Datenschutz
Entwurf, Stand 21.10.2026. Vor dem Start rechtlich prüfen lassen.
Kurz gesagt
- Deine Notizen werden auf dem Gerät verschlüsselt. Auf dem Server liegen nur verschlüsselte Daten, die wir nicht lesen können.
- Dein Passwort verlässt dein Gerät nie. Der Server bekommt nur einen Prüfwert, aus dem es sich nicht zurückrechnen lässt.
- Keine Werbung, keine Tracker, keine fremden Schriften oder Skripte, keine Zugriffsprotokolle mit IP-Adressen.
Verantwortlich
Verantwortlich ist, wer im Impressum steht.
Diese Webseite
- Die Webseite setzt kein Cookie, solange du nicht im Konto angemeldet bist.
- Bei der Anmeldung setzt sie ein einziges, technisch nötiges Cookie für die Sitzung. Es gilt nur für den Kontobereich und höchstens 12 Stunden; beim Abmelden ist es weg (Art. 6 Abs. 1 lit. b DSGVO, § 25 Abs. 2 TDDDG).
- Bis zum Start sieht man ohne Anmeldung nur die Startseite. Unser Entwicklerteam meldet sich unter „Entwickler-Anmeldung“ an und erhält dafür ein technisch nötiges Cookie, das höchstens 30 Tage gilt und beim Abmelden gelöscht wird (§ 25 Abs. 2 TDDDG). Besucher erhalten kein Cookie.
- Wir setzen keine Cookies oder ähnlichen Techniken für Statistik, Werbung oder Dienste anderer Anbieter ein. Deshalb gibt es auch keinen Cookie-Hinweis zum Wegklicken.
- Der Webserver schreibt keine Zugriffsprotokolle. Deine IP-Adresse wird nur für die Dauer der Verbindung verarbeitet.
- Schutz vor Missbrauch: Der Kontodienst zählt Anfragen ohne Anmeldung je Absender, höchstens eine Stunde lang und nur im Arbeitsspeicher. Gezählt wird dabei ein Kurzwert der IP-Adresse (mit einem Schlüssel, der bei jedem Neustart neu entsteht), nie die Adresse selbst; gespeichert wird nichts (Art. 6 Abs. 1 lit. f DSGVO). An dieselbe E-Mail-Adresse gehen höchstens drei Mails am Tag.
- Beim Anlegen eines Kontos und beim Zurücksetzen des Passworts löst dein Browser eine kleine Rechenaufgabe (etwa eine Sekunde). Das bremst Massen-Anmeldungen, ganz ohne Captcha, Cookie oder fremden Dienst.
Das ScribbiNote-Konto
| Was | Wofür | Wie gespeichert |
|---|---|---|
| Benutzername | Anmelden, Anzeige in der App | lesbar |
| E-Mail-Adresse | Bestätigen, Passwort zurücksetzen, Erinnerungen, Belege | verschlüsselt; zum Wiederfinden nur ein Prüfwert |
| Passwort | Anmelden | gar nicht; nur ein Prüfwert des Prüfwerts |
| Schlüssel der Authenticator-App, Wiederherstellungscodes | Anmeldung in zwei Schritten | verschlüsselt bzw. nur als Prüfwert |
| Lizenzschlüssel | Geräte verbinden | verschlüsselt |
| Lizenz: Stufe, bezahlt bis, Löschdatum | Vertrag erfüllen | lesbar |
| Selbst gewählte Gerätenamen | Geräteliste im Konto | verschlüsselt |
Rechtsgrundlage ist der Vertrag (Art. 6 Abs. 1 lit. b DSGVO). Konto und Daten löschst du selbst im Konto; dann ist alles sofort weg, außer den Belegen (siehe Bezahlung). Ein Konto, dessen E-Mail-Adresse nicht innerhalb eines Tages bestätigt wird, löschen wir.
Ein Konto entsteht nur mit einem 6-stelligen Code aus der App. Dazu merkt sich der Kontodienst einen Tag lang, welches ScribbiNote-Konto (eine zufällige Nummer) den Code geholt hat, damit niemand massenhaft Konten anlegen kann.
Backup, Synchronisierung und Zustellung
- Der Server speichert deine Notizen, Bilder und Dateien nur verschlüsselt. Den Schlüssel haben nur deine Geräte.
- Zwangsläufig sieht der Server: eine zufällige Kontonummer, zufällige Gerätekennungen, Größe und Zeitpunkt der verschlüsselten Daten und den Tag, an dem sich ein Gerät zuletzt gemeldet hat.
- Bei der Zustellung erfährt der Server nicht, wer sendet. Er prüft nur eine anonyme Lizenzmarke.
- Nach dem Ablauf der Lizenz bleiben die Daten 6 Monate erhalten, dann löscht der Server sie (siehe AGB).
Bezahlung mit PayPal
- Bezahlt wird bei PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxemburg. Dort gelten die Datenschutzhinweise von PayPal.
- Von PayPal bekommen wir die Bestellnummer, den Betrag, den Namen und die E-Mail-Adresse der zahlenden Person für den Beleg. Name und E-Mail-Adresse liegen verschlüsselt.
- Belege bewahren wir 8 Jahre auf, weil das Steuerrecht es verlangt (§ 147 AO, Art. 6 Abs. 1 lit. c DSGVO), auch wenn du das Konto löschst.
E-Mails
Wir schicken nur Mails, die zum Konto gehören: Bestätigung, Passwort zurücksetzen, Erinnerungen an Ablauf und Löschen, Belege. Keinen Newsletter. Versand über [Mail-Anbieter, Anschrift], nur verschlüsselt.
Hosting
Webseite, Konto und Server laufen bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, in Rechenzentren in Deutschland (Nürnberg). Mit Hetzner besteht ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO).
Die App
- Die App arbeitet ohne Konto vollständig auf dem Gerät. Sie fragt beim Start nach Updates; dabei wird nur die Versionsangabe geladen.
- Texterkennung und Handschrifterkennung laufen auf dem Gerät.
Deine Rechte
Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch (Art. 15 bis 21 DSGVO). Vieles davon erledigst du selbst im Konto. Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren, zum Beispiel beim Bayerischen Landesamt für Datenschutzaufsicht.