Datenschutzerklärung

Stand: November 2026

1. Verantwortlicher

Dogan Mermertas, Spoken (Einzelunternehmen), Hermine-von-Parish-Str. 3, 81245 München, Deutschland
E-Mail: support@spoken.host · Kontaktformular

Ein Datenschutzbeauftragter ist nicht benannt, da die Voraussetzungen von Art. 37 DSGVO und § 38 BDSG nicht vorliegen.

2. Überblick

Mail Export liest auf Ihren Auftrag E-Mails aus Ihrem Postfach und erstellt daraus eine Excel-Datei. Der Grundsatz dabei: Wir sehen nur, was für den Export nötig ist, und behalten nichts davon. Ihr Postfach-Passwort, Ihre E-Mails und die Excel-Datei werden nicht gespeichert. Gespeichert werden nur Ihr Konto (E-Mail-Adresse), Ihre Käufe und Zahlen zu Ihren Exporten (Abschnitt 6).

3. Hosting und Serverstandort

Website, App und Datenbank laufen auf einem Server der netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe, Deutschland, die als Auftragsverarbeiter (Art. 28 DSGVO) für uns tätig und an die DSGVO gebunden ist. Der Server steht im Rechenzentrum von netcup in Manassas (Virginia, USA). Alle in dieser Erklärung genannten Daten werden daher in den USA verarbeitet, also außerhalb der Europäischen Union. Zu ihrem Schutz sind alle Verbindungen TLS-verschlüsselt, die Datenbank ist nicht aus dem Internet erreichbar, und Zugangsdaten zu Microsoft-Konten (Abschnitt 6) werden zusätzlich verschlüsselt gespeichert (AES-256-GCM); der Schlüssel liegt nicht in der Datenbank.

4. Aufruf der Website, Sicherheits- und Fehlerprotokolle

Beim Aufruf der Website verarbeitet der Server technisch notwendige Verbindungsdaten (IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browserkennung), um die Seiten auszuliefern. Der Webserver führt kein Zugriffsprotokoll. Zum sicheren und stabilen Betrieb verarbeiten wir außerdem:

Anfrageprotokoll der Programmierschnittstelle (API): IP-Adresse, Zeitpunkt, Methode, aufgerufene Adresse (ohne Inhalte, Kennungen und Zugangsschlüssel), Namen verwendeter Parameter, Antwortcode, Antwortzeit, Browserkennung und – bei angemeldeten Nutzern – die E-Mail-Adresse des Kontos. Inhalte von Anfragen, insbesondere Postfach-Passwörter, werden nicht protokolliert. Automatische Löschung nach 30 Tagen.
Schutz vor Missbrauch: Zähler für Anmelde-, Bestell- und Postfach-Anmeldeversuche je IP-Adresse, E-Mail-Adresse oder Konto. Sie werden nach höchstens 24 Stunden gelöscht. Postfach-Anmeldungen sind nur mit gekauftem Guthaben möglich, damit der Dienst nicht zum Ausprobieren fremder Zugangsdaten missbraucht werden kann.
Sicherheitshinweise: Eingaben werden automatisch auf typische Angriffsmuster geprüft. Bei verdächtigen Vorgängen (z. B. gehäufte fehlgeschlagene Anmeldungen, Suche nach Schwachstellen, gefälschte Sitzungen) wird ein Hinweis mit IP-Adresse, Zeitpunkt, Anfrage und gegebenenfalls der E-Mail-Adresse des Kontos gespeichert und nach 90 Tagen automatisch gelöscht; der Betreiber wird per E-Mail benachrichtigt. IP-Adressen, von denen Angriffe ausgehen, können für eine festgelegte Zeit oder bis zur manuellen Aufhebung gesperrt werden.
Verwaltungsprotokoll: Maßnahmen, die wir als Betreiber an Konten vornehmen (z. B. Gutschrift von Versuchen, Abmelden, Löschung, Sperren einer IP-Adresse), mit Zeitpunkt und betroffenem Konto bzw. betroffener IP-Adresse. Automatische Löschung nach zwölf Monaten.
Technische Fehlerprotokolle der Server-Software enthalten keine Inhalte aus Postfächern; sie werden in der Größe begrenzt und fortlaufend überschrieben.
Datensicherungen: Die Datenbank wird täglich gesichert; jede Sicherung wird nach 14 Tagen überschrieben.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist der sichere, stabile und gegen Angriffe geschützte Betrieb des Dienstes (vgl. Art. 32 DSGVO).

5. Nutzerkonto und Anmeldung

Für Ihr Konto speichern wir Ihre E-Mail-Adresse, Ihre Sprache sowie den Zeitpunkt der Kontoerstellung und der letzten Anmeldung. Ein Passwort gibt es nicht: Zur Anmeldung senden wir Ihnen einen sechsstelligen Code per E-Mail, der zehn Minuten gültig ist und von dem wir nur einen Hashwert speichern. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Kontodaten speichern wir, bis Sie das Konto löschen; das können Sie jederzeit selbst unter „Konto“ tun. Mit der Löschung entfernen wir sofort Konto, Sitzungen, Guthaben und Exportstatistik; Einträge in den Protokollen nach Abschnitt 4 und 9 laufen mit den dort genannten Fristen aus, Datensicherungen nach 14 Tagen. Zahlungsbelege bleiben nach Abschnitt 7 erhalten.

6. Exporte: Zugriff auf Ihr Postfach

Für einen Export verbinden wir uns auf Ihre Anweisung mit Ihrem Postfach. Dabei gilt:

Zugangsdaten: Ihre Postfach-Adresse bzw. Ihr Benutzername und Ihr Passwort oder App-Passwort werden verschlüsselt an unseren Server übertragen, nur für die Verbindung zu Ihrem E-Mail-Anbieter während dieser einen Anfrage verwendet und danach verworfen. Sie werden weder gespeichert noch protokolliert. Ihr Browser behält sie nur, solange die Seite geöffnet ist.
Anmeldung mit Microsoft (Outlook.com, Hotmail, Microsoft 365): Sie melden sich auf der Seite von Microsoft an und erlauben dort das Lesen Ihrer E-Mails. Ihr Microsoft-Passwort sehen wir nicht. Wir erhalten von Microsoft einen Zugangsschlüssel, der höchstens etwa eine Stunde gilt, und die E-Mail-Adresse des Microsoft-Kontos. Beides speichern wir verschlüsselt, bis der Schlüssel abläuft oder Sie die Verbindung trennen, danach werden sie automatisch gelöscht. Einen Schlüssel für dauerhaften Zugriff fordern wir nicht an. Für die Anmeldung bei Microsoft gilt die Datenschutzerklärung von Microsoft (privacy.microsoft.com).
Was gelesen wird: nur die Ordner und der Zeitraum, die Sie auswählen, und darin die E-Mails, die zu Ihren Kriterien passen (höchstens 5.000 je Export). Von diesen E-Mails lesen wir Datum, Absender, Empfänger, Betreff, Ordner und die Zahl der Anhänge, bei der Vorlage „Jobcenter“ oder auf Ihren Wunsch zusätzlich den Anfang des Textes (wenige Kilobyte). Anhänge werden nicht geöffnet. Das Postfach wird nur gelesen: Nichts wird verschoben, gelöscht oder als gelesen markiert.
Keine Speicherung: Die gelesenen Angaben werden im Arbeitsspeicher des Servers direkt an Ihren Browser weitergeleitet und nicht gespeichert, nicht protokolliert und nicht ausgewertet. Die Excel-Datei entsteht in Ihrem Browser auf Ihrem Gerät.
Exportstatistik: Je Export speichern wir nur Zahlen: Zeitpunkt, Art des Anbieters (z. B. „gmail“), Vorlage, Anzahl der Ordner, Länge des Zeitraums in Tagen, Anzahl der gefundenen E-Mails, Dauer und gegebenenfalls einen technischen Fehlercode, nicht aber Ihre Postfach-Adresse oder Inhalte. Damit zeigen wir Ihnen Ihr Guthaben an, beheben Fehler und erkennen Missbrauch. Automatische Löschung nach zwölf Monaten.

Rechtsgrundlage für die Verarbeitung Ihrer eigenen Daten ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Vertrags über den Export). E-Mails enthalten auch Daten anderer Personen, etwa Namen und Adressen von Absendern. Diese verarbeiten wir nur kurzzeitig und ohne Speicherung, damit Sie Ihre eigene Korrespondenz exportieren können; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Durchführung des von Ihnen gewünschten Exports). Für die weitere Verwendung der Excel-Datei sind Sie selbst verantwortlich.

7. Guthaben und Zahlungsabwicklung

Zahlungen werden über Stripe abgewickelt (Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland). Zahlungsdaten (z. B. Kartendaten) geben Sie direkt auf Seiten von Stripe ein; sie gelangen nicht auf unsere Server. Wir übermitteln an Stripe Ihre E-Mail-Adresse, Ihre Sprache und eine interne Kontonummer; Stripe erstellt Beleg und Rechnung und sendet sie Ihnen per E-Mail. Zu jedem Kauf speichern wir Betrag, Anzahl, Zahl der Versuche, Kauf- und Ablaufdatum, die Kennungen des Bezahlvorgangs bei Stripe und den Zeitpunkt Ihrer Zustimmung zum sofortigen Leistungsbeginn (Abschnitt 4 der AGB), bis Sie Ihr Konto löschen. Stripe verarbeitet Daten teils in unserem Auftrag, teils als eigenständig Verantwortlicher, etwa zur Betrugsprävention; Einzelheiten: stripe.com/de/privacy. Stripe kann Daten an die Stripe, LLC in den USA übermitteln, die nach dem EU-US Data Privacy Framework zertifiziert ist (Art. 45 DSGVO).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die Aufbewahrung Art. 6 Abs. 1 lit. c DSGVO: Rechnungen und Buchungsbelege werden für die gesetzliche Frist aufbewahrt (derzeit acht Jahre, § 147 AO, § 257 HGB, § 14b UStG), auch wenn das Konto gelöscht wird.

8. Cookies und lokale Speicherung

Wir verwenden ein einziges, technisch notwendiges Cookie („__Host-sid“), das Ihre Anmeldung speichert. Es enthält nur eine zufällige Sitzungskennung, gilt 30 Tage ab der letzten Nutzung, höchstens sechs Monate, und wird bei der Abmeldung gelöscht. Rechtsgrundlage für das Speichern ist § 25 Abs. 2 Nr. 2 TDDDG, für die Verarbeitung Art. 6 Abs. 1 lit. b DSGVO. Analyse-, Tracking- oder Werbe-Cookies setzen wir nicht, und wir binden keine Inhalte Dritter ein (keine externen Schriftarten, Skripte, Karten oder Social-Media-Plugins).

Im Speicher Ihres Browsers legt die App die gewählte Sprache und das Design (System, hell oder dunkel) ab, und bis zum Schließen des Tabs die zuletzt gewählte Vorlage (damit Sie nach der Anmeldung bei Microsoft oder dem Bezahlen dorthin zurückkommen). Diese Angaben verlassen Ihr Gerät nicht (§ 25 Abs. 2 Nr. 2 TDDDG).

9. Nutzungsstatistik

Für eine eigene Nutzungsstatistik zählen wir Seitenaufrufe auf unserem Server, ohne Cookies, ohne Speicherung im Browser und ohne Dienste Dritter. Dabei speichern wir die aufgerufene Seite, den Zeitpunkt, die verweisende Website (nur deren Domain), die Sprache sowie Geräte-, Browser- und Betriebssystemtyp. IP-Adressen werden dafür nicht gespeichert: Wiederkehrende Besuche an einem Tag erkennen wir an einem Prüfwert aus IP-Adresse und Browserkennung, der mit einem täglich neuen Zufallswert gebildet wird; der Zufallswert wird nach zwei Tagen gelöscht. Bei angemeldeten Nutzern ordnen wir Seitenaufrufe dem Konto zu. Ist in Ihrem Browser „Do Not Track“ oder „Global Privacy Control“ aktiviert, zählen wir Sie nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse: Verbesserung des Angebots). Die Einträge werden nach 180 Tagen automatisch gelöscht.

10. E-Mail-Versand, Kontakt und Kontaktformular

Unser E-Mail-Postfach und der Versand der E-Mails der App (Anmeldecodes, Kaufbestätigungen) laufen über den Dienst Titan der Titan Solution Ltd SEZC (Cayman Islands), der die Daten bei Amazon Web Services in den USA speichert. Grundlage der Übermittlung sind die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO), die Bestandteil des Auftragsverarbeitungsvertrags von Titan sind.

Wenn Sie uns per E-Mail oder über das Kontaktformular schreiben, verarbeiten wir Ihre Angaben (Name, E-Mail-Adresse, Inhalt der Nachricht), um Ihre Anfrage zu beantworten. Das Kontaktformular speichert nichts in der App, sondern leitet die Nachricht per E-Mail an unser Postfach weiter. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn Ihre Anfrage einen Vertrag betrifft, sonst Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung). Wir löschen die Nachrichten, wenn die Anfrage erledigt ist, es sei denn, gesetzliche Aufbewahrungspflichten stehen entgegen.

11. Empfänger und Verarbeitung außerhalb der EU

Personenbezogene Daten erhalten nur die genannten Dienstleister, soweit es für ihre Aufgabe erforderlich ist: netcup (Hosting, Server in den USA), Stripe (Zahlungen, Data Privacy Framework), Titan (E-Mail, Cayman Islands, mit Amazon Web Services in den USA, Standardvertragsklauseln) sowie bei der Anmeldung mit Microsoft die Microsoft Corporation bzw. Microsoft Ireland Operations Limited; außerdem Behörden, soweit wir gesetzlich dazu verpflichtet sind. Ihr E-Mail-Anbieter erfährt durch die Verbindung, dass auf Ihr Postfach zugegriffen wird. Wir verkaufen keine Daten und geben sie nicht zu Werbezwecken weiter. Eine Kopie der Standardvertragsklauseln erhalten Sie auf Anfrage an support@spoken.host.

12. Pflicht zur Bereitstellung

Ihre E-Mail-Adresse ist für das Konto erforderlich, die Zugangsdaten Ihres Postfachs für einen Export; ohne sie können wir die Leistung nicht erbringen. Die Verbindungsdaten beim Aufruf der Website sind technisch notwendig. Alle anderen Angaben sind freiwillig.

13. Ihre Rechte

Sie haben nach der DSGVO das Recht auf

Auskunft über die zu Ihnen gespeicherten Daten (Art. 15),
Berichtigung unrichtiger Daten (Art. 16),
Löschung (Art. 17) und Einschränkung der Verarbeitung (Art. 18),
Datenübertragbarkeit (Art. 20).

Wenden Sie sich dazu an support@spoken.host. Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), z. B. beim für uns zuständigen Bayerischen Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, www.lda.bayern.de.

Widerspruchsrecht nach Art. 21 DSGVO

Soweit wir Ihre Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) verarbeiten, können Sie dieser Verarbeitung aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Ein formloser Widerspruch an support@spoken.host genügt.

14. Automatisierte Entscheidungen

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt. Die Vorlage „Jobcenter“ ordnet E-Mails nach Stichworten zu (z. B. Eingangsbestätigung oder Absage); das Ergebnis sehen nur Sie und können es vor dem Herunterladen prüfen.

15. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich die Verarbeitung ändert. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung.