Zur Startseite

Rechtliches

Datenschutzerklärung für den Dienst Slayper

Informationen nach Art. 13 und 14 DSGVO zur Nutzung von Slayper: Apps, Versand und Empfang, Download-, Upload- und Prüfseiten, Outlook-Add-in und Integrationen. Für die Website gilt die Datenschutzerklärung der Website.

1. Auf einen Blick

2. Verantwortlicher und Rollen

David Hörnlein-Ulrich | Slayper
Kolonie 2
14798 Havelsee
Deutschland

E-Mail: info@slayper.com
Telefon: +49 (0) 30 700 169 16

Einen Datenschutzbeauftragten müssen wir nicht benennen.

Bei Slayper gibt es zwei Rollen:

3. Kundenkonto

Für ein Konto verarbeiten wir Name und E-Mail-Adresse, das Passwort (nur als scrypt-Hash, nicht im Klartext), den öffentlichen Schlüssel des Kontos, je Gerät einen öffentlichen Geräteschlüssel mit dem Gerätenamen (zum Beispiel dem Computernamen), den Zeitpunkt der letzten Verbindung, die Einstellung zu E-Mail-Hinweisen und gegebenenfalls den Zeitpunkt einer Kündigung. Private Schlüssel verlassen Ihre Geräte nicht.

Nach der Anmeldung erhält Ihr Gerät einen Sitzungsschlüssel. Wir speichern davon nur einen Hash; die Sitzung gilt 30 Tage. Nach zehn falschen Anmeldeversuchen je E-Mail-Adresse oder je IP-Adresse sperren wir die Anmeldung für 15 Minuten. Dafür halten wir IP-Adresse und E-Mail-Adresse nur im Arbeitsspeicher und entfernen sie nach Ablauf der Sperre.

Damit Dateien direkt im Posteingang eines anderen Slayper-Kontos ankommen, können angemeldete Nutzer prüfen, ob zu einer E-Mail-Adresse ein Slayper-Konto besteht. Sie erhalten dann Name, E-Mail-Adresse und öffentliche Schlüssel dieses Kontos.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag), für die Anmeldebremse Art. 6 Abs. 1 lit. f DSGVO (Schutz vor unbefugtem Zugriff).

Nach einer Kündigung löschen wir das Konto mit allen Sendungen, Anforderungen, dem Adressbuch und den Nachweisen des Kontos nach 30 Tagen. In dieser Zeit können Sie Ihre Nachweise herunterladen. Einträge in den Nachweisen anderer Konten, zum Beispiel dass Sie einem anderen Konto etwas gesendet haben, gehören zu deren Nachweis und bleiben dort bis zum Ende der Aufbewahrungsfrist erhalten.

4. Senden und Anfordern

Dateien, Dateinamen und -typen, Nachrichten, Bezüge, die Empfängerliste für Ihre eigenen Geräte und Ihr Adressbuch werden auf Ihrem Gerät Ende-zu-Ende verschlüsselt. Der Schlüssel für Links steht nur im Link selbst und wird nicht an den Server übertragen.

Für den Betrieb kennt der Server: Anzahl und Größe der Dateien, Prüfwerte, Zeitpunkte, Ablauf, Schutzeinstellungen (PIN nur als Hash, Pflicht zur Bestätigung per Code, Abruflimit), die Adressen der vorgesehenen Empfänger nur als verschlüsselten Hash (HMAC), bei Integrationen eine Bezugskennung der Fachsoftware sowie die Empfänger von Link-Mails, die Ihre App für den Nachweis meldet.

Link-Mails versendet die App über Ihr eigenes E-Mail-Postfach, nicht über unseren Server.

Speicherdauer: Sendungen werden nach 48 Stunden gelöscht, nicht abgeschlossene nach 24 Stunden. Ist ein Abruflimit erreicht, löschen wir die Sendung, sobald alle Abrufe bestätigt sind, spätestens nach zwei Stunden. Im Speicher gilt zusätzlich eine Löschregel nach drei Tagen. Anforderungen (Upload-Links) gelten 2, 7 oder 14 Tage und werden sieben Tage nach Ablauf gelöscht. Sie können Sendungen jederzeit selbst löschen.

5. Empfangen und Hochladen ohne Konto

Wer über einen Link Dateien abruft oder hochlädt, bestätigt je nach Einstellung des Absenders seine E-Mail-Adresse mit einem Code oder gibt eine PIN ein. Dabei verarbeiten wir:

Diese Angaben fließen in den Nachweis des Absenders ein (Abschnitt 6). IP-Adressen speichern wir dabei nicht. Auf den Seiten werden Name oder E-Mail-Adresse des Absenders angezeigt, damit Sie wissen, von wem die Dateien stammen. Im Browser speichert die Download-Seite nur, ob Sie den Hinweis auf Slayper ausgeblendet haben.

Die Verarbeitung erfolgt im Auftrag des Absenders. Seine Rechtsgrundlage ist in der Regel Art. 6 Abs. 1 lit. f DSGVO: das berechtigte Interesse an einer sicheren und nachweisbaren Übermittlung.

6. Nachweise

Zu jeder Übertragung erstellen wir für das Konto des Absenders einen Nachweis über Versand, Zustellung, Abruf, Bestätigung, Empfang und Löschung. Er enthält Zeitpunkte und Art der Ereignisse, Namen und E-Mail-Adressen der Beteiligten (Absender, Empfänger mit Konto, bestätigte Empfänger und Hochladende), den Gerätenamen, die Browserangabe, Dateigrößen und Prüfwerte, fehlgeschlagene PIN- oder Code-Eingaben sowie einen verschlüsselten Teil, den nur die Geräte des Absenders lesen können. Jedes Ereignis wird signiert und mit dem vorherigen verkettet.

Nachweise werden zehn Jahre nach dem jeweiligen Ereignis automatisch gelöscht. Während der Vertragslaufzeit kann sie niemand ändern oder vorzeitig löschen, auch der Absender nicht. Über die Prüfseite kann jeder, der den Fingerabdruck eines Ereignisses kennt, Zeit, Art und Signatur dieses Ereignisses abrufen, aber keine Namen oder Adressen.

Zur Sicherung gegen nachträgliche Veränderung senden wir stündlich einen einzigen Fingerabdruck (32 Byte) über alle neuen Nachweise an öffentliche OpenTimestamps-Server, die ihn in der Bitcoin-Blockchain verankern. Aus dem Fingerabdruck lassen sich keine Inhalte oder Personen ableiten.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse des Absenders liegt im Nachweis einer ordnungsgemäßen und datenschutzkonformen Übermittlung (Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO). Nachweise belegen Abruf und unveränderte Entschlüsselung, nicht die Kenntnisnahme durch eine bestimmte Person.

7. E-Mails des Dienstes

Unser Server versendet von notify@slayper.com Bestätigungscodes, Hinweise auf neue Sendungen im Posteingang und Hinweise auf Anforderungen. Die Hinweise lassen sich in den Einstellungen der App abschalten, die Codes nicht. Antworten auf diese Mails gehen an die Person, von der die Sendung oder Anfrage stammt. Die Mails enthalten keine Zählpixel; das Logo ist in die Mail eingebettet.

Der Versand läuft über mailbox.org, einen Dienst der Heinlein Hosting GmbH, Schwedter Str. 8/9A, 10119 Berlin, als Auftragsverarbeiter.

8. Apps für Mac und Windows

Die Apps speichern Zugangsdaten und Schlüssel im Schlüsselbund des Mac bzw. geschützt durch Windows (DPAPI), dazu einen Verlauf Ihrer Sendungen auf dem Gerät. Die Apps senden keine Nutzungsstatistiken, keine Absturzberichte und prüfen nicht selbstständig auf Updates.

Digital signieren

Wenn Sie ein Dokument digital signieren, holt die App einen Zeitstempel nach RFC 3161. Dafür sendet sie nur eine Prüfsumme der Signatur an einen Zeitstempeldienst, nacheinander bis einer antwortet: DigiCert, Sectigo, Certum und FreeTSA. Auf Wunsch wird zusätzlich die Prüfsumme des signierten Dokuments bei OpenTimestamps verankert; zur Prüfung fragt die App Blockdaten bei blockstream.info ab. Inhalte des Dokuments werden dabei nicht übertragen. Durch die Verbindung erhält der jeweilige Dienst technisch die IP-Adresse Ihres Geräts. DigiCert und Sectigo haben ihren Sitz in den USA. Die Funktion ist optional; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

9. Outlook-Add-in

Das Add-in läuft in Microsoft Outlook und lädt dazu die Bibliothek Office.js von Microsoft. Es liest beim Schreiben einer Mail die Empfänger und die Anhänge, um die Dateien zu verschlüsseln, und fügt einen Link-Block in die Mail ein. Für Outlook selbst ist Microsoft eigener Verantwortlicher; es gelten dessen Datenschutzbestimmungen. Das Logo im Link-Block wird beim Öffnen der Mail von unserem Server geladen; wir protokollieren diese Abrufe nicht.

10. Integration in Fachsoftware

Kunden können Slayper mit ihrer Fachsoftware verbinden, zum Beispiel einem CRM. Dann melden wir Ereignisse zu Sendungen an die Fachsoftware des Kunden: Zeitpunkt und Art, Bezugskennung, E-Mail-Adresse und Browserangabe des Abrufenden, Empfängerliste, Anzahl und Größe der Dateien, Name und E-Mail-Adresse von Hochladenden sowie Angaben zu Schutz und Ablauf. Im in die Fachsoftware eingebetteten Fenster übergibt Slayper der Fachsoftware den fertigen Link samt Schlüssel und gegebenenfalls die PIN, damit sie die Mail versenden kann, sowie entschlüsselte Dateien, wenn der Nutzer sie dort speichert. Für die Verarbeitung in der Fachsoftware ist der Kunde verantwortlich. Gemeldete Ereignisse löschen wir 30 Tage nach der Zustellung.

11. Empfänger und Auftragsverarbeiter

Mit beiden bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO. Darüber hinaus geben wir Daten nur weiter, wenn Sie oder der Kunde es veranlassen (Abschnitte 8 bis 10) oder wir gesetzlich dazu verpflichtet sind.

12. Übermittlung in Drittländer

Der Dienst selbst verarbeitet Daten ausschließlich in Deutschland. Eine Verbindung zu Anbietern außerhalb der EU entsteht nur bei optionalen Funktionen: beim Digital signieren (Abschnitt 8) und bei der Nutzung von Microsoft Outlook (Abschnitt 9).

13. Speicherdauer im Überblick

14. Sicherheit

Verschlüsselung mit AES-256-GCM auf dem Gerät, Schlüsselaustausch über P-256, Übertragung nur per TLS 1.2 oder 1.3, Passwörter und PINs mit scrypt gehasht, Zugriff auf den Speicher nur über kurzlebige signierte Adressen, kein Zugriffsprotokoll auf dem Webserver. Einzelheiten stehen im Vertrag zur Auftragsverarbeitung (Anlage 2).

15. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21). Für Daten, die wir im Auftrag verarbeiten, ist der Absender Ihr Ansprechpartner (Abschnitt 2). Bei Nachweisen kann eine Löschung vor Fristende ausgeschlossen sein, solange der Absender sie zur Erfüllung seiner Rechenschaftspflicht benötigt.

Für die Ausübung Ihrer Rechte genügt eine E-Mail an info@slayper.com. Sie können sich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig ist die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg, Stahnsdorfer Damm 77, 14532 Kleinmachnow.

16. Automatisierte Entscheidungen

Eine automatisierte Entscheidungsfindung einschließlich Profiling findet nicht statt.

Stand: 18.10.2026