSGVO). Missbrauchsschutz, begrenzte Sicherheitsprotokolle, Zugriffskontrollen und Störungsanalyse dienen unserem berechtigten Interesse an einem sicheren Dienst (Art. 6 Abs. 1 Buchst. f DSGVO); dabei sind Ihre Interessen zu berücksichtigen. Eine gesetzlich erforderliche Verarbeitung beruht auf Art. 6 Abs. 1 Buchst. c DSGVO. Optionale Verarbeitung, die eine Einwilligung benötigt, darf erst nach einer gesonderten, widerruflichen Einwilligung erfolgen (Art. 6 Abs. 1 Buchst. a DSGVO). Die Kenntnisnahme dieser Erklärung ist keine pauschale Einwilligung.

4. Pflichtangaben, Kinder und Folgen der Nichtbereitstellung

Eine erreichbare E-Mail-Adresse, ein Passwort und ein Anzeigename sind für die Registrierung erforderlich. Ohne Verifikation ist die Anmeldung nicht möglich. MFA ist bei entsprechend geschützten Konten erforderlich. Eine Profilbild-URL und ein eigener Ostrae-Adressname sind optional. Das Mindestalter beträgt 12 Jahre; Minderjährige benötigen die erforderliche Zustimmung ihrer gesetzlichen Vertretung. Bei einwilligungsabhängigen Online-Diensten gilt in Deutschland grundsätzlich die Altersgrenze von 16 Jahren nach Art. 8 DSGVO. Für jüngere Kinder darf die erforderliche elterliche Einwilligung nicht allein durch eine ungeprüfte Checkbox ersetzt werden. Eltern können sich für eine Prüfung oder Löschungsanfrage an den Betreiber wenden.

5. Dienstleister und Empfänger

Vercel stellt das Webhosting bereit; die Account-Funktionen sind für Frankfurt konfiguriert. Neon stellt die PostgreSQL-Datenbank bereit. Microsoft Azure Communication Services versendet Verifikations-, Wiederherstellungs- und Sicherheitsnachrichten; ein Azure-Workflow ruft geschützte Wartungsendpunkte auf. Zustellungsdiagnosen speichern Empfängeradressen, Zustellungskennungen, Status und SMTP-Fehler für 30 Tage in Azure Log Analytics in der Schweiz; Öffnungs- und Klicktracking ist deaktiviert. AWS in Frankfurt stellt den Ostrae.email-Mailserver, verschlüsselte Datenträger, Zugangskonfiguration und Sicherungen bereit. AWS SES ist für Mailtransport vorbereitet; produktiver Versand ist derzeit durch die SES-Sandbox eingeschränkt. Diese Anbieter können technische Metadaten für den Betrieb ihrer Leistungen verarbeiten. Kontakt über Gmail wird durch Google verarbeitet.

Angeschlossene Produkte erhalten nur die für die bestätigte Verbindung und Freigaben vorgesehenen Angaben, beispielsweise Kennung, Anzeigename und verifizierte E-Mail-Adresse. Eine Freigabe kann widerrufen werden. Optional angegebene externe Profilbilder werden vom Browser beim jeweiligen Bildanbieter geladen; dabei kann dieser Ihre IP-Adresse und Anfragemetadaten erhalten. Wir verkaufen keine Account-Daten und implementieren derzeit keine Werbeprofile oder Analyse-Tracker.

6. Länder und Übermittlungen

EU-Standorte der laufenden Infrastruktur schließen eine Verarbeitung durch international tätige Anbieter, insbesondere für Support und Verwaltung, nicht vollständig aus. Übermittlungen außerhalb des EWR benötigen eine zulässige Grundlage, etwa einen einschlägigen Angemessenheitsbeschluss oder Standardvertragsklauseln und gegebenenfalls zusätzliche Schutzmaßnahmen. Die konkreten Auftragsverarbeitungsverträge, Empfängerrollen und anwendbaren Übermittlungsgrundlagen müssen vor einer allgemeinen Freigabe geprüft und dokumentiert werden. Informationen zu diesen Unterlagen können über den Datenschutzkontakt angefordert werden; diese Erklärung behauptet keine bereits abgeschlossene Prüfung.

7. Cookies, lokale Speicherung und Passwortgenerator

Account verwendet erforderliche Sitzungscookies und kurzlebige Cookies für Anmelde- und MFA-Abläufe. Sitzungscookies sind im Produktivbetrieb Secure und HttpOnly. Diese Cookies dienen der von Ihnen angefragten Anmeldung; optionale Tracking-Cookies sind nicht implementiert. Bei aktiver Nutzung wird die Sitzungsdauer erneuert; ohne Erneuerung endet eine Sitzung nach spätestens 12 Stunden. Sie können Sitzungen im Account widerrufen.

Der Passwortgenerator arbeitet mit der kryptografischen Zufallsquelle Ihres Browsers. Generierte Passwörter werden nicht für die Prüfung an einen externen Dienst gesendet; sie werden erst beim ausdrücklich ausgelösten Registrieren oder Passwortwechsel übertragen. Kopieren schreibt den Wert in die Zwischenablage. Ein Download enthält ihn als unverschlüsselte Textdatei auf Ihrem Gerät. Bewahren Sie diese Datei geschützt auf. Die lokale Passwortprüfung kann nicht beweisen, dass ein Passwort nie kompromittiert wurde. Die Adressverfügbarkeitsprüfung übermittelt nur den gewünschten Ostrae-Namen an Account, keine Kennwörter.

8. Speicherdauer und Löschung

Kontodaten werden für die Nutzung des Accounts benötigt und auf einen geprüften Löschungsantrag hin gelöscht, soweit keine konkrete gesetzliche Pflicht oder berechtigter notwendiger Aufbewahrungsgrund besteht. Sekundäre E-Mail-Nachweise laufen nach einer Stunde ab; primäre Verifikationslinks nach einer Stunde; Passwort-Reset-Links sind kurzlebig und einmalig. Ablauf und technische Entfernung sind unterschiedliche Vorgänge. Versendete Nachrichteninhalte im Versandauftrag werden nach erfolgreicher Zustellung entfernt; fehlgeschlagene Aufträge bleiben für einen erneuten Zustellversuch geschützt gespeichert.

Ein automatisierter vollständiger Lösch- und Aufbewahrungsprozess für sämtliche Sicherheitsereignisse, Zustellmetadaten, abgelaufenen Nachweise und unbestätigten Konten ist noch nicht durchgängig eingerichtet. Daher wird hier keine bereits umgesetzte pauschale Löschfrist behauptet. Diese Daten werden auf begründete Anfrage geprüft und dürfen nur so lange gespeichert werden, wie der jeweilige Zweck es erfordert. Die tägliche AWS-Sicherungsregel hält sieben Wiederherstellungspunkte vor; gesonderte Initial- oder Prüfkopien können zusätzlich existieren. Löschungen müssen auch bei einer Wiederherstellung berücksichtigt werden. Fragen zu einzelnen Datensätzen beantwortet der Datenschutzkontakt.

9. Ihre Rechte

Unter den gesetzlichen Voraussetzungen haben Sie das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit. Gegen eine auf berechtigte Interessen gestützte Verarbeitung können Sie aus Gründen Ihrer besonderen Situation Widerspruch einlegen. Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Schreiben Sie an felixh82006@gmail.com; geben Sie nur die für die Zuordnung nötigen Informationen an. Bei begründeten Zweifeln kann eine verhältnismäßige Identitätsprüfung erfolgen. Wir bearbeiten Anfragen innerhalb der gesetzlichen Fristen.

Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere am Aufenthaltsort, Arbeitsort oder Ort des vermuteten Verstoßes. Für den Betreiber in Nordrhein-Westfalen ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen eine Anlaufstelle: www.ldi.nrw.de.

10. Automatisierte Entscheidungen und Sicherheit

Es erfolgt kein Werbeprofiling und keine automatisierte Entscheidung mit den in Art. 22 DSGVO beschriebenen Rechtswirkungen. Automatische Zugriffssperren und Anfragelimits schützen die Infrastruktur; eine Überprüfung kann über den Kontakt angefordert werden. TLS, Zugriffskontrollen, Passwort-Hashing, geschützte MFA-Daten und verschlüsselte Datenträger reduzieren Risiken, können aber keine absolute Sicherheit garantieren. Senden Sie uns keine Passwörter oder Wiederherstellungscodes.

11. Optionale MICA-Hilfe und Werbung

Wenn Sie MICA in Codae ausdrücklich um Hilfe bitten, werden die ausgewählte Lektion, Ihr aktueller Code und Ihre Frage über das Produkt-Backend an Google Vertex AI gesendet. In Ostrae.email werden nur die ausgewählte Nachricht und/oder Ihr Entwurf für die angefragte Zusammenfassung, Antwort oder Überarbeitung übertragen. Andere Nachrichten und Anhänge werden nicht einbezogen. Antworten sind Vorschläge; diese Integration kann weder E-Mails versenden noch Ihren Desktop steuern. Der Modell-Endpunkt ist für die EU-Region konfiguriert; die oben genannten Hinweise zu internationalen Anbietern gelten weiterhin. Übermitteln Sie keine Geheimnisse oder Inhalte, die Sie nicht teilen dürfen. Tägliche Anfragezähler begrenzen die Nutzung; diese Web-Endpunkte speichern keinen KI-Gesprächsverlauf.

Desktop-Übergabe ist optional und benötigt einen ausdrücklich erzeugten produktbezogenen Verbindungscode. MICA Desktop erkennt passende Browserfenstertitel lokal, um Hilfe anzubieten. Die Webseite erhält einen kurzlebigen Anwesenheitsstatus. Ausgewählter Code oder Mailinhalt wird erst nach Ihrer ausdrücklichen Freigabe übertragen, auf dem Server verschlüsselt für bis zu zwei Minuten verfügbar gehalten und einmalig abgerufen. Abgelaufene verschlüsselte Datensätze können bis zum Überschreiben oder Widerruf verbleiben. Zugangsdaten sind an die ausstellende Anmeldesitzung gebunden und lokal durch das Betriebssystem verschlüsselt. Abmelden, Sitzungswiderruf oder Trennen beendet den Zugriff. Die Verfügbarkeit von zwei Minuten ist keine garantierte physische Löschfrist.

Codae und die öffentliche Ostrae.email-Startseite bieten optionale Werbeplätze. Platzierungspräferenzen werden lokal im Browser gespeichert und sind getrennt von einer Werbeeinwilligung. Eigentums-Metadaten und ads.txt laden keine Werbetracker. Live-Google-Werbung wird erst mit notwendiger Anbieter-Konfiguration und anwendbaren Einwilligungsprüfungen aktiviert. Private Postfächer und Account-Seiten laden keine Werbung. Ein separat konfiguriertes Sponsorvideo nach abgeschlossenen Codae-Lektionen ist überspringbar und in den Einstellungen abschaltbar.

12. Änderungen

Bei Änderungen der Verarbeitung wird diese Erklärung aktualisiert. Der Stand und die Version stehen am Beginn der Seite. Neue Zwecke mit einer erforderlichen Einwilligung werden nicht allein durch das Ändern dieser Erklärung freigegeben.