الخصوصية

Datenschutzerklärung

Gültig ab 6. November 2026 · gilt für den Dienst RocMail und diese öffentlichen Seiten

Diese Erklärung ist kurz, weil die ehrliche Antwort auf die meisten Fragen an eine Datenschutzerklärung lautet: Diese Daten haben wir nicht. Die Post, die wir speichern, ist mit Schlüsseln versiegelt, die nur du besitzt — Post von aussen sieht der Server nur, während sie ankommt, und Post an Adressen ausserhalb nur, während er sie sendet; die öffentlichen Seiten setzen keine Cookies und laden nichts von Dritten. Was wir tatsächlich speichern, steht unten, zusammen mit der Dauer.

Was wir speichern

• ✦Die E-Mail-Adresse deines Kontos, dein Benutzername und ein Passwort-Hash — um dich anzumelden.
• ✦Chiffretext — deine Post, Entwürfe, Kontakte, Anhänge und die Liste der Absender, die du blockierst, sowie deine Passwörter samt den angehängten Dateien und ihren früheren Fassungen zum Rückgängigmachen, alles versiegelt mit deinen Tresorschlüsseln. Ein Passwort, das du per Link teilst, ist eine versiegelte Kopie, deren Schlüssel nur im Link steht, den du weitergibst: Er erreicht uns nie. Nichts davon können wir entschlüsseln.
• ✦Deine umhüllten Tresorschlüssel — die Schlüssel, die deine Post öffnen, jeweils umhüllt mit deiner Passphrase, deiner Wiederherstellungsphrase oder einem Sicherheitsschlüssel. Der Server speichert die Umhüllungen und kann keine davon öffnen.
• ✦Routing-Metadaten — Zeitstempel, Ordner- und Gelesen-Markierungen, Message-IDs, Anzahl und Grösse der Anhänge, die Weiterleitungsadressen deiner Namen — das Minimum, das der Server braucht, um als Mailserver zu arbeiten, während dein Tresor geschlossen ist. Der Inhalt ist versiegelt; diese Metadaten sind es nicht. Sie liegen in gewöhnlichen Datenbankspalten, unverschlüsselt auf der Festplatte dieses Servers. Weiterleitungsadressen und 2FA-Geheimnisse sind zusätzlich mit einem Serverschlüssel verschlüsselt.
• ✦Nichts von deinen Suchen — gesucht wird auf jedem deiner Geräte, in einem Index, den dieses Gerät baut, indem es deine Post öffnet, und den es versiegelt in seinem eigenen Speicher aufbewahrt. Wir erfahren nie, wonach du suchst oder was die Suche findet. Wir sehen aber, dass jedes Gerät jeden Brief einmal herunterlädt, um ihn zu lesen, und dass ein Brief in den Spam wandert, wenn ein Gerät eine deiner Blockierungen anwendet.
• ✦Spam-Training — wenn du eine Nachricht als Spam oder als Nicht-Spam markierst, die Domain des Absenders und deine Entscheidung, damit der nächste Brief von dieser Domain genauso abgelegt wird — aufbewahrt, solange das Konto besteht. Der Spamfilter selbst führt keine Nachrichtenhistorie.
• ✦Sicherheitsprotokolle — Anmeldeversuche und administrative Handlungen, mit IP-Adressen, aufbewahrt zur Abwehr von Missbrauch und automatisch nach dem Zeitplan unten gelöscht.
• ✦Abrechnung — das Datum, an dem dein bezahlter Zeitraum endet. Gutscheine vermerken kein Konto; eine unbezahlte Rechnung aus dem Selbstkauf wird nach zwei Tagen gelöscht.
• ✦Das öffentliche Schlüsselprotokoll — für jeden Namen, dessen Schlüssel das Mitgliederverzeichnis herausgegeben hat: eine Kennung anstelle der Adresse, ein Fingerabdruck des Schlüssels und der Zeitpunkt. Das Protokoll ist öffentlich und dauerhaft, denn erst ein Protokoll, an das nur angehängt wird, lässt jeden prüfen, dass der Server allen denselben Schlüssel gibt ([so funktioniert es](/de/transparency#key-log)). Seine Einträge enthalten nie die Adresse: Wer eine Adresse schon kennt, findet ihre Einträge, indem er das Verzeichnis nach ihr fragt, aber aus dem Protokoll lässt sich keine Adresse herauslesen. Wird ein Name oder ein Konto gelöscht, hält ein letzter Eintrag fest, dass der Schlüssel nicht mehr gilt, und der Server löscht seine eigene Notiz, welche Kennung zu welcher Adresse gehört.
• ✦Das Journal des Mailservers — für jede Zustellung Absender, Empfänger, Client-IP-Adresse, Message-ID, Grösse und Zustellstatus — zwei Tage aufbewahrt, dann gelöscht. Es verlässt diese Maschine nie.

Wie lange, genau

Jede Frist unten setzt die geplante Bereinigung des Servers durch, nicht eine gute Absicht. Eine Regel, die täglich läuft, kann eine Zeile ihr angegebenes Alter um bis zu einen Tag überdauern lassen.

Backups

Backups enthalten die umhüllten Postfachschlüssel. Post, die du löschst — oder ein Konto, das du löschst —, bleibt daher aus einem älteren Backup wiederherstellbar, mit deiner alten Passphrase oder Wiederherstellungsphrase, bis dieses Backup ausläuft: bis zu 29 Tage auf dem Server, bis zu 90 Tage auf der Kopie ausserhalb. Jedes Backup ist mit einem Schlüssel verschlüsselt, der nie auf dem Server liegt. Niemand kann die Post eines Backups ohne deine Passphrase oder Wiederherstellungsphrase öffnen, auch der Betreiber nicht.

Was wir nicht tun

• ✦Keine Analyse, keine Tracker, kein Fingerprinting — weder auf diesen Seiten noch in der App.
• ✦Keine Cookies für Besucher. Angemeldete Nutzer erhalten genau zwei: eine Sitzung und ihren CSRF-Zwilling.
• ✦Kein Verkaufen, Teilen oder „Aggregieren“ von Nutzerdaten. Werbung gibt es nirgends im Produkt.
• ✦Kein Lesen von Postinhalten über die Zustellung hinaus — die Spambewertung geschieht bei der Ankunft im Arbeitsspeicher, vor dem Versiegeln, und behält nur das Urteil; ein Brief an eine Adresse ausserhalb wird nur gelesen, um ihn zu übertragen. Kann ein Brief nicht gespeichert werden, sobald er ankommt — weil die Datenbank kurzzeitig keine Schreibvorgänge annimmt oder beim Speichern ein Fehler auftritt —, wartet er verschlüsselt mit dem Schlüssel des Servers und wird alle 15 Minuten erneut versucht. Sobald er gespeichert werden kann, wird er versiegelt wie jeder andere; scheitert er nach einem Tag noch aus einem Grund, der nicht die Datenbank ist, erfährt sein Absender, dass er nicht zugestellt werden konnte; einer, der nach 14 Tagen noch immer nicht gespeichert werden kann, wird ohne Nachricht an den Absender gelöscht.
• ✦Keine Anfragen an Dritte aus deinem Browser: Die eigene Sicherheitsrichtlinie der App verbietet sie, und ein externes Bild in einem Brief lädt nur, wenn du es verlangst.

Infrastruktur

Diese Instanz läuft auf einem Server in Reykjavík, Island, gemietet allein auf unseren Namen, hinter keinem CDN und keinem Netz eines Dritten: Unsere eigene Maschine terminiert TLS und sieht den Datenverkehr deshalb während der Übertragung, wie es jeder Host tut; Postinhalte sind bereits vor dem Speichern Chiffretext — das ist die Schicht, die dieses Produkt hinzufügt. Das Journal des Mailservers bleibt auf dieser Maschine; die Datenbank verlässt sie nur als das oben beschriebene verschlüsselte nächtliche Backup.

Behördliche Anfragen

Sind wir gesetzlich dazu gezwungen, können wir herausgeben, was wir gespeichert haben: die E-Mail-Adresse des Kontos, die Routing-Metadaten oben, die Sicherheitsprotokolle innerhalb ihrer Aufbewahrungsfrist und Chiffretext. Postinhalte, Passphrasen oder Tresorschlüssel können wir nicht herausgeben, weil wir sie nicht haben — dieselbe Antwort, die ein Dieb bekommt. Wo das Gesetz es erlaubt, sagen wir dir, dass es eine Anfrage gab.

Löschung — was sie vernichtet und woher wir das wissen

Das Löschen deines Kontos vernichtet die Schlüssel, nicht bloss die Zeilen. Das Allererste, was die Löschung tut, ist, jede Umhüllung deines Postfachschlüssels in der laufenden Datenbank zu vernichten. Damit ist deine Post dort sofort unlesbar, für jeden — einschliesslich der Kopien gelöschter Zeilen, die Datenbankseiten, Write-Ahead-Logs und Replikate behalten und die das Löschen von Zeilen allein nie erreichen könnte. Backups, die angelegt wurden, bevor du den Knopf gedrückt hast, enthalten die alten Umhüllungen noch, bis sie auslaufen, wie unter Backups beschrieben.

Dann wird das Konto selbst aus jeder Tabelle entfernt, die es enthält — Post, Namen, Anhänge, Kontakte, Entwürfe, Passwörter samt ihren Dateien, früheren Fassungen und Teilen-Links, Regeln, geplante Sendungen, Geräte, Sitzungen, Push-Abonnements, Spam-Training, Audit-Einträge, eigene Domains und die Einladungen, die du ausgestellt hast. Das öffentliche Schlüsselprotokoll behält seine Einträge, die deine Adresse nie enthielten, und bekommt für jeden deiner Namen einen letzten, der sagt, dass sein Schlüssel nicht mehr gilt. Ein Test durchsucht nach einer Löschung das gesamte Schema — jede Tabelle, jede Spalte — nach deiner Konto-ID, sodass eine künftig hinzugefügte Tabelle nicht still eine Person behalten kann, die um ihre Löschung gebeten hat: Stattdessen scheitert der Build.

Es gibt keine Hinterlegung, keinen Eingriff durch den Betreiber und keine Support-Anfrage, die sie rückgängig macht — nicht für dich, nicht für uns, nicht für jemanden mit einem Gerichtsbeschluss. Exportiere vorher, wenn du eine Kopie willst: Der Löschdialog bietet zuerst den Export des versiegelten Archivs an, warnt dich und verlangt eine eingetippte Bestätigung. Was wir nicht erreichen: Kopien, die du selbst exportiert hast, Post, die du bereits gesendet hast und die in den Postfächern anderer liegt, und Protokolle, die die Infrastruktur unter uns führt.

Deine Rechte nach der DSGVO

Der Betreiber dieser Instanz, genannt im Impressum, ist der Verantwortliche für die obigen Daten. Wir verarbeiten sie auf zwei Rechtsgrundlagen: dem Vertrag mit dir, für alles, was zur Bereitstellung des Postfachs nötig ist (Art. 6 Abs. 1 lit. b DSGVO), und unserem berechtigten Interesse an einem sicheren Dienst, für die Missbrauchs- und Sicherheitsprotokolle (Art. 6 Abs. 1 lit. f DSGVO).

• ✦Auskunft über die Daten, die wir über dich gespeichert haben (Art. 15). Die Einstellungen zeigen dein Konto; die Exporte geben dir deine Post.
• ✦Berichtigung unrichtiger Daten (Art. 16).
• ✦Löschung deines Kontos und aller Inhalte darin (Art. 17) — sofort, in den Einstellungen, wie oben beschrieben.
• ✦Datenübertragbarkeit deiner Post und deiner Passwörter (Art. 20): der Export des versiegelten Archivs und der mbox-Export des ganzen Postfachs in den Einstellungen, und der verschlüsselte oder unverschlüsselte Export deiner Passwörter unter Passwörter.
• ✦Einschränkung der Verarbeitung, solange eine Frage dazu offen ist (Art. 18).
• ✦Widerspruch gegen eine Verarbeitung auf Grundlage unseres berechtigten Interesses, etwa die Sicherheitsprotokolle (Art. 21).
• ✦Beschwerde bei einer Datenschutz-Aufsichtsbehörde, insbesondere dort, wo du lebst oder arbeitest (Art. 77).

Exportieren und Löschen kannst du jederzeit selbst. Für alles andere schreib an security@rocmail.is; wir antworten innerhalb eines Monats. Deine Post in lesbarer Form aushändigen können wir nicht — nur dein Browser kann sie öffnen, deshalb laufen die Exporte dort.

Änderungen

Diese Erklärung wird mit dem Quellcode versioniert. Ändert sie sich, ist die Änderung in der Historie des Repositorys sichtbar und oben datiert, und wesentliche Änderungen werden Kontoinhabern per E-Mail angekündigt.