Datenschutz

Verantwortlicher

Ein Datenschutzbeauftragter ist nicht bestellt, weil dies gesetzlich nicht erforderlich ist.

1. Abruf ohne Konto (Gast)

Du gibst deine E-Mail-Adresse, den IMAP-Server und dein Postfach-Passwort ein. Das Passwort wird nur im Arbeitsspeicher für diesen einen Abruf benutzt und nicht in die Datenbank geschrieben. Die abgerufenen Mails und Anhänge landen in einem temporären Ordner auf dem Server. Du lädst sie als ZIP-Datei herunter; danach wird der Ordner gelöscht. Bei einem abgeschlossenen Job geschieht das spätestens nach einer Stunde.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des von dir angeforderten Abrufs).

2. Konto und gespeicherte Daten

Mit einem Konto speichern wir:

• deine Login-E-Mail-Adresse und dein Passwort als Argon2-Hash (nie im Klartext),
• deine Postfächer mit Name, E-Mail-Adresse, IMAP-Server und Datum der letzten geladenen Mail,
• Einstellungen (Design, Standard-Ordner, Anhänge an/aus, Nextcloud-Ziel, Bestenliste),
• den Verlauf: Message-IDs bzw. Ersatz-IDs bereits geladener Mails und Dateinamen,
• deine Ausschlussliste (Dateien, die nicht wieder geladen werden sollen),
• deinen Spielstand (XP, Level, Serie, Quests, Abzeichen, Rekorde).

Optional und nur auf deinen Wunsch verschlüsselt gespeichert (Fernet): Postfach-Passwörter, Microsoft-Refresh-Tokens und das Nextcloud-App-Passwort. Der Fernet-Schlüssel liegt auf demselben Server. Wer Zugriff auf Server und Schlüssel hat, kann diese Angaben entschlüsseln. Das Hauptpasswort deines E-Mail-Kontos wird nie gespeichert.

Mails selbst speichern wir im Konto-Modus nicht dauerhaft in der Datenbank. Die Dateien liegen nur im temporären Job-Ordner (Download/ZIP; bei abgeschlossenem Job spätestens nach einer Stunde) oder – wenn der Nextcloud-Upload fehlschlägt – in der Upload-Warteschlange (siehe Abschnitt 3).

Du kannst dein Konto und alle zugehörigen Daten im Profil mit deinem Passwort selbst löschen. Dabei werden Postfächer, Verlauf, Ausschlüsse, Spielstand, Sitzungen und ausstehende Uploads gelöscht. Server-Logs bleiben bis zur Rotation bestehen (Abschnitt 7). Technische Sicherungskopien der SQLite-Datenbank (tägliche Backups) werden nicht automatisch mit dem Konto gelöscht; sie bleiben bis zur Löschung durch den Betreiber bestehen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Konto und Archivierungsdienst).

3. Nextcloud-Upload

Wenn du als Ziel Nextcloud/WebDAV wählst, laden wir deine Mails und Anhänge per HTTPS in den von dir angegebenen Ordner deiner Nextcloud. Dafür speichern wir die Nextcloud-URL, deinen Benutzernamen, den Zielordner und das App-Passwort (verschlüsselt).

Ist Nextcloud nicht erreichbar, legen wir eine Kopie der Dateien in einem geschützten Ordner auf dem Server ab und tragen den Upload in eine Warteschlange ein. Ein Hintergrundprozess versucht es alle fünf Minuten erneut. Die Dateien bleiben dort, bis der Upload klappt oder du sie im Profil löschst; beim Löschen von Konto oder Postfach werden sie mitgelöscht. Bereits vorhandene Dateien im Zielordner werden nicht überschrieben: gleichnamige Mails werden übersprungen, gleichnamige Anhänge mit anderer Größe bekommen einen Zähler wie _2.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (von dir gewählte Ausgabe).

4. Microsoft 365

Für Microsoft-Postfächer meldest du dich bei Microsoft an (OAuth). Dabei gelten die Datenschutzbestimmungen von Microsoft. Wir fragen nur den Zugriff auf dein Postfach über IMAP an (IMAP.AccessAsUser.All) und speichern bei Konten den Refresh-Token verschlüsselt; bei Gästen bleibt der Zugangsschlüssel nur im laufenden Job im Speicher. Deine Microsoft-Zugangsdaten sehen wir nicht.

Der zweite, codebasierte Microsoft-Weg nutzt eine öffentliche Client-ID; auch dabei läuft die Anmeldung bei Microsoft. Der Refresh-Token wird ebenfalls verschlüsselt gespeichert.

Microsoft kann Daten auch außerhalb der EU verarbeiten. Maßgeblich sind die Bedingungen und Datenschutzhinweise von Microsoft.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (von dir angeforderter Abruf).

5. Bestenliste

Die Bestenliste ist freiwillig. Nur wenn du im Profil ausdrücklich zustimmst, erscheinen dein Spitzname und die Anzahl deiner Mails öffentlich unter /bestenliste. Deine E-Mail-Adresse wird dort nie angezeigt. Du kannst die Teilnahme jederzeit im Profil abschalten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Du kannst sie jederzeit widerrufen.

6. Cookies und Browser-Speicher

Wir setzen nur technisch notwendige Cookies:

• mailcheck_session – Anmeldung, höchstens 30 Tage, HttpOnly, SameSite=Lax, in Produktion Secure,
• mailcheck_csrf – Schutz vor fremden Formular-Absendungen, höchstens 30 Tage,
• mailcheck_oauth_state – nur für die Microsoft-Anmeldung, 10 Minuten.

Im localStorage deines Browsers speichern wir das gewählte Design, den Gast-Spielstand und die Sound-Einstellung. Es gibt kein Tracking, keine Analyse, keine Werbung, keine externen Schriften und keine externen Skripte. Alles wird von unserem Server geladen.

Rechtsgrundlage für technisch notwendige Cookies: Art. 6 Abs. 1 lit. f DSGVO (Betrieb und Sicherheit der Seite).

7. Server-Logs

Caddy und der Anwendungsserver schreiben Zugriffs- und Fehlerprotokolle nach stdout bzw. in die Docker-Logs. Darin stehen insbesondere IP-Adresse, Zeitpunkt, aufgerufene Adresse, Statuscode und Fehlermeldungen. Formularinhalte, Passwörter und Mailinhalte werden nicht geloggt. Bei OAuth-Aufrufen kann die aufgerufene URL kurzzeitig einen Autorisierungscode enthalten.

Die Docker-Logs sind auf 10 MB je Datei und höchstens 3 Dateien je Dienst begrenzt (also maximal 30 MB pro Dienst). Eine feste kalendarische Löschfrist gibt es dadurch nicht: Ältere Einträge fallen heraus, sobald die Größenbegrenzung erreicht ist.

Rate-Limits zählen IP-Adressen nur im Arbeitsspeicher; sie werden nicht dauerhaft gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Sicherheit und Missbrauchsschutz).

8. Hosting und Dienstleister

Die Anwendung läuft auf einem virtuellen Server der netcup GmbH, Daimlerstraße 25, 76185 Karlsruhe, Deutschland. Die DNS-Verwaltung liegt bei deSEC (Berlin). Das TLS-Zertifikat wird von Let's Encrypt ausgestellt. Eine Weitergabe an Dritte findet nicht statt, außer an Microsoft bei der Microsoft-Anmeldung und an die von dir selbst angegebene Nextcloud. Es gibt keine Werbung und keinen Verkauf von Daten.

9. Deine Rechte

Du hast nach der DSGVO das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Eine erteilte Einwilligung kannst du jederzeit widerrufen; die Rechtmäßigkeit der bisherigen Verarbeitung bleibt davon unberührt.

Für Fragen und Anträge wende dich an kontakt@adhanclock.de. Du kannst dich außerdem bei der Berliner Beauftragten für Datenschutz und Informationsfreiheit, Alt-Moabit 59–61, 10555 Berlin, beschweren.

Stand: November 2026