Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf mailordnung.de ist:
Hakan Kaveller
Architekturbüro Kaveller
Daniel-Lampa-Str. 11, 56637 Plaidt, Deutschland
E-Mail: datenschutz@mailordnung.de

2. Welche Daten wir verarbeiten

2.1 Beim Besuch der Website

Beim Aufruf von mailordnung.de verarbeitet der Hosting-Provider Vercel Inc. (Server­standort Frankfurt, Deutschland) folgende technische Daten in Server-Logs:

• IP-Adresse (gekürzt)
• Datum und Uhrzeit des Aufrufs
• Aufgerufene URL und Referrer
• User-Agent (Browser, Betriebssystem)

Diese Daten werden nach maximal 30 Tagen automatisch gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Betrieb und Sicherheit der Website).

2.2 Bei der Nutzung des Tools (Login via Google)

Wenn du dich mit deinem Google-Konto anmeldest, erhalten wir über Googles offizielles OAuth 2.0 Verfahren folgende Daten:

• Deine Google-E-Mail-Adresse
• Dein Name und Profilbild (zur Anzeige im Dashboard)
• Einen Access Token und Refresh Token, mit denen wir in deinem Auftrag auf die Gmail-API zugreifen dürfen

Wir erhalten niemals dein Google-Passwort. Die Authentifizierung läuft ausschließlich über Googles sichere OAuth-Server.

2.3 Beim Sortieren deiner E-Mails

Zum Sortieren greift Mailordnung auf die Gmail-API zu und verarbeitet pro E-Mail nur:

• Absenderadresse (z. B. rechnungen@telekom.de)
• Betreff
• Die ersten 200 Zeichen des Mail-Texts

Diese Daten werden kurz an unseren KI-Anbieter (OpenAI, EU-Endpoint) übertragen, um die Kategorie zu bestimmen. Das passende Gmail-Label wird dann in deinem Konto gesetzt. Danach werden alle verarbeiteten Daten sofort verworfen — sie landen nie in unserer Datenbank, werden nie in Logs geschrieben, werden nie weitergegeben.

Nicht verarbeitet werden:

• Der vollständige Mail-Inhalt
• Anhänge jeglicher Art
• E-Mail-Adressen deiner Kontakte / Gesprächspartner
• Eingehende oder ausgehende Mails älter als 30 Tage (außer du möchtest sie nachsortieren)

2.4 Beim Kauf

Der Kauf läuft vollständig über die Digistore24 GmbH, St.-Godehard-Straße 32, 31139 Hildesheim. Digistore24 ist Vertragspartner für den Zahlungsvorgang. Wir erhalten von Digistore24 lediglich:

• Deine E-Mail-Adresse (zum Versand des Lizenzschlüssels)
• Deinen Namen
• Die Transaktions-ID

Zahlungs­daten (Kreditkarte, IBAN, PayPal) sehen wir nie. Details zur Daten­verarbeitung durch Digistore24 findest du in deren Datenschutz­erklärung.

3. Rechtsgrundlagen

Zweck	Rechtsgrundlage
Betrieb der Website (Server-Logs)	Art. 6 Abs. 1 lit. f DSGVO
Vertragserfüllung (Lizenz­zuordnung, Tool-Zugang)	Art. 6 Abs. 1 lit. b DSGVO
Zugriff auf Gmail-API	Art. 6 Abs. 1 lit. b DSGVO (Vertrag) + deine Einwilligung über Google OAuth
KI-Klassifizierung (OpenAI)	Art. 6 Abs. 1 lit. b DSGVO (Kernleistung des Vertrags)
Zahlungsabwicklung	Art. 6 Abs. 1 lit. b DSGVO

4. An wen wir Daten weitergeben

Wir nutzen ausschließlich Auftragsverarbeiter mit Sitz oder Server­standort in der EU. Mit allen Auftrags­verarbeitern bestehen Verträge nach Art. 28 DSGVO (AVV).

Dienstleister	Zweck	Standort
Vercel Inc.	Hosting der Web-Anwendung	Frankfurt, Deutschland (fra1)
Supabase Inc.	Datenbank (Lizenzen, Kategorien, User-Settings)	Frankfurt, EU
OpenAI Ireland Ltd.	KI-Klassifizierung der E-Mail-Metadaten	EU-Endpoint (Irland)
Google Ireland Ltd.	OAuth & Gmail-API (dein Postfach gehört dir)	Irland (OAuth), ggf. USA (Gmail)
Digistore24 GmbH	Zahlungs­abwicklung	Hildesheim, Deutschland
TODO: E-Mail-Versender	Versand von Lizenz­schlüsseln und Support-Mails	EU

5. Google API Services — Limited Use Disclosure

Mailordnung nutzt die Google Gmail-API gemäß der Google API Services User Data Policy, einschließlich der Anforderungen für eingeschränkte Nutzung (Limited Use).

Konkret halten wir folgende Punkte ein:

• Gmail-Daten werden ausschließlich verwendet, um dir die im Tool beschriebenen Sortier- und Kategorisierungs­funktionen bereit­zustellen.
• Gmail-Daten werden nicht für Werbezwecke verwendet — weder von uns noch von Dritten.
• Gmail-Daten werden nicht an Dritte verkauft.
• Gmail-Daten werden nicht von Menschen gelesen, außer (a) mit deiner ausdrücklichen Einwilligung, (b) wenn es aus Sicherheits­gründen nötig ist (z. B. zur Abwehr von Missbrauch), oder (c) wenn es gesetzlich vorgeschrieben ist.
• Verarbeitung durch KI (OpenAI) ist auf das absolute Minimum beschränkt: Absender, Betreff und die ersten 200 Zeichen. Keine Speicherung bei OpenAI (Enterprise-API ohne Training).

6. Wie lange wir Daten speichern

• Lizenz­daten (Name, E-Mail, Lizenz­schlüssel): solange dein Lizenz­schlüssel aktiv ist, längstens 10 Jahre nach Kauf aus steuerrechtlichen Gründen.
• Login-Sessions (Cookie): 7 Tage, danach automatische Neu-Anmeldung.
• Gmail-Tokens (Access/Refresh): solange du das Tool nutzt. Widerrufst du den Zugriff in deinem Google-Konto oder löschst du deinen Mailordnung-Account, werden die Tokens sofort vernichtet.
• Eigene Kategorien / Einstellungen: solange dein Konto aktiv ist.
• Mail-Inhalte: 0 Sekunden. Werden nicht gespeichert.
• Server-Logs: maximal 30 Tage.

7. Deine Rechte nach der DSGVO

Dir stehen folgende Rechte zu:

• Auskunft (Art. 15): Welche Daten haben wir über dich gespeichert?
• Berichtigung (Art. 16): Korrektur falscher Daten.
• Löschung (Art. 17): Vollständige Löschung deiner Daten.
• Einschränkung (Art. 18): Temporäre Sperrung der Verarbeitung.
• Datenübertragbarkeit (Art. 20): Export deiner Daten in maschinenlesbarem Format.
• Widerspruch (Art. 21): gegen Verarbeitung auf Basis berechtigten Interesses.
• Widerruf einer Einwilligung (Art. 7 Abs. 3): z. B. den Google-OAuth-Zugriff kannst du jederzeit in deinem Google-Konto widerrufen.

Um ein Recht auszuüben, schreib uns formlos an datenschutz@mailordnung.de. Wir antworten innerhalb von 30 Tagen.

Beschwerderecht bei einer Aufsichts­behörde: Du kannst dich bei der zuständigen Datenschutz­aufsicht beschweren, z. B. beim Landesbeauftragten für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz, Hintere Bleiche 34, 55116 Mainz.

8. Cookies

Mailordnung verwendet ausschließlich technisch notwendige Cookies:

• Session-Cookie (Supabase Auth): hält dich eingeloggt. First-Party, HttpOnly, Secure, SameSite=Lax. Laufzeit: 7 Tage.
• CSRF-Token: schützt Formulare vor Missbrauch. Laufzeit: Sitzungsdauer.

Wir verwenden kein Google Analytics, kein Meta Pixel, keine Werbe-Cookies und kein Tracking. Deshalb brauchen wir keinen Cookie-Banner gemäß § 25 TTDSG — die verwendeten Cookies sind für den Betrieb des Dienstes unbedingt erforderlich.

9. Datensicherheit

• Transportverschlüsselung per TLS 1.3 (HTTPS) für alle Verbindungen.
• Supabase-Datenbank mit Row Level Security (RLS). Jeder User sieht nur seine eigenen Daten.
• Gmail-Tokens werden verschlüsselt gespeichert (AES-256).
• Keine Klartext-Passwörter — Authentifizierung läuft über Google OAuth.
• Regelmäßige Security-Audits durch den Betreiber.

10. Änderungen dieser Datenschutzerklärung

Stand: 15. April 2026. Wir passen diese Erklärung an, wenn sich rechtliche Anforderungen oder unsere Datenverarbeitung ändern. Die jeweils aktuelle Version findest du immer auf dieser Seite. Bei wesentlichen Änderungen informieren wir dich per E-Mail, falls du ein aktives Mailordnung-Konto hast.