Datenschutzerklärung

Stand: 21. September 2026

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Nico Wiedemann
Im Allmend 19
77746 Schutterwald
Deutschland
E-Mail: stashpad@wiedemann.rocks
Website: stashpad.org

Ein Datenschutzbeauftragter ist nicht bestellt; die Voraussetzungen des § 38 BDSG liegen nicht vor. Für alle Fragen zum Datenschutz genügt eine E-Mail an die oben genannte Adresse.

2. Begriffsbestimmungen

Diese Erklärung verwendet die Begriffe der DSGVO. Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Verarbeitung ist jeder Vorgang im Zusammenhang mit solchen Daten, vom Erheben über das Speichern bis zum Löschen. Verantwortlicher ist, wer über Zwecke und Mittel der Verarbeitung entscheidet; Auftragsverarbeiter ist, wer Daten in seinem Auftrag verarbeitet. Einwilligung ist eine freiwillige, informierte und unmissverständliche Zustimmung zu einer bestimmten Verarbeitung. Die vollständigen Definitionen stehen in Art. 4 DSGVO.

3. Hosting und Server-Logfiles

Diese Website und der Dienst Stashpad Cloud laufen auf einem gemieteten Server der netcup GmbH, Daimlerstraße 25, 76185 Karlsruhe, Deutschland. Die Server stehen in Deutschland. Mit netcup besteht ein Vertrag über die Auftragsverarbeitung nach Art. 28 DSGVO. Darüber hinaus werden keine Inhalts- oder Auslieferungsnetze (CDN) eingesetzt; auch die Schriftarten liegen auf unserem eigenen Server und werden nicht von Google oder einem anderen Anbieter nachgeladen.

Bei jedem Aufruf erfasst der Server automatisch Daten, die dein Browser übermittelt: IP-Adresse, Datum und Uhrzeit, die angefragte Adresse, den Status der Antwort, die übertragene Datenmenge, den zuvor besuchten Verweis (Referrer) sowie Browsertyp und Betriebssystem. Im Zugriffsprotokoll wird die IP-Adresse gekürzt gespeichert - die letzten Stellen werden entfernt, sodass kein einzelner Anschluss mehr erkennbar ist. In den Betriebsprotokollen des Servers, etwa bei abgebrochenen Verschlüsselungsverbindungen oder Fehlern, können vollständige Adressen auftreten. Diese Daten sind technisch nötig, um die Seite auszuliefern, und dienen der Sicherheit des Betriebs, etwa um Angriffe zu erkennen und abzuwehren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Die Logfiles werden spätestens nach 30 Tagen gelöscht, es sei denn, ein konkreter Vorfall macht eine längere Aufbewahrung zur Beweissicherung erforderlich. Eine Zusammenführung dieser Daten mit anderen Datenquellen findet nicht statt.

4. Keine Analyse, keine Werbung, keine Einwilligungsbanner

Diese Website verwendet keine Analyse- oder Statistikdienste, keine Werbenetzwerke und keine Dienste zur Wiedererkennung von Besucherinnen und Besuchern. Es werden keine Cookies zu diesen Zwecken gesetzt. Im Kontobereich speichert die Website im lokalen Speicher deines Browsers ausschließlich das, was für die Anmeldung und die Sprachwahl erforderlich ist - etwa das Anmeldetoken, die Geräte-Kennung und die gewählte Sprache. Diese Angaben verlassen deinen Browser nur, wenn sie für den angefragten Dienst gebraucht werden, und sind nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei, weil sie für den ausdrücklich gewünschten Dienst unbedingt erforderlich sind.

5. Warteliste

Wenn du dich in die Warteliste einträgst, speichern wir deine E-Mail-Adresse und die gewählte Sprache. Die Anmeldung wird im Double-Opt-In-Verfahren bestätigt: Du erhältst eine E-Mail mit einem Bestätigungslink, und erst nach dessen Aufruf wird der Eintrag aktiv. Wir speichern dazu den Zeitpunkt der Anmeldung und der Bestätigung, um den Nachweis der Einwilligung führen zu können. Bestätigst du nicht, löschen wir den Eintrag 30 Tage nach der letzten Bestätigungsmail: ohne Bestätigung liegt keine Einwilligung vor, und damit auch kein Grund, deine Adresse weiter zu speichern. Eine Erinnerung schicken wir vorher nicht.

Rechtsgrundlage ist deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Du kannst sie jederzeit widerrufen, ohne dass dies Nachteile hat - eine E-Mail an uns oder der Abmeldelink in jeder Nachricht genügt. Nach dem Widerruf wird der Eintrag gelöscht. Die Nachrichten an die Warteliste enthalten keine Zählpixel; wir messen weder Öffnungen noch Klicks.

6. Die Stashpad-Anwendung auf deinem Gerät

Stashpad ist eine lokale Anwendung. Ohne eingeschalteten Cloud-Sync verlassen deine Stashes, Kontexte und Anhänge dein Gerät nicht, und es werden keine personenbezogenen Daten an uns übermittelt. Drei Vorgänge stellen dennoch Verbindungen ins Netz her, und zwar nur zu dem jeweils genannten Zweck:

• Aktualisierungen. Die App fragt bei GitHub nach, ob eine neuere Version vorliegt, und lädt sie von dort. Dabei erfährt GitHub, Inc., 88 Colin P. Kelly Jr. Street, San Francisco, CA 94107, USA, deine IP-Adresse. Rechtsgrundlage ist unser berechtigtes Interesse an sicherer, aktueller Software nach Art. 6 Abs. 1 lit. f DSGVO. Die Prüfung lässt sich in den Einstellungen abschalten.
• KI-Verbesserung von Prompts. Diese Funktion ist abgeschaltet, bis du selbst einen Anbieter und einen Schlüssel einträgst. Danach werden die Inhalte, die du verbessern lässt, direkt von deinem Gerät an diesen Anbieter geschickt - oder an ein Modell auf deinem eigenen Rechner, wenn du eines einträgst. Wir sind an dieser Übertragung nicht beteiligt und verarbeiten dabei keine Daten. Es gelten die Datenschutzbestimmungen des von dir gewählten Anbieters. Dein Schlüssel wird im Schlüsselspeicher deines Betriebssystems abgelegt und, wo dieser nicht verfügbar ist, verschlüsselt auf deinem Gerät gespeichert; er wird nie an uns übertragen.
• Cloud-Sync. Nur wenn du ihn einschaltest, siehe Abschnitt 7.

7. Konto und Stashpad Cloud

Konto und Anmeldung

Für Stashpad Cloud ist ein Konto nötig. Verarbeitet werden deine E-Mail-Adresse und, wenn du ein Passwort setzt, dessen kryptografischer Hash - das Passwort selbst wird nicht gespeichert. Alternativ kannst du dich über einen einmaligen Anmeldelink per E-Mail, über einen Passkey (WebAuthn) oder über dein GitHub-Konto anmelden. Bei der GitHub-Anmeldung erhalten wir von GitHub deine dortige Kennung und E-Mail-Adresse, um sie deinem Konto zuzuordnen; übermittelt wird nur, was für die Anmeldung nötig ist. Zu deinem Konto gehören außerdem die gewählte Sprache, der Status deines Abonnements und - zur Absicherung gegen Missbrauch - die Kennungen und Namen der Geräte, die du verbunden hast, samt Zeitpunkt der letzten Synchronisierung.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, weil diese Daten für die Erfüllung des Nutzungsvertrags erforderlich sind, sowie Art. 6 Abs. 1 lit. f DSGVO für die Absicherung des Dienstes.

Synchronisierte Inhalte

Ist Cloud-Sync eingeschaltet, werden die Inhalte deiner Stashes und Kontexte sowie deine Anhänge auf unserem Server gespeichert, damit deine Geräte denselben Stand sehen. Was darin steht, bestimmst ausschließlich du. Sie werden auf deinem eigenen Rechner verschlüsselt, bevor sie hochgeladen werden - mit einem Schlüssel, den wir nicht aufbewahren. Ein gestohlenes Backup oder eine Kopie unserer Datenbank ist damit unlesbar. Auch die Dateinamen von Anhängen sind verschlüsselt, denn ein Name verrät oft genauso viel wie die Datei selbst.

Es gibt eine bewusste Ausnahme. Ein Zugriffsschlüssel für den Stashpad-MCP-Server trägt eine eigene Kopie deines Schlüssels, damit ein KI-Werkzeug deine Warteschlange erreichen kann, während dein Rechner aus ist. Solange eine Anfrage mit diesem Schlüssel bearbeitet wird, kann unser Server die damit freigegebenen Inhalte lesen. Zugriffsschlüssel lassen sich jederzeit im Konto zurückziehen, und damit verschwindet auch ihre Kopie. Legst du keinen Zugriffsschlüssel an, können wir deine Inhalte überhaupt nicht lesen.

Solange ein Zugriffsschlüssel existiert, ist das im strengen Sinn also keine Ende-zu-Ende-Verschlüsselung - und das sagen wir lieber deutlich, als eine Zusicherung zu beschreiben, die wir nicht geben. Zwei weitere Grenzen: Was auf deinem eigenen Rechner liegt, ist davon nicht berührt, und Dateien, die du vor dem Einschalten hochgeladen hast, bleiben unverändert, bis sie umgestellt wurden.

Den Schlüssel gibt es nur auf deinen Installationen und in einem Wiederherstellungscode, der dir einmal angezeigt wird. Verlierst du alle Installationen und diesen Code, lassen sich deine Inhalte nicht wiederherstellen - weder von dir noch von uns. Das ist keine Richtlinie, von der wir eine Ausnahme machen könnten: Wir haben die verschlüsselten Daten und keinen Schlüssel, der sie öffnet.

Anhänge werden in einem Objektspeicher abgelegt, der auf demselben Server in Deutschland betrieben wird. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Zugriff durch deine eigenen Werkzeuge (MCP)

Du kannst einen eigenen Zugriffsschlüssel erzeugen, damit ein KI-Werkzeug deiner Wahl deine Warteschlange über den Stashpad-MCP-Server lesen oder beschreiben kann. Wer einen solchen Schlüssel besitzt, kann auf die damit freigegebenen Inhalte zugreifen - und unser Server ebenfalls, solange er eine Anfrage mit diesem Schlüssel bearbeitet. Das ist die oben beschriebene Ausnahme, und es gibt sie genau deshalb, damit ein Agent arbeiten kann, während dein Rechner aus ist. Schlüssel lassen sich jederzeit im Konto zurückziehen, und damit verschwindet auch ihre Kopie deines Verschlüsselungsschlüssels. Wir protokollieren die Nutzung nur so weit, wie es für Betrieb und Sicherheit erforderlich ist.

8. Zahlungsabwicklung über Paddle

Kostenpflichtige Abonnements werden über Paddle abgewickelt. Paddle tritt dabei als Verkäufer (Merchant of Record) auf, stellt die Rechnung und ist für die Zahlungsabwicklung datenschutzrechtlich eigenverantwortlich. Anbieter ist die Paddle.com Market Limited, 30 Old Bailey, London EC4M 7AU, Vereinigtes Königreich; für Kundinnen und Kunden im Europäischen Wirtschaftsraum ist die Paddle Payments Limited, The Academy, 42 Pearse Street, Dublin 2, D02 HV59, Irland, Vertragspartner.

Wählst du ein kostenpflichtiges Abonnement, übermitteln wir Paddle deine E-Mail-Adresse sowie das gewählte Produkt, damit dort ein Bezahlvorgang erzeugt werden kann. Die eigentlichen Zahlungsdaten - Kartennummer, Kontodaten, Rechnungsanschrift und je nach Land steuerlich erforderliche Angaben - gibst du direkt bei Paddle ein. Diese Daten erreichen uns nicht und werden von uns nicht gespeichert. Von Paddle erhalten wir zurück, ob eine Zahlung erfolgreich war, welchen Status dein Abonnement hat, wann der bezahlte Zeitraum endet sowie die Kunden- und Abonnementkennungen, die Paddle vergibt. Diese Angaben speichern wir, um dein Abonnement zu führen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Vertrags) sowie für die Aufbewahrung der Abrechnungsdaten Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit den handels- und steuerrechtlichen Aufbewahrungsfristen. Paddle verarbeitet Daten auch außerhalb des Europäischen Wirtschaftsraums und stützt solche Übermittlungen auf Standardvertragsklauseln und weitere geeignete Garantien. Die Datenschutzerklärung von Paddle findest du unter paddle.com/legal/privacy.

9. E-Mail-Versand über Resend

Anmeldelinks, Bestätigungen für die Warteliste und Hinweise zu deinem Konto - etwa wenn der Speicherplatz knapp wird - versenden wir über den Dienst Resend der Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA. Dazu werden deine E-Mail-Adresse und der Inhalt der jeweiligen Nachricht übermittelt. Es besteht ein Vertrag zur Auftragsverarbeitung. Resend ist nach dem EU-US Data Privacy Framework selbstzertifiziert, sodass sich die Übermittlung in die USA auf den Angemessenheitsbeschluss der Europäischen Kommission nach Art. 45 DSGVO stützt; ergänzend sind im Auftragsverarbeitungsvertrag die Standardvertragsklauseln der Europäischen Kommission (Modul 2) nach Art. 46 DSGVO vereinbart. Resend setzt seinerseits Unterauftragsverarbeiter ein. Wir versenden keine Werbung, verwenden keine Zählpixel und messen weder Öffnungen noch Klicks. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, bei der Warteliste Art. 6 Abs. 1 lit. a DSGVO.

10. Empfänger deiner Daten

Wir geben Daten nur weiter, wenn es für den Dienst nötig ist oder eine gesetzliche Pflicht besteht. Beteiligt sind:

• netcup GmbH, Karlsruhe - Betrieb der Server, Auftragsverarbeiter, Standort Deutschland.
• Plus Five Five, Inc. (Resend), USA - Versand von E-Mails, Auftragsverarbeiter.
• Paddle (Irland, Vereinigtes Königreich) - Zahlungsabwicklung, eigenverantwortlich.
• GitHub, Inc., USA - nur bei Anmeldung über GitHub und beim Abruf von Programmaktualisierungen.

Ein Verkauf von Daten findet nicht statt, ebenso wenig eine Weitergabe zu Werbezwecken.

11. Speicherdauer und Löschung

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck nötig ist oder gesetzliche Fristen es verlangen. Im Einzelnen:

• Server-Logfiles: höchstens 30 Tage.
• Konto und synchronisierte Inhalte: bis zur Löschung des Kontos. Eine Löschung kannst du selbst im Kontobereich anstoßen.
• Nach Ende eines Abonnements oder nach einer angestoßenen Löschung: spätestens 30 Tage, danach werden die Daten endgültig entfernt.
• Warteliste: bestätigte Einträge bis zur Abmeldung, unbestätigte Anmeldungen 30 Tage.
• Rechnungs- und Buchungsdaten: nach den handels- und steuerrechtlichen Fristen, in der Regel 10 Jahre.

12. Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten auf Grundlage von Art. 6 Abs. 1 lit. a DSGVO, wenn du eingewilligt hast, auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO, wenn die Verarbeitung zur Erfüllung eines Vertrags oder für vorvertragliche Maßnahmen nötig ist, auf Grundlage von Art. 6 Abs. 1 lit. c DSGVO, wenn uns eine gesetzliche Pflicht trifft - etwa steuerliche Aufbewahrungspflichten - und auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO, wenn die Verarbeitung zur Wahrung berechtigter Interessen erforderlich ist und deine Interessen nicht überwiegen.

Unsere berechtigten Interessen sind: der sichere und stabile Betrieb des Dienstes, die Abwehr von Angriffen und Missbrauch sowie die Bereitstellung aktueller Software.

13. Erforderlichkeit der Bereitstellung

Die Nutzung der Desktop-App erfordert keine Angabe personenbezogener Daten. Für ein Konto ist eine E-Mail-Adresse erforderlich, für ein kostenpflichtiges Abonnement zusätzlich die von Paddle verlangten Zahlungs- und Rechnungsangaben. Ohne diese Angaben kann der jeweilige Vertrag nicht geschlossen oder erfüllt werden. Eine darüber hinausgehende Verpflichtung, uns Daten bereitzustellen, besteht nicht.

14. Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DSGVO findet nicht statt.

15. Datensicherheit

Die Verbindung zu dieser Website und zur Programmierschnittstelle ist durchgehend mit TLS verschlüsselt. Passwörter werden ausschließlich als Hash gespeichert, Sitzungen laufen über zeitlich begrenzte Token, die sich zurückziehen lassen. Der Zugang zum Server ist auf das Nötige beschränkt. Eine absolute Sicherheit der Übertragung im Internet kann dennoch niemand zusichern.

16. Deine Rechte

Dir stehen gegenüber uns die folgenden Rechte zu:

• Auskunft (Art. 15 DSGVO) darüber, ob und welche Daten wir über dich verarbeiten, samt einer Kopie.
• Berichtigung (Art. 16 DSGVO) unrichtiger oder unvollständiger Daten.
• Löschung (Art. 17 DSGVO), soweit keine Aufbewahrungspflicht entgegensteht. Dein Konto löschst du im Kontobereich selbst, ohne uns schreiben zu müssen.
• Einschränkung der Verarbeitung (Art. 18 DSGVO).
• Datenübertragbarkeit (Art. 20 DSGVO) in einem gängigen, maschinenlesbaren Format. Im Kontobereich lädst du dir jederzeit selbst ein Archiv mit allen Kontexten, Stashes und Anhängen herunter. Bei einem verschlüsselten Konto liegen die Inhalte darin verschlüsselt vor - eine andere Fassung haben wir nicht - zusammen mit einer Beschreibung des Formats und der Entschlüsselung, sodass es mit deinem Wiederherstellungscode für sich allein ausreicht. Der Kontobereich kann deine Einträge auch direkt im Browser entschlüsseln, und die Desktop-App, die deinen Schlüssel hat, exportiert alles einschließlich der Dateien und kann ein Archiv auch wieder einlesen.
• Widerspruch (Art. 21 DSGVO) gegen Verarbeitungen, die auf berechtigten Interessen beruhen.
• Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO) mit Wirkung für die Zukunft.

Für alle diese Anliegen genügt eine E-Mail an stashpad@wiedemann.rocks. Für Export und Löschung brauchst du das nicht: beides stößt du im Kontobereich selbst an, ohne auf eine Antwort von uns zu warten.

Beschwerderecht bei der Aufsichtsbehörde

Unabhängig davon kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere in dem Mitgliedstaat deines Aufenthaltsorts, deines Arbeitsplatzes oder des mutmaßlichen Verstoßes. Für uns zuständig ist:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg
Lautenschlagerstraße 20, 70173 Stuttgart
www.baden-wuerttemberg.datenschutz.de

17. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich der Dienst oder die Rechtslage ändert. Es gilt die auf dieser Seite veröffentlichte Fassung mit dem oben genannten Stand.