MailFlow

Datenschutz

Version 1.2.0

Datenhaltung & Löschfristen

Diese Übersicht zeigt für jede Datenkategorie, wozu MailFlow sie verarbeitet, wo sie gespeichert wird, wie sie geschützt ist, wie lange sie aufbewahrt und wie sie gelöscht wird. Die Fristen stammen direkt aus der Konfiguration der Anwendung.

Was nach Vertragsende passiert

  1. Endet der Vertrag (nach Ablauf einer allfälligen Kulanzfrist), bleibt der Workspace noch 60 Tage für den Datenexport verfügbar.
  2. Die Administratoren erhalten 30 / 7 / 1 Tag(e) vor der Löschung eine E-Mail; im Portal erscheint ein Hinweis mit dem Datum.
  3. Danach wird der Workspace automatisch und vollständig gelöscht: Datenbank, Dateien, Postfachverbindungen inkl. Tokens, Microsoft-Graph-Abonnements und Benutzerkonten ohne weiteren Workspace. Ein anonymer Löscheintrag bleibt als Nachweis.
  4. Admins können die Löschung auch selbst beantragen; sie erfolgt nach 7 Tagen Wartezeit und kann bis dahin widerrufen werden.
  5. Admins können jederzeit einen Datenexport (ZIP mit JSON-Dateien, ohne Passwörter und Tokens) erstellen; der Download-Link ist 7 Tage gültig.
  6. Einzelne Personen löschen ihr Konto selbst unter Profil → Sicherheit, sofern sie nicht letzter Admin eines Workspaces sind.
  7. Rechnungen und Buchungsbelege werden gemäss Art. 958f OR 10 Jahre aufbewahrt (Buchhaltung und Stripe) und sind von der Löschung ausgenommen.

Konto & Workspace

  • Konto- und Profildaten

    Name, E-Mail-Adresse, Sprache, optional Funktion, Telefon, Kurzprofil und Profilbild; Anmelde- und MFA-Daten.

    Zweck
    Anmeldung, Zusammenarbeit im Team, Benachrichtigungen.
    Speicherort & Schutz
    • Datenbank (Supabase) bei Hetzner, EU
    • Datei-Speicher (Supabase Storage) bei Hetzner, EU
    Sensible Felder mit Workspace-Schlüssel verschlüsselt (Feldverschlüsselung), übrige Felder TLS + Datenträgerschutz
    Aufbewahrung
    Bis zur Löschung: Bis Sie Ihr Konto löschen oder Ihr letzter Workspace gelöscht wird.
    Löschung
    Selbst unter Profil → Sicherheit; automatisch, wenn das Konto nach einer Workspace-Löschung keinem Workspace mehr angehört. Telefon und Kurzprofil sind verschlüsselt gespeichert.

  • Workspace-Einstellungen und Konfiguration

    Workspace-Name, Mitglieder und Rollen, Workflows und Regeln, Signaturen, Abwesenheiten, Sicherheits- und Ablageeinstellungen, Branding-Dateien.

    Zweck
    Bereitstellung der von Ihnen konfigurierten Automatisierung.
    Speicherort & Schutz
    • Datenbank (Supabase) bei Hetzner, EU
    • Datei-Speicher (Supabase Storage) bei Hetzner, EU
    TLS bei der Übertragung, Speicherung beim Anbieter
    Aufbewahrung
    Vertragsdauer + Exportfenster: Während der Vertragslaufzeit, danach noch 60 Tage für den Export.
    Löschung
    Einzelne Einträge jederzeit in der App; vollständig mit der Workspace-Löschung.

Postfächer & E-Mails

  • Postfachverbindungen und Zugangsdaten

    Postfachadresse, Anbieter, OAuth-Tokens (Microsoft 365) bzw. IMAP/SMTP-Passwörter, Synchronisationsstatus.

    Zweck
    Zugriff auf das Postfach im Auftrag des Workspaces.
    Speicherort & Schutz
    • Datenbank (Supabase) bei Hetzner, EU
    • Azure Key Vault (nur Schlüssel)
    Verschlüsselt mit Workspace-Schlüssel (AES-256-GCM, Schlüssel via Key Vault geschützt)
    Aufbewahrung
    Bis zur Löschung: Bis das Postfach getrennt wird.
    Löschung
    Beim Trennen des Postfachs (inkl. Abmeldung von Microsoft-Graph-Benachrichtigungen), mit dem Konto bzw. dem Workspace. Microsoft bietet keinen Widerruf einzelner Tokens; zusätzlich kann die App-Zustimmung in Microsoft Entra ID entfernt werden.

  • E-Mail-Metadaten-Cache

    Betreff, Absender, Empfänger, Datum, Ordner, Kategorien und Status der Nachrichten; ohne Nachrichtentext.

    Zweck
    Schnelle Listen, Suche und Ausführung von Regeln.
    Speicherort & Schutz
    • Datenbank (Supabase) bei Hetzner, EU
    • Postfach des Kunden (Microsoft 365 / IMAP)
    Sensible Felder mit Workspace-Schlüssel verschlüsselt (Feldverschlüsselung), übrige Felder TLS + Datenträgerschutz
    Aufbewahrung
    Spiegelt das Postfach: Solange die Nachricht im verbundenen Postfach liegt.
    Löschung
    Automatisch bei der Synchronisation, wenn die Nachricht gelöscht oder verschoben wird; vollständig beim Trennen des Postfachs.

  • E-Mail-Inhalte und Anhänge

    Nachrichtentext und Anhänge.

    Zweck
    Anzeige, Regelauswertung, KI-Klassifikation und Entwürfe.
    Speicherort & Schutz
    • Postfach des Kunden (Microsoft 365 / IMAP)
    • Anwendungsserver bei Hetzner, EU
    • KI-Anbieter (Azure OpenAI oder Model Router)
    Nur verschlüsselte Übertragung (TLS), keine dauerhafte Speicherung
    Aufbewahrung
    Nur vorübergehend: Werden bei Bedarf aus dem Postfach geladen und nicht dauerhaft gespeichert.
    Löschung
    Keine Speicherung in MailFlow; die Originale bleiben im Postfach des Kunden. KI-Anbieter verarbeiten Auszüge nur zur Beantwortung der Anfrage.

Automatisierung & KI

  • Dokumenterkennung (OCR)

    Optional

    Dateiname, Dokumenttyp, erkannte Felder und ein Textauszug (bis 8000 Zeichen) aus Anhängen; Ablage-Protokoll bei SharePoint-Ablage.

    Zweck
    Rechnungen und Dokumente erkennen und ablegen.
    Speicherort & Schutz
    • Datenbank (Supabase) bei Hetzner, EU
    • KI-Anbieter (Azure OpenAI oder Model Router)
    • Azure AI Document Intelligence
    • SharePoint des Kunden
    Sensible Felder mit Workspace-Schlüssel verschlüsselt (Feldverschlüsselung), übrige Felder TLS + Datenträgerschutz
    Aufbewahrung
    Feste Frist: 90 Tage; abgelegte Dateien liegen im SharePoint des Kunden.
    Löschung
    Täglicher Löschjob; vollständig mit der Workspace-Löschung.

  • KI-Verarbeitung

    Optional

    Absender, Betreff und Auszüge des E-Mail-Texts (Eingabe); Einstufung und Zusammenfassung (Ergebnis).

    Zweck
    Klassifikation, Vorschläge und Entwürfe.
    Speicherort & Schutz
    • KI-Anbieter (Azure OpenAI oder Model Router)
    • Datenbank (Supabase) bei Hetzner, EU
    Sensible Felder mit Workspace-Schlüssel verschlüsselt (Feldverschlüsselung), übrige Felder TLS + Datenträgerschutz
    Aufbewahrung
    Feste Frist: Ergebnisse 180 Tage; beim KI-Anbieter keine Speicherung zu Trainingszwecken.
    Löschung
    Täglicher Löschjob; vollständig mit der Workspace-Löschung.

  • Assistent-Unterhaltungen

    Optional

    Ihre Fragen an den Assistenten und dessen Antworten, inkl. darin zitierter E-Mail-Auszüge.

    Zweck
    Fortsetzen früherer Unterhaltungen.
    Speicherort & Schutz
    • Datenbank (Supabase) bei Hetzner, EU
    • KI-Anbieter (Azure OpenAI oder Model Router)
    TLS bei der Übertragung, Speicherung beim Anbieter
    Aufbewahrung
    Bis zur Löschung: Bis Sie die Unterhaltung löschen.
    Löschung
    Selbst im Assistenten; mit dem Konto bzw. dem Workspace.

  • Workflow-Ausführungen und Freigaben

    Welcher Workflow wann für welche Nachricht (Betreff, Absender) lief, Ergebnis und Fehler; Freigabe-Einträge.

    Zweck
    Nachvollziehbarkeit der Automatisierung, Fehlersuche, Freigaben.
    Speicherort & Schutz
    • Datenbank (Supabase) bei Hetzner, EU
    Sensible Felder mit Workspace-Schlüssel verschlüsselt (Feldverschlüsselung), übrige Felder TLS + Datenträgerschutz
    Aufbewahrung
    Feste Frist: Ausführungen 180 Tage; Freigaben 30 Tage nach Entscheid, offene nach 90 Tagen.
    Löschung
    Täglicher Löschjob; vollständig mit der Workspace-Löschung.

  • Aktivitätsprotokoll

    Ereignisse der E-Mail-Verarbeitung mit Kurzbeschreibung.

    Zweck
    Transparenz im Workspace, Nachweis automatischer Aktionen.
    Speicherort & Schutz
    • Datenbank (Supabase) bei Hetzner, EU
    Sensible Felder mit Workspace-Schlüssel verschlüsselt (Feldverschlüsselung), übrige Felder TLS + Datenträgerschutz
    Aufbewahrung
    Feste Frist: 90 Tage.
    Löschung
    Täglicher Löschjob; vollständig mit der Workspace-Löschung.

  • Abwesenheitsantworten

    Optional

    An wen eine automatische Abwesenheitsantwort ging.

    Zweck
    Pro Absender nur einmal antworten.
    Speicherort & Schutz
    • Datenbank (Supabase) bei Hetzner, EU
    Sensible Felder mit Workspace-Schlüssel verschlüsselt (Feldverschlüsselung), übrige Felder TLS + Datenträgerschutz
    Aufbewahrung
    Feste Frist: 30 Tage nach Ende der Abwesenheit.
    Löschung
    Täglicher Löschjob; vollständig mit der Workspace-Löschung.

  • Sicherheits- und Absendersignale

    Optional

    Absender-Adressen nur als gesalzener Hash, Domains, Prüfergebnisse zu Phishing und Spam, Freigabelisten.

    Zweck
    Schutz vor Phishing und Spam.
    Speicherort & Schutz
    • Datenbank (Supabase) bei Hetzner, EU
    Pseudonymisiert (gesalzener Hash) bzw. ohne Personenbezug
    Aufbewahrung
    Bis zur Löschung: Bis zur Workspace-Löschung; plattformweite Indikatoren verfallen nach Inaktivität.
    Löschung
    Mit der Workspace-Löschung.

Betrieb & Support

  • Benachrichtigungen und Empfehlungen

    In-App-Benachrichtigungen, Empfehlungsberichte und Versandstatus der zugehörigen E-Mails.

    Zweck
    Information über Ereignisse im Workspace.
    Speicherort & Schutz
    • Datenbank (Supabase) bei Hetzner, EU
    • E-Mail-Versanddienst
    TLS bei der Übertragung, Speicherung beim Anbieter
    Aufbewahrung
    Bis zur Löschung: Bis zur Löschung durch Sie bzw. mit Konto oder Workspace.
    Löschung
    Mit dem Konto bzw. dem Workspace.

  • Scan-Relay-Protokoll

    Optional

    Absender-IP, Empfängeradressen, Grösse und Zustellstatus weitergeleiteter Scans; keine Inhalte.

    Zweck
    Zustellnachweis und Missbrauchsschutz.
    Speicherort & Schutz
    • Datenbank (Supabase) bei Hetzner, EU
    TLS bei der Übertragung, Speicherung beim Anbieter
    Aufbewahrung
    Feste Frist: 30 Tage (Standard; vom Betreiber zwischen 1 und 365 Tagen einstellbar).
    Löschung
    Stündlicher Löschlauf des Relays; mit der Workspace-Löschung.

  • Support-Anfragen

    Betreff, Beschreibung, Seiten-URL, Nachrichten und Screenshots.

    Zweck
    Bearbeitung Ihrer Anfragen.
    Speicherort & Schutz
    • Datenbank (Supabase) bei Hetzner, EU
    • Datei-Speicher (Supabase Storage) bei Hetzner, EU
    • E-Mail-Versanddienst
    TLS bei der Übertragung, Speicherung beim Anbieter
    Aufbewahrung
    Bis zur Löschung: Bis zur Löschung des Kontos bzw. Workspaces.
    Löschung
    Mit dem Konto der anfragenden Person bzw. dem Workspace, inkl. Screenshot-Dateien.

  • Fehlermeldungen (Bug-Reports)

    OptionalWird ergänzt

    Titel, Beschreibung, Seiten-URL, optional Screenshot sowie Name, E-Mail und Workspace der meldenden Person.

    Zweck
    Behebung gemeldeter Fehler.
    Speicherort & Schutz
    • Leftclick Projects (Kanban)
    TLS bei der Übertragung, Speicherung beim Anbieter
    Aufbewahrung
    Wird ergänzt: Wird ergänzt.
    Löschung
    Durch Leftclick im Projektwerkzeug.

  • Schutz vor Überlastung (Rate-Limiting)

    Optional

    Zähler pro IP-Adresse oder interner Benutzer-ID.

    Zweck
    Schutz vor Missbrauch und Überlastung.
    Speicherort & Schutz
    • Upstash Redis
    TLS bei der Übertragung, Speicherung beim Anbieter
    Aufbewahrung
    Nur vorübergehend: Für die Dauer des Zeitfensters (Sekunden bis Minuten).
    Löschung
    Automatischer Ablauf der Zähler.

  • Server-Protokolle

    Wird ergänzt

    Technische Protokolle der Anwendung (z. B. Fehlermeldungen, Zeitstempel, teilweise Kennungen).

    Zweck
    Betrieb, Sicherheit und Fehleranalyse.
    Speicherort & Schutz
    • Anwendungsserver bei Hetzner, EU
    TLS bei der Übertragung, Speicherung beim Anbieter
    Aufbewahrung
    Wird ergänzt: Wird ergänzt (Aufbewahrung der Container-Protokolle auf den Servern).
    Löschung
    Durch Rotation auf den Servern.

  • Datensicherungen (Backups)

    Wird ergänzt

    Kopie der Datenbank und Dateien.

    Zweck
    Wiederherstellung nach Ausfällen.
    Speicherort & Schutz
    • Anwendungsserver bei Hetzner, EU
    TLS bei der Übertragung, Speicherung beim Anbieter
    Aufbewahrung
    Wird ergänzt: Wird ergänzt (Backup-Rhythmus und Aufbewahrung).
    Löschung
    Überschreiben nach Ablauf der Aufbewahrung; gelöschte Daten werden nicht in den Betrieb zurückgespielt.

Vertrag, Abrechnung & Export

  • Zustimmung zu AGB und AVV

    Version, Zeitpunkt und Quelle der Zustimmung (ohne IP-Adresse).

    Zweck
    Nachweis des Vertragsschlusses.
    Speicherort & Schutz
    • Datenbank (Supabase) bei Hetzner, EU
    TLS bei der Übertragung, Speicherung beim Anbieter
    Aufbewahrung
    Vertragsdauer + Exportfenster: Vertragsdauer plus 60 Tage.
    Löschung
    Mit dem Konto bzw. dem Workspace.

  • Abrechnung

    Abostatus, Lizenzen, Rechnungsadresse, Zahlungsdaten (bei Stripe), Rechnungen.

    Zweck
    Vertragserfüllung und Buchhaltung.
    Speicherort & Schutz
    • Stripe, EU
    • Datenbank (Supabase) bei Hetzner, EU
    TLS bei der Übertragung, Speicherung beim Anbieter
    Aufbewahrung
    Gesetzliche Aufbewahrung: Rechnungen und Buchungsbelege 10 Jahre (Art. 958f OR).
    Löschung
    Abo- und Lizenzdaten mit der Workspace-Löschung; Rechnungen bleiben gemäss Aufbewahrungspflicht in der Buchhaltung und bei Stripe.

  • Datenexporte

    ZIP-Datei mit Workspace-Einstellungen, Workflows, Mitgliedern, Aktivitätsprotokoll und Klassifizierungen.

    Zweck
    Datenübertragbarkeit und Sicherung vor Vertragsende.
    Speicherort & Schutz
    • Datei-Speicher (Supabase Storage) bei Hetzner, EU
    TLS bei der Übertragung, Speicherung beim Anbieter
    Aufbewahrung
    Feste Frist: Download 7 Tage.
    Löschung
    Automatisch nach Ablauf; mit der Workspace-Löschung.

  • Löschanfragen und Löschprotokoll

    Geplantes Löschdatum und Grund; nach der Löschung nur eine gehashte Workspace-Referenz, Datum und Anzahl gelöschter Objekte.

    Zweck
    Nachweis der Löschung und Widerruf von Löschanfragen.
    Speicherort & Schutz
    • Datenbank (Supabase) bei Hetzner, EU
    Pseudonymisiert (gesalzener Hash) bzw. ohne Personenbezug
    Aufbewahrung
    Dauerhaft, anonym: Löschanfragen bis zur Ausführung (Wartezeit 7 Tage); Löschprotokoll dauerhaft, ohne Personenbezug.
    Löschung
    Planungseinträge mit dem Workspace; das anonyme Protokoll bleibt.

Hinweise

Die angezeigten Fristen entsprechen der aktuellen Konfiguration dieser Instanz. Der Betreiber kann einzelne Fristen anpassen; sie werden dann hier automatisch aktualisiert.

Einträge mit «Wird ergänzt» beschreiben Punkte, deren Details (z. B. Backup-Rhythmus) noch dokumentiert werden.

Fragen zur Datenhaltung: [email protected].

Stand: 2026-10-20 · Version 1.2.0