Datenschutzerklärung für sarebamail

Was sarebamail im Einzelnen speichert

• E-Mails, Termine, Kontakte, Aufgaben und Notizen liegen am Mailserver. sarebamail zeigt sie an und legt keine eigene Kopie dieser Inhalte in seiner Datenbank ab.
• Verschlüsselt gespeichert: Ihr Mailserver-Kennwort und Ihre Sitzung am Mailserver, Chatnachrichten sowie die Namen von Gruppen, Teams, Kanälen und Chat-Ordnern. Das ist Verschlüsselung beim Speichern, keine Ende-zu-Ende-Verschlüsselung: Der Dienst verarbeitet Chatnachrichten zur Zustellung im Klartext.
• Ende-zu-Ende-Chats: nur Chiffrate, die die Browser der Beteiligten erzeugt haben (dazu verschlüsselt gespeichert wie jede Chatnachricht), die Signatur des Absenders, der vom Anlegenden signierte Kopf mit den Mitgliedern und der Unterhaltungsschlüssel, eingewickelt für die Schlüssel der Mitglieder und den Wiederherstellungsschlüssel ihrer Organisationen – nicht für sarebamail. Gruppenname, Reaktionen und angekündigte Dateinamen sind dort nicht Ende-zu-Ende.
• Eingebundene sarebamail-Postfächer: kein Kennwort, nur ein Prüfwert, der aus dem gespeicherten Kennwort-Hash des Postfachs gebildet wird. Er zeigt an, ob sich das Kennwort seither geändert hat; das Kennwort lässt sich daraus nicht zurückrechnen. Das Einbinden steht im Anmeldeprotokoll des Postfachs, mit der Adresse dessen, der es eingebunden hat.
• Senden aus einem sarebamail-Postfach: Die IP-Adresse, von der aus Sie abschicken, liegt bei der Nachricht im Ausgang, bis sie zugestellt ist, und geht mit der Prüfung an mailsecurity by sareba – damit prüft mailsecurity by sareba die Herkunft Ihrer Nachricht und nicht nur unseren Server. Danach wird sie bei sarebamail gelöscht; mailsecurity by sareba bewahrt sein Prüfprotokoll 90 Tage auf.
• Unverschlüsselt gespeichert: wer wann in welcher Unterhaltung geschrieben hat, das Anrufprotokoll (Zeitpunkt, Dauer, Beteiligte, Ergebnis), Signaturen, An- und Abmeldungen mit IP-Adresse und Browserkennung sowie ein Ereignisprotokoll je Postfach (etwa „Nachricht gesendet“ mit der Anzahl der Empfänger – ohne Adressen, Betreff oder Inhalt).
• Gekoppelte Geräte: Name, Zeitpunkt der Kopplung und der letzten Abfrage; das Zugangszeichen des Agenten nur als Prüfsumme. Laufende Kopplungscodes werden nach höchstens einer Stunde gelöscht. Was der Agent schon gemeldet hat, liegt nur im Arbeitsspeicher. Die Handy-App zählt als Gerät mit ihrer Art (Android, iPhone); beim iPhone dazu verschlüsselt die Kennung, unter der Apple das Telefon weckt (APNs-Token). Der Weckruf selbst ist leer – kein Absender, kein Inhalt; Apple sieht nur, dass und wann ein Telefon geweckt wird.
• Systemmails (Willkommen, neues Gerät, Hinweis an die Betreiber): ein Versandprotokoll mit Zeit, Vorlage, Empfängeradresse und Betreff der Vorlage, die letzten 1000 Einträge. Das Kennwort des Mailservers für den Versand liegt verschlüsselt.
• Aufrufe der öffentlichen Seiten (Start, Download, Updates, Hilfe, Anmeldung): Seite, Herkunft (etwa „google.at“), Art der Herkunft und Gerätetyp – ohne IP-Adresse, ohne Cookies und ohne Browserkennung, 90 Tage. Wer „Do Not Track“ oder GPC setzt, wird nicht gezählt.
• Zugänge zu Google Search Console, Bing und Yandex Webmaster für die Suchstatistik liegen verschlüsselt; abgefragt werden nur Summen zu Suchanfragen und Seiten.
• Tarif je Organisation und davon abweichende Werte; je Benutzer ein Zähler der heute gesendeten Nachrichten (nur die Zahl, 90 Tage). Mitteilungen des Betreibers mit Titel, Text und Zeitraum. Schlagzeilen werden nicht gespeichert, nur 15 Minuten im Arbeitsspeicher gehalten.
• Der gewählte Klingelton (eine Zeile je Benutzer).
• Postfächer auf dem sarebamail-Mailserver: Nachrichten verschlüsselt gespeichert (Kopf und Inhalt getrennt), nicht Ende-zu-Ende. Unverschlüsselt: Größe, Eingangszeit, Ordner und Merkmale wie gelesen oder markiert. Im Papierkorb gilt die Frist Ihres Tarifs ab dem Löschen; danach wird endgültig gelöscht.
• Nicht gespeichert: Bild und Ton von Anrufen und die Verbindungsdaten des Anrufaufbaus. Ob jemand online, abwesend, im Anruf oder im Termin ist, rechnet der Server nur im Arbeitsspeicher aus; vom Kalender geht dafür nur das Ende eines laufenden Termins hinaus, nie Betreff, Ort oder Teilnehmer.
• Kalender und Kontakte aus Programmen (CalDAV, CardDAV): Neben Titel, Zeiten, Ort, Namen und Adressen speichert sarebamail das zuletzt vom Programm geschickte Original eines Termins oder Kontakts verschlüsselt – damit Teilnehmer, Fotos und andere Angaben, die sarebamail nicht anzeigt, beim Abgleich nicht verloren gehen. Im Klartext bleibt nur der Dateiname, den das Programm vergibt (meist eine zufällige Kennung). Gelöscht wird beides mit dem Termin oder Kontakt. Anmeldungen der Programme stehen ohne Kennwort im Anmeldeprotokoll.
• Mailprogramme (IMAP, SMTP): sarebamail speichert dafür nur ein Merkmal je Nachricht (zum Löschen markiert); Inhalte bleiben verschlüsselt und werden nur entschlüsselt, wenn Ihr Programm eine Nachricht abruft oder durchsucht. Anmeldungen der Programme stehen höchstens einmal je Stunde und App-Kennwort ohne Kennwort im Anmeldeprotokoll, Fehlversuche jedes Mal.
• Anhänge, die Sie senden, liegen während des Sendens nur im Arbeitsspeicher und gehen dann an den Mailserver.
• Agent-Fenster: Anmeldung, Cookies und Zwischenspeicher der Seite liegen auf Ihrem Gerät im Programmordner des Agenten (Windows: %LOCALAPPDATA%\sarebamail-agent\webansicht, macOS: Datenspeicher von WebKit für den Agenten) – wie bei einem Browser, nicht bei uns.
• Versand vom sarebamail-Postfach: Bis eine Nachricht an fremde Server zugestellt ist (höchstens 5 Tage), liegt sie verschlüsselt in der Warteschlange; danach wird ihr Inhalt dort gelöscht. Adresse, Zeitpunkt und Ergebnis der Zustellung bleiben 30 Tage als Protokoll. Die Kopie in „Gesendet“ bleibt, solange Sie sie behalten.
• Selbstregistrierung: Die Kontaktadresse liegt verschlüsselt (mit Schlüsselversion) und zusätzlich als Schlüsselwert, damit dieselbe Adresse nicht beliebig oft verwendet wird. Gespeichert werden außerdem Zeitpunkte von Anlage, Bestätigung, Freigabe und Sperre. Die IP-Adresse wird nicht gespeichert, nur ein Schlüsselwert davon für die Grenze je Anschluss, und der wird nach spätestens 25 Stunden gelöscht. Links aus Systemmails liegen nur als Prüfsumme vor. Lehnt der Spamfilter eine Ihrer Nachrichten ab, liegen Zeitpunkt und Grund (etwa die Bewertung) 30 Tage bei uns, ohne Inhalt und ohne Empfänger; ebenso Beginn und Ende einer Pause.
• Aliase: die Adresse, zu welchem Postfach sie gehört und wann sie angelegt wurde. Ein gelöschter Alias bleibt mit dem Löschzeitpunkt 180 Tage stehen, damit niemand anderes die Adresse übernimmt und Post für Sie bekommt. Anlegen und Löschen stehen im Kontoprotokoll.
• Pro-Organisation: wer Pro-Admin ist und wer ihn ernannt hat, die Zahl der gebuchten Pro-Plätze und jede Änderung daran mit Zeitpunkt und handelnder Person (Grundlage der Abrechnung, wird nicht gelöscht).
• Zusatzpakete: welche Pakete eine Organisation gebucht hat, wie oft, und jede Änderung mit altem und neuem Wert, Preis, Zeitpunkt und handelnder Person (Grundlage der Abrechnung, wird nicht gelöscht).
• Filterregeln der sarebamail-Postfächer: Name, Bedingungen (etwa Absenderadressen oder Betreffwörter) und Aktionen, im Klartext als Einstellung des Postfachs – ausgewertet werden sie beim Eingang.
• Absenderlisten (immer zulassen, immer sperren): je Postfach die Adresse bzw. Domain, die Art, wann und von wem eingetragen – im Klartext als Einstellung, wie Filterregeln.
• Dateien im Chat: Der Server speichert keinen Inhalt. Er kennt Name, Größe, Typ und Prüfsumme (verschlüsselt wie eine Nachricht) und wer die Datei auf einem Gerät hat. Die Signale zum Aufbau der Verbindung reicht er nur weiter, ohne sie zu speichern. Der Inhalt liegt auf den Geräten der Beteiligten.
• Hintergrund im Videoanruf: Ihre Wahl und eigene Hintergrundbilder liegen nur in diesem Browser (lokaler Speicher), nicht am Server. Das Erkennungsmodell liefert sarebamail selbst aus; das Kamerabild wird auf dem Gerät bearbeitet.
• Status: was Sie selbst wählen (Status, Statustext verschlüsselt, bis wann) und wann Sie zuletzt online waren, auf die Minute, mit Ihrer Einstellung, ob andere das sehen. Gezeigt wird „Offline seit“ nur grob (5 Minuten, Stunde oder Tag). Wie lange jemand schon abwesend ist, ergibt sich aus der letzten Eingabe in einem Fenster oder – vom Agenten gemeldet, nur als Zahl der Sekunden seit der letzten Eingabe am Rechner – am Rechner (nur im Arbeitsspeicher) bzw. dem Zeitpunkt, zu dem der Status gewählt wurde, und wird genauso grob gezeigt.
• Lesestand im Chat: je Unterhaltung und Teilnehmer nur, bis zu welcher Nachricht zugestellt und gelesen wurde, dazu Ihre Einstellung zu Lesebestätigungen. Selbstlöschende Nachrichten werden nach ihrer Frist samt Anrufeintrag und Dateibeschreibung gelöscht; vorher geschriebene bleiben.
• Eigener Kalender: Titel, Ort und Beschreibung verschlüsselt; im Klartext Beginn, Ende, Zeitzone, Serienregel, Ausnahmen einer Serie und die Erinnerung (Minuten vorher), dazu für zwei Tage, welche Erinnerung schon kam. Abwesenheitsnotiz eigener Postfächer: der Text verschlüsselt; damit niemand zweimal eine Antwort bekommt, für 7 Tage nur ein Prüfwert der Absenderadresse und der Zeitpunkt. Eigene Kontakte, Aufgaben und Notizen: der ganze Eintrag verschlüsselt; im Klartext nur, wem er gehört und wann er angelegt und geändert wurde.
• Besprechungen: Titel verschlüsselt; im Klartext Beginn, Ende, Zeitzone, Organisator, wer zugesagt oder abgesagt hat und die Adressen externer Eingeladener (sonst ginge keine Einladung und keine Absage hinaus). Ein Link für Gäste liegt verschlüsselt.
• Gäste per Link: Name, Zustand im Warteraum und der Zugang liegen nur im Arbeitsspeicher des Servers (vom Zugang nur eine Prüfsumme) und verfallen, sobald der Gast geht, nicht mehr fragt oder die Besprechung vorbei ist. Im Anrufprotokoll stehen Gäste nicht. Was ein Gast im Chat schreibt, bleibt wie jede Chatnachricht im Verlauf – Name und Text zusammen verschlüsselt, ohne Konto.
• Reaktionen: wer mit welchem Emoji auf welche Nachricht reagiert hat – das Emoji verschlüsselt. GIFs: die Angaben zum GIF (Kennung bei Wikimedia Commons, Titel, Urheber, Lizenz) verschlüsselt wie eine Nachricht; das Bild selbst speichert sarebamail nicht, es holt es bei Bedarf von Commons. Wikimedia sieht dabei den Server von sarebamail und den Suchbegriff, nicht Ihre Adresse.
• Bearbeiten und Löschen: Beim Bearbeiten ersetzt der neue Text den alten (verschlüsselt), gespeichert wird nur der Zeitpunkt der letzten Bearbeitung – der alte Text bleibt nicht. Eine gelöschte Nachricht bleibt als Platzhalter mit Absender und Zeit stehen, ihr Inhalt ist gelöscht.
• Impressum, Datenschutzerklärung, AGB und die Texte der Systemmails: jede gespeicherte Fassung mit Zeitpunkt und dem Konto, das sie gespeichert hat. So bleibt nachvollziehbar, welcher Text wann galt; frühere Fassungen werden nicht gelöscht.
• Prüfung durch mailsecurity by sareba: Zum Prüfen bekommt mailsecurity by sareba den Inhalt jeder Nachricht, die Sie vom sarebamail-Mailserver senden, auch an sarebamail-Adressen. mailsecurity by sareba verarbeitet den Inhalt nur für die Prüfung; in sein Protokoll schreibt es Absender, Zahl der Empfänger, Ergebnis und Bewertung.
• Maillisten (Pro): die Adressen der Mitglieder und je Mitglied ein Abmeldelink. Nachrichten, die auf Freigabe warten, liegen verschlüsselt bei uns, bis ein Pro-Admin sie freigibt oder ablehnt; die Absenderadresse sehen die Pro-Admins der Organisation. Freigaben und Ablehnungen stehen mit Zeitpunkt und handelnder Person im Protokoll der Organisation. Mit eingeschaltetem Archiv liegt jede verteilte Nachricht verschlüsselt bei uns, bis ein Pro-Admin sie löscht – nie automatisch; lesen können sie die Mitglieder mit sarebamail-Postfach und die Pro-Admins der Organisation.
• Gemeinsame Postfächer und Weiterleitung (Pro): wer Zugriff hat und ob nur zum Lesen; bei einer Weiterleitung, wer sie zuletzt eingestellt hat.
• Meine Dateien (Pro): Der Inhalt liegt in Blöcken verschlüsselt auf einem eigenen Speicher in der EU, jede Datei mit eigenem Schlüssel, der wiederum verschlüsselt bei uns liegt; Datei- und Ordnernamen ebenfalls verschlüsselt. Im Klartext bleiben Größe, Zeitpunkte und welche Datei in welchem Ordner liegt. Gelöscht wird nur, was Sie selbst löschen – aus dem Papierkorb nach der Frist Ihres Tarifs; ein abgebrochenes Hochladen wird nach 24 Stunden verworfen. Beim Teilen speichern wir, wer welchen Ordner oder welche Datei mit wem und mit welchem Recht teilt, seit wann – ohne Namen oder Inhalte; die Freigabe verschwindet mit dem Element oder dem Benutzer. Frühere Fassungen einer Datei liegen genauso verschlüsselt wie die jetzige, mit Zeitpunkt, Größe und wer sie hochgeladen hat. App-Kennwörter: nur ein Prüfwert (SHA-256), der Name des Geräts, wann es angelegt und zuletzt benutzt wurde; jede Laufwerks-Anmeldung, jeder Fehlversuch und jedes Anlegen oder Widerrufen steht im Anmeldeprotokoll. Links nach außen: nur ein Prüfwert des Links (SHA-256), ein Kennwort nur als Argon2id-Hash, Ablauf, Höchstzahl und Zahl der Abrufe – von Abrufenden keine IP und kein Programm. Der Link steht hinter # in der Adresse und erreicht dadurch keinen Server und kein Protokoll. Abgelaufene Links werden nach 30 Tagen entfernt, die Datei bleibt.
• Sichere Mail: der öffentliche Teil Ihres Schlüssels und der Schlüssel selbst nur verschlossen – je Schloss (Passkey, Passphrase, Wiederherstellungscode) eine verschlüsselte Kopie mit Art, Name, Zeitpunkt der Anlage und der letzten Benutzung, beim Passkey seine Kennung. Passphrase, Wiederherstellungscode und der entsperrte Schlüssel kommen nicht zu sarebamail. Einrichten, Hinzufügen und Entfernen stehen im Anmeldeprotokoll. Vom Wiederherstellungsschlüssel der Organisation nur der öffentliche Teil, wer ihn wann gesetzt hat und dessen Signatur; frühere bleiben als ersetzt stehen. Je sicherer Nachricht im Klartext: Absender, Empfänger, Zeitpunkt, Größe und ob gelesen; Betreff und Text nur verschlüsselt, dazu je Beteiligtem der eingewickelte Nachrichtenschlüssel und der signierte Kopf. Je Benutzer die Zahl der im Monat gesendeten sicheren Nachrichten. Anhänge sicherer Nachrichten: nur verschlüsselte Blöcke im Speicher von „Meine Dateien“, dazu Größe, Blockzahl und Prüfsummen der Chiffrate. Empfänger per Link: ihre Adresse, Ablauf, Zahl der Fehlversuche und wann geöffnet; vom Link und vom Prüfwert der Passphrase nur Prüfsummen (SHA-256), die Passphrase selbst nie. Protokoll der sicheren Mail je Organisation (wer, wen, wann, welche Nachricht – nie Inhalte), Zustimmung zur Vertretung und Anfragen auf Wiederherstellung; nie automatisch gelöscht.
• Entwürfe der sicheren Mail: nur verschlüsselt für Ihren Schlüssel (Empfänger, Betreff und Text zusammen); im Klartext nur, wem der Entwurf gehört, wann er geändert wurde und wie groß er ist. Höchstens 200 Entwürfe, kein Ablauf; gelöscht werden sie von Ihnen oder beim Senden.
• Entsperrter Schlüssel für sichere Mail und verschlüsselte Chats: höchstens 12 Stunden verschlüsselt im Browser (IndexedDB), mit einem nicht auslesbaren Browser-Schlüssel; „Sperren“ und Abmelden löschen ihn. Er geht nie an sarebamail.
• Fehlerberichte: nur, wenn Sie selbst „Fehler melden“ bzw. „Fehlerbericht senden…“ wählen. Gespeichert werden Ihre Beschreibung und das angezeigte Protokoll (Fehlermeldungen, gescheiterte Anfragen nur mit Pfad und Statuscode, Version, Browser bzw. System; beim Agenten das Ende seines Protokolls) – verschlüsselt, dazu Konto, Zeitpunkt, Programm und Größe. Nur der Betreiber kann sie lesen; nach 90 Tagen werden sie gelöscht. Höchstens 20 Berichte am Tag. Zusätzlich legt sarebamail daraus einen Eintrag im internen Ticketsystem des sarebamail-Teams an (Issue Tracker by sareba, nur für das Team sichtbar): Beschreibung, System, Version und Zeitpunkt, das Protokoll als angehängte Datei – Ihre Adresse nicht, die bleibt beim Bericht in sarebamail.
• Freigaben von Kalender und Adressbuch: wer wem welche Stufe gegeben hat, mit Zeitpunkt – ohne Inhalte. Jede Änderung steht im Anmeldeprotokoll des Besitzers. Bei Frei/Gebucht und bei privaten Terminen schickt der Server nur die Zeit, nie Titel, Ort oder Text.
• Suche oben: gespeichert wird nichts, es gibt keinen Suchindex. Mails durchsucht der Mailserver, Dateinamen entschlüsselt der Server nur für diese Anfrage, alles andere vergleicht Ihr Browser mit den Listen, die er ohnehin anzeigt.
• Gleichzeitig bearbeiten: Für das Laufwerk merkt sich sarebamail je Gerät (App-Kennwort) und Datei nur, welche Fassung das Gerät zuletzt gelesen oder gespeichert hat – Kennungen, keinen Inhalt; die Zeile verschwindet mit dem App-Kennwort oder der Datei. Das Serverprotokoll vermerkt Schreibvorgänge über das Laufwerk mit Datei-Kennung, Größe und Art (neu, Fassung, zusammengeführt), ohne Namen und Inhalt.
• Live gemeinsam bearbeiten: Die Änderungen laufen über unseren Server zu den anderen, die die Datei offen haben, und liegen dort nur im Arbeitsspeicher, solange jemand die Datei offen hat – nie auf der Festplatte und nie im Protokoll. Sie sind dabei nicht Ende-zu-Ende verschlüsselt (wie der Office-Zusatz). Gespeichert wird erst mit „Speichern“, wie sonst als neue Fassung.
• Sicherung und Wiederherstellen: Eine heruntergeladene Sicherung entsteht beim Herunterladen und wird bei uns nicht gespeichert; das Kennwort dafür auch nicht. Zum Wiederherstellen liegt die hochgeladene Datei nur vorübergehend auf dem Server (höchstens 24 Stunden, zählt nicht zum Speicher), ebenso der vor einem Zurücksetzen gesicherte Stand. Das Chat-Archiv speichert die zurückgespielten Unterhaltungen verschlüsselt nur für Sie, bis Sie einen Eintrag entfernen. Erstellen und Wiederherstellen stehen im Anmeldeprotokoll (welche Bereiche, Größe, nie Inhalte).
• Automatische Sicherung: Je Konto ein öffentlicher Sicherungsschlüssel und der private Schlüssel nur mit Ihrem Sicherungskennwort verschlossen – ohne das Kennwort kann sarebamail keine Ihrer Sicherungen öffnen. Dazu Rhythmus, Aufbewahrung, Zeitpunkt und Größe der letzten Sicherung und ein Fehlerhinweis (etwa „Speicher voll“ mit den Zahlen). Die Sicherungsdateien selbst liegen wie jede Datei in „Meine Dateien“.
• Sicherung der Organisation: Die Datei entsteht beim Herunterladen und wird nicht auf dem Server aufbewahrt; je Mitglied liegt dabei kurz eine Zwischendatei auf dem Server, die gleich danach gelöscht wird. Zum Zurückspielen liegt die hochgeladene Datei wie beim eigenen Konto höchstens 24 Stunden als Zwischenablage auf dem Server. Im Anmeldeprotokoll stehen Sicherung und Zurückspielen beim Pro-Admin und beim betroffenen Mitglied.
• Sicherung durch sareba: Die Sicherungen liegen in einem eigenen Bereich der Sicherungsbox von sareba (getrennt von „Meine Dateien“ und von der Sicherung des Servers), in Blöcken und ganz verschlüsselt mit Ihrem Sicherungsschlüssel bzw. dem Schlüssel der Organisation; dessen privaten Teil verschließt nur Ihr Kennwort. Gespeichert werden dazu Zeitpunkt, Größe und Art jeder Sicherung sowie Rhythmus und Aufbewahrung.
• Sicherung bei einem verbundenen Mailserver: Zum Sichern meldet sich sarebamail mit Ihrem hinterlegten Kennwort an diesem Server an (wie beim Lesen Ihrer Mails); gespeichert wird dafür nichts Zusätzliches. Die Inhalte stehen danach nur in der Sicherungsdatei.
• Blockieren: wer wen im Chat blockiert hat, mit Zeitpunkt – bis zum Aufheben.
• Meldungen aus dem Chat: Adressen von meldender und gemeldeter Person, Unterhaltung, Zeitpunkt; Grund und Auszug verschlüsselt. Nur die Betreiber sehen sie; erledigte Meldungen werden nach 180 Tagen gelöscht.
• Konto löschen: während der 30 Tage der geplante Zeitpunkt und wer ihn beantragt hat. Nach dem endgültigen Löschen bleibt ein Jahr lang nur eine Zeile mit Adresse, Art und Zeitpunkten (für Rückfragen); die Adresse bleibt 180 Tage für andere gesperrt. Nachrichten an andere bleiben bei den Empfängern, die Server-Sicherungen enthalten die Daten bis zu ihrer Rotation.